数字化浪潮席卷全球，安全漏洞的发现和利用频率正以惊人的速度上升，尤其是工业自动化、绿色能源、财经领域、交通系统、国家防务以及医疗行业等关键部门，成为了网络攻击者的主要目标。数据侵犯和勒索软件的攻击层出不穷，凸显了安全漏洞正被黑客用作主要的攻击渠道。
本文梳理、分析了 2023 年危害巨大、影响范围广泛、且攻击手法多变的漏洞，旨在为网络安全界的实践者们提供一个详细的漏洞信息概览，帮助安全从业者能够更全面地掌握这些安全威胁，并据此构建更为坚固的安全防线。
1、CVE-2023-0266（Linux kernel 资源管理错误漏洞）
漏洞描述：Linux kernel是美国Linux基金会的开源操作系统Linux所使用的内核。
Linux Kernel存在资源管理错误安全漏洞CVE-2023-0266，该漏洞允许权限升级以从系统用户那里获得 ring0 访问权限。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-0266
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：https://github.com/torvalds/linux/commit/56b88b50565cd8b946a2d00b0c83927b7ebb055e
2、CVE-2023-0669（Fortra GoAnywhere MFT 远程代码执行漏洞）
漏洞描述：GoAnywhere是一个单一、易于访问的平台,可用于所有数据传输和EDI活动，管理文件传输，简化EDI，并在一个地方执行多个任务。HelpSystems GoAnywhere MFT存在安全漏洞CVE-2023-0669 ，攻击者可在无需登录的情况构造恶意请求触发反序列化，执行任意命令，控制服务器。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-0669
缓解措施：可通过官方补丁更新解决该威胁，（更新到7.1.2版本。）
3、CVE-2023-1389（TP-LINK Archer AX21 命令注入漏洞）
漏洞描述：TP-LINK Archer AX21是TP-LINK公司的一款无线路由器。
TP-LINK Archer AX21 1.1.4 Build 20230219之前的固件版本存在安全漏洞，该漏洞源于存在命令注入漏洞，未经身份验证的攻击者利用该漏洞可以通过简单的POST请求注入以root身份运行的命令。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-1389
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://www.tp-link.com/us/support/download/archer-ax21/v3/#Firmware
4、CVE-2023-1671（Sophos Web Appliance 命令注入漏洞）
漏洞描述：Sophos Web Appliance是Sophos公司的一款防火墙。 Sophos Web Appliance 4.3.10.4之前版本存在安全漏洞，该漏洞源于存在预授权命令注入漏洞，允许威胁攻击者执行任意代码。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-1671
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://www.sophos.com/en-us/security-advisories/sophos-sa-20230404-swa-rce
5、CVE-2023-20109（Cisco IOS 缓冲区错误漏洞）
漏洞描述：Cisco IOS是美国思科（Cisco）公司的一套为其网络设备开发的操作系统。 Cisco IOS 软件和 Cisco IOS XE存在安全漏洞，该漏洞源于Cisco Group Encrypted Transport VPN (GET VPN) 功能中的漏洞可能允许对组成员或密钥服务器具有管理控制权的经过身份验证的远程攻击者在受影响的设备或导致设备崩溃。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-20109
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-getvpn-rce-g8qR68sx
6、CVE-2023-20198（Cisco IOS XE Web UI权限升级漏洞）
漏洞描述：Cisco IOS XE Software是美国思科（Cisco）公司的一个操作系统。用于企业有线和无线访问，汇聚，核心和WAN的单一操作系统，Cisco IOS XE降低了业务和网络的复杂性。 Cisco IOS XE Software 存在安全漏洞，该漏洞源于允许未经身份验证的远程攻击者在受影响的系统上创建具有特权的帐户。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-20198
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-webui-privesc-j22SaA4z
7、CVE-2023-20269（Cisco ASA和FTD 安全漏洞）
漏洞描述：Cisco Firepower Threat Defense（FTD）是美国思科（Cisco）公司的一套提供下一代防火墙服务的统一软件。 Cisco Adaptive Security Appliance Software和Firepower Threat Defense Software存在安全漏洞，该漏洞源于远程访问VPN功能与HTTPS管理和站点到站点VPN功能之间的身份验证、授权和计费分离不当，可能允许未经身份验证的远程攻击者进行暴力攻击，试图识别有效的用户名和密码组合。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-20269
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-ravpn-auth-8LyfCkeC
8、CVE-2023-20273（Cisco IOS XE Web UI命令注入漏洞）
漏洞描述：Cisco IOS XE Software是美国思科（Cisco）公司的一个操作系统。用于企业有线和无线访问，汇聚，核心和WAN的单一操作系统，Cisco IOS XE降低了业务和网络的复杂性。 Cisco IOS XE Software存在安全漏洞，该漏洞源于输入验证不足，导致攻击者可以通过web UI功能使用root权限注入命令。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-20273
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-webui-privesc-j22SaA4z
9、CVE-2023-2033（Google Chromium V8 类型混淆漏洞）
漏洞描述：Google Chrome是美国谷歌（Google）公司的一款Web浏览器。V8是其中的一套开源JavaScript引擎。 Google Chrome 112.0.5615.121之前版本存在安全漏洞，该漏洞源于V8存在类型混淆，允许远程攻击者通过精心设计的HTML页面潜在地利用堆损坏。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-2033
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://chromereleases.googleblog.com/2023/04/stable-channel-update-for-desktop_14.html
10、CVE-2023-20867（VMware Tools 授权问题漏洞）
漏洞描述：VMware Tools是美国威睿（VMware）公司的一款VMWare虚拟机自带的增强工具，它是VMware提供的用于增强虚拟显卡和硬盘性能、以及同步虚拟机与主机时钟的驱动程序。 VMware Tools存在安全漏洞，该漏洞源于无法验证主机到客户的操作，从而影响客户虚拟机的机密性和完整性。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-20867
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://www.vmware.com/security/advisories/VMSA-2023-0013.html
11、CVE-2023-20887（VMware Aria Operations 命令注入漏洞）
漏洞描述：VMware Aria Operations是美国威睿（VMware）公司的一个统一的、人工智能驱动的自动驾驶 IT 运营管理平台，适用于私有云、混合云和多云环境。 VMware Aria Operations Networks 6.x系列版本存在安全漏洞，攻击者利用该漏洞可以执行命令注入攻击，从而导致远程代码执行。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-20887
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://www.vmware.com/security/advisories/VMSA-2023-0012.html
12、CVE-2023-20963（Google Android 信任管理问题漏洞）
漏洞描述：Android 框架中存在一个不明漏洞，该漏洞允许在将应用更新到更高的目标 SDK 后进行权限提升，而无需额外的执行权限。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-20963
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://source.android.com/docs/security/bulletin/2023-03-01
13、CVE-2023-21237（Android Pixel 信息泄露漏洞）
漏洞描述：Google Pixel是美国谷歌（Google）公司的一款智能手机。 Android Pixel 在 Framework 组件中包含一个漏洞，该漏洞可能具有误导性或不足，因此提供了隐藏前台服务通知的方法，这可能使本地攻击者能够泄露敏感信息。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-21237
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://source.android.com/security/bulletin/pixel/2023-06-01
14、CVE-2023-2136（Google Chrome Skia整数溢出漏洞）
漏洞描述：该漏洞是由于 Skia中存在整数溢出并可以破坏渲染器进程的代码环境，攻击者可利用该漏洞在未授权的情况下，构造恶意数据执行沙箱逃逸，配合其他漏洞可以执行任意代码，最终获取服务器最高权限。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-2136
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://chromereleases.googleblog.com/2023/04/stable-channel-update-for-desktop_18.html
15、CVE-2023-21492（SAMSUNG Mobile devices 日志信息泄露漏洞）
漏洞描述：SAMSUNG Mobile devices是韩国三星（SAMSUNG）公司的一系列的三星移动设备，包括手机、平板等。 SAMSUNG Mobile devices SMR May-2023 Release 1 版本之前存在安全漏洞，该漏洞源于日志文件允许特权本地攻击者绕过 ASLR。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-21492
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://security.samsungmobile.com/securityUpdate.smsb?year=2023&month=05
16、CVE-2023-21608（Adobe Acrobat Reader 资源管理错误漏洞）
漏洞描述：Adobe Acrobat Reader是美国奥多比（Adobe）公司的一款PDF查看器。该软件用于打印，签名和注释 PDF。 Adobe Acrobat Reader 22.003.20282（及更早版本）、22.003.20281（及更早版本）和 20.005.30418（及更早版本）存在资源管理错误漏洞，该漏洞源于受释放后重用漏洞影响，该漏洞可能导致在当前用户的上下文中执行任意代码。 利用此问题需要用户交互，因为受害者必须打开恶意文件。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-21608
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://helpx.adobe.com/security/products/acrobat/apsb23-01.html
17、CVE-2023-21674（Microsoft Windows 高级本地过程调用 （ALPC） 权限提升漏洞）
漏洞描述：Microsoft Windows ALPC是美国微软（Microsoft）公司的一种用于高速消息传递的进程间通信工具。 Microsoft Windows ALPC存在安全漏洞CVE-2023-21674，攻击者利用该漏洞可以提升权限。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-21674
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2023-21674
18、CVE-2023-21715（Microsoft Publisher 安全功能绕过漏洞）
漏洞描述：Microsoft Publisher是美国微软（Microsoft）公司的一款入门级的桌面出版应用软件，它能提供比Microsoft Word更强大的页面元素控制功能。 Microsoft Office Publisher 包含一个安全功能绕过漏洞，该漏洞允许对目标系统进行经过身份验证的本地攻击。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-21715
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21715
19、CVE-2023-21823（Microsoft Windows 图形组件权限提升漏洞）
漏洞描述：Windows Graphics Component 是 Windows 操作系统中的一个组件，它提供了用于图形处理和显示的核心功能和 API。该组件的受影响版本存在远程代码执行漏洞，以下产品和版本受到影响：Microsoft Office,Microsoft Office for iOS,Windows 10 Version 1809,Windows Server 2019,Windows Server 2022,Windows 10 Version 20H2,Windows 11 version 21H2,Windows 10 Version 21H2,Windows 11 version 22H2,Windows 10 Version 22H2,Windows 10 Version 1507,Windows 10 Version 1607,Windows Server 2016,Windows Server 2008,Windows Server 2008 R2,Windows Server 2012,Windows Server 2012 R2。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-21823
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21823
20、CVE-2023-21839（Oracle WebLogic Server 安全漏洞）
漏洞描述：Oracle WebLogic Server是美国甲骨文（Oracle）公司的一款适用于云环境和传统环境的应用服务中间件，它提供了一个现代轻型开发平台，支持应用从开发到生产的整个生命周期管理，并简化了应用的部署和管理。 Oracle WebLogic Server 12.2.1.3.0, 12.2.1.4.0 和 14.1.1.0.0存在安全漏洞，攻击者可利用该漏洞导致对关键数据的未授权访问或对所有 Oracle WebLogic Server 可访问数据的完全访问。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-21839
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://www.oracle.com/security-alerts/cpujan2037.html
21、CVE-2023-22515（Atlassian Confluence 数据中心和服务器访问控制漏洞）
漏洞描述：Atlassian Confluence Server是澳大利亚Atlassian公司的一套具有企业知识管理功能，并支持用于构建企业WiKi的协同软件的服务器版本。 Atlassian Confluence Server存在安全漏洞，该漏洞源于外部攻击者可能利用可公开访问的Confluence Data Center和Confluence Serve，用未知的漏洞来创建Confluence 管理员帐户并访问 Confluence 实例。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-22515
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://confluence.atlassian.com/pages/viewpage.action?pageId=1295682276
22、CVE-2023-22518（Atlassian Confluence 数据中心和服务器授权不当漏洞）
漏洞描述：Atlassian Confluence Data Center and Server 包含一个不当授权漏洞，未经身份验证的攻击者利用该漏洞可导致大量数据丢失，由于攻击者无法泄露任何数据，因此对机密性没有影响。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-22518
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2023-22518&field_date_added_wrapper=all&sort_by=field_date_added&items_per_page=20
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://confluence.atlassian.com/pages/viewpage.action?pageId=1311473907
23、CVE-2023-22527（Atlassian Confluence 数据中心和服务器模板注入漏洞）
漏洞描述：Atlassian Confluence是澳大利亚Atlassian公司的一套专业的企业知识管理与协同软件，也可以用于构建企业WiKi。 Atlassian Confluence Data Center and Server存在安全漏洞，该漏洞源于存在模板注入漏洞，允许未经身份验证的攻击者在受影响的实例上实现远程代码执行。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-22527
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://confluence.atlassian.com/pages/viewpage.action?pageId=1333335615
24、CVE-2023-22952（SugarCRM 输入验证错误漏洞）
漏洞描述：SugarCRM是美国SugarCRM公司的一套开源的客户关系管理系统（CRM）。该系统支持对不同的客户需求进行差异化营销、管理和分配销售线索，实现销售代表的信息共享和追踪。 SugarCRM 12.0之前版本存在安全漏洞，该漏洞源于缺少输入验证，精心设计的请求可以通过电子邮件模板注入自定义 PHP 代码。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-22952
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://support.sugarcrm.com/Resources/Security/sugarcrm-sa-2023-001/
25、CVE-2023-23376（Microsoft Windows 通用日志文件系统 （CLFS） 驱动程序权限提升漏洞）
漏洞描述：Microsoft Windows Common Log File System Driver (CLFS) 是 Windows 操作系统中的一个驱动程序，用于支持基于事务的文件系统操作。CLFS 驱动程序提供了一种可靠的、基于事务的机制，用于日志记录、恢复和备份文件系统操作，确保文件系统的数据完整性和一致性。受漏洞影响版本中，威胁攻击者可在目标主机上获得 SYSTEM 权限。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-23376
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23376
26、CVE-2023-23397（Microsoft Office Outlook 权限提升漏洞）
漏洞描述：Microsoft Office Outlook 包含一个权限提升漏洞，该漏洞允许对另一个服务进行 NTLM 中继攻击，以用户身份进行身份验证。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-23397
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23397
27、CVE-2023-23752 （Joomla Rest API 未授权访问漏洞）
漏洞描述：Joomla是美国Open Source Matters团队的一套使用PHP和MySQL开发的开源、跨平台的内容管理系统(CMS)。 Joomla 4.0.0版本至4.2.7版本存在安全漏洞，该漏洞源于不正确的访问检查，允许对web服务端点进行未经授权的访问。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-23752
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://developer.joomla.org/security-centre/894-20230201-core-improper-access-check-in-webservice-endpoints.html
28、CVE-2023-24489（Citrix Content Collaboration ShareFile 访问控制不当漏洞）
漏洞描述：Citrix Systems Content Collaboration是美国思杰系统（Citrix Systems）公司的一种安全的企业文件同步和共享服务。可满足用户的移动和协作需求以及企业的数据安全要求。Citrix Systems Content Collaboration存在安全漏洞，该漏洞源于 ShareFile StorageZones Controller 存在不正确的资源控制漏洞。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-24489
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://support.citrix.com/article/CTX559517/sharefile-storagezones-controller-security-update-for-cve202324489
29、CVE-2023-24880（Microsoft Windows SmartScreen 安全功能绕过漏洞）
漏洞描述：Microsoft Windows SmartScreen 包含一个安全功能绕过漏洞，该漏洞可能允许攻击者通过特制的恶意文件逃避 Web 标记 （MOTW） 防御。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-24880
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-24880
30、CVE-2023-24955（Microsoft SharePoint 服务器代码注入漏洞）
漏洞描述：Microsoft SharePoint Server 包含一个代码注入漏洞，允许具有网站所有者权限的经过身份验证的攻击者远程执行代码。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-24955
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-24955
31、CVE-2023-25717（Ruckus Wireless SmartZone 代码注入漏洞）
漏洞描述：Ruckus Wireless SmartZone是Ruckus公司的高性能WLAN控制器。
Ruckus Wireless Admin 10.4及之前版本存在安全漏洞，该漏洞源于允许通过未经身份验证的HTTP GET请求执行远程代码。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-25717
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://support.ruckuswireless.com/security_bulletins/315
32、CVE-2023-26083（Arm Mali GPU Kernel Driver 安全漏洞）
漏洞描述：ARM Midgard GPU Kernel Driver和Valhall GPU Kernel Driver都是英国ARM公司的产品。Midgard GPU Kernel Driver是一个 Mali GPU 设备驱动程序。Valhall GPU Kernel Driver是一个 Valhall GPU 内核驱动程序。Arm Mali GPU Kernel Driver 存在安全漏洞，该漏洞源于非特权用户可以进行有效的 GPU 处理操作，从而暴露敏感的内核元数据。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-26083
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://developer.arm.com/Arm%20Security%20Center/Mali%20GPU%20Driver%20Vulnerabilities
33、CVE-2023-26359（Adobe ColdFusion 反序列化漏洞）
漏洞描述：Adobe ColdFusion是美国奥多比（Adobe）公司的一套快速应用程序开发平台。该平台包括集成开发环境和脚本语言。由于Adobe ColdFusion对反序列化安全检查存在缺陷，未经身份验证的远程攻击者通过构造恶意数据包进行反序列化攻击，最终可实现在目标系统上执行任意代码。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-26359
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://helpx.adobe.com/security/products/coldfusion/apsb23-25.html
34、CVE-2023-26360（Adobe ColdFusion 访问控制错误漏洞）
漏洞描述：Adobe ColdFusion是美国奥多比（Adobe）公司的一套快速应用程序开发平台。该平台包括集成开发环境和脚本语言。由于Adobe ColdFusion存在对资源访问控制不当的缺陷，未经身份验证的攻击者可利用该漏洞在目标系统上实现任意代码执行，且无需用户交互。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-26360
https://zhuanlan.zhihu.com/p/615386934
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://helpx.adobe.com/security/products/coldfusion/apsb23-25.html
35、CVE-2023-26369（Adobe Acrobat Reader 缓冲区错误漏洞）
漏洞描述：Adobe Acrobat Reader是美国奥多比（Adobe）公司的一款PDF查看器。该软件用于打印，签名和注释 PDF。 Adobe Acrobat Reader 存在缓冲区错误漏洞，该漏洞源于存在越界写入问题，可能导致任意代码执行。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-26369
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://helpx.adobe.com/security/products/acrobat/apsb23-34.html
36、CVE-2023-27350（PaperCut NG 访问控制错误漏洞 ）
漏洞描述：PaperCut NG是澳大利亚PaperCut公司的一套下一代打印机控制软件。 PaperCut NG 22.0.5版本存在访问控制错误漏洞，该漏洞源于访问控制不当，攻击者利用该漏洞可以绕过身份验证并在系统上下文中执行任意代码。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-27350
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://www.papercut.com/kb/Main/PO-1216-and-PO-1219
37、CVE-2023-27524（Apache Superset 安全漏洞）
漏洞描述：Apache Superset 是一款现代化的开源大数据工具，也是企业级商业智能 Web 应用，用于数据探索分析和数据可视化，提供了简单易用的无代码可视化构建器和声称是最先进的 SQL 编辑器，用户可以使用这些工具快速地构建数据仪表盘。Apache Superset 2.0.1版本及之前版本存在安全漏洞CVE-2023-27524 ，未经授权的攻击者可根据默认配置的SECRET_KEY伪造成管理员用户访问Apache Superset。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-27524
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://lists.apache.org/thread/n0ftx60sllf527j7g11kmt24wvof8xyk
38、CVE-2023-27532（Veeam Backup & Replication 访问控制错误漏洞）
漏洞描述：Veeam Backup & Replication是美国Veeam公司的一个备份和复制软件。 Veeam Backup & Replication存在安全漏洞，该漏洞源于允许获取配置数据库中存储的加密凭据，攻击者利用该漏洞可以获得备份基础结构主机的访问权限。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-27532
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：
https://www.veeam.com/kb4424
39、CVE-2023-27992（Zyxel NAS326 操作系统命令注入漏洞）
漏洞描述：Zyxel NAS326是中国合勤（Zyxel）公司的一款云存储 NAS。 Zyxel NAS326 V5.21(AAZF.14)C0之前固件版本、NAS540 V5.21(AATB.11)C0之前固件版本、NAS542V5.21之前固件版本存在安全漏洞，该漏洞源于许未经身份验证的攻击者通过发送精心设计的 HTTP 请求远程执行某些操作系统 (OS) 命令。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-27992
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-pre-authentication-command-injection-vulnerability-in-nas-products
40、CVE-2023-27997（Fortinet FortiOS 缓冲区错误漏洞 ）
漏洞描述：Fortinet FortiOS是Fortinet公司的一套专用于FortiGate网络安全平台上的安全操作系统。该系统为用户提供防火墙、防病毒、IPSec/SSLVPN、Web内容过滤和反垃圾邮件等多种安全功能。 Fortinet FortiOS存在基于堆的缓冲区溢出漏洞，该漏洞可允许未经身份验证的远程攻击者通过专门构建的请求执行代码或命令。
https://nic.cczu.edu.cn/2023/0615/c1305a334343/page.htm
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-27997
缓解措施：目前该漏洞已经修复，受影响用户可更新到FortiOS 固件版本：6.0.17、6.2.15、6.4.13、7.0.12 、7.2.5或更高版本。下载链接：
https://docs.fortinet.com/product/fortigate/6.0
https://docs.fortinet.com/product/fortigate/6.2
https://docs.fortinet.com/product/fortigate/6.4
https://docs.fortinet.com/product/fortigate/7.0
https://docs.fortinet.com/product/fortigate/7.2
41、CVE-2023-28229（Microsoft Windows CNG 密钥隔离服务权限提升漏洞）
漏洞描述：Microsoft Windows 加密下一代 （CNG） 密钥隔离服务包含一个不明漏洞，允许威胁攻击者获得特定的有限系统权限。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-28229
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-28229
42、CVE-2023-28252（Windows 通用日志文件系统驱动程序提升权限漏洞）
漏洞描述：CVE-2023-28252 会影响所有受支持的 Windows 服务器和客户端版本，威胁攻击者利用该漏洞，可以在无需用户干预的情况下，获得系统特权并完全破坏目标 Windows 系统。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-28252
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-28252
43、CVE-2023-28432（MinIO 信息泄露漏洞）
漏洞描述：MinIO是美国MinIO公司的一款开源的对象存储服务器。该产品支持构建用于机器学习、分析和应用程序数据工作负载的基础架构。MinIO 存在信息泄露漏洞，该漏洞源于在集群部署中MinIO会返回所有环境变量，导致信息泄露。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-28432
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q
44、CVE-2023-28434（MinIO 安全漏洞）
漏洞描述：MinIO是美国MinIO公司的一款开源的对象存储服务器。该产品支持构建用于机器学习、分析和应用程序数据工作负载的基础架构。 MinIO 存在安全漏洞，攻击者利用该漏洞获得启用控制台API的访问权限。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-28434
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：https://github.com/minio/minio/commit/67f4ba154a27a1b06e48bfabda38355a010dfca5
45、CVE-2023-2868（Barracuda Email Security Gateway 远程命令注入漏洞）
漏洞描述：Barracuda Load Balancer是美国梭子鱼（Barracuda Networks）公司的一款应用交付控制器。梭子鱼电子邮件安全网关产品中存在远程命令注入漏洞，该漏洞是由于未能全面清理 .tar 文件（磁带存档）的处理而产生的，源于用户提供的 .tar 文件的不完整输入验证，因为它与存档中包含的文件的名称有关。因此，远程攻击者可以以特定方式专门格式化这些文件名，从而导致通过 Perl 的 qx 运算符以电子邮件安全网关产品的权限远程执行系统命令，成功利用此漏洞可能在目标系统上以该用户权限执行命令。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-2868
缓解措施：当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下： https://www.barracuda.com/company/legal/esg-vulnerability
46、CVE-2023-29298（Zyxel ZyWALL USG 操作系统命令注入漏洞）
漏洞描述：Zyxel ZyWALL USG是合勤（Zyxel）公司的一款网络安全防火墙设备，在Zyxel ZyWALL USG 4.60版本至5.35版本存在操作系统命令注入漏洞，该漏洞源于错误消息处理不当。攻击者利用该漏洞通过向受影响的设备发送特制数据包来远程执行某些操作系统命令。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-28771
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-remote-command-injection-vulnerability-of-firewalls
47、CVE-2023-29298（Adobe ColdFusion 认证绕过漏洞）
漏洞描述：ColdFusion管理员的外部访问的产品功能中发现了一个影响Adobe ColdFusiion的访问控制绕过漏洞，该漏洞允许攻击者通过在请求的URL中插入意外的附加正斜杠字符来访问管理端点。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-29298
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：https://helpx.adobe.com/security/products/coldfusion/apsb23-40.html
48、CVE-2023-29300（Adobe ColdFusion 代码问题漏洞 ）
漏洞描述：Adobe ColdFusion是Adobe公司的一套快速应用程序开发平台，该平台包括集成开发环境和脚本语言。Adobe ColdFusion存在代码问题漏洞，该漏洞源于受到不受信任数据反序列化漏洞的影响，可能导致任意代码执行。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-29300
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：https://helpx.adobe.com/security/products/coldfusion/apsb23-40.html
49、CVE-2023-29336（Win32k 特权提升漏洞）
漏洞描述：Microsoft Win32k 包含一个不明漏洞CVE-2023-29336，威胁攻击者可以利用该漏洞将自身限升级到 SYSTEM 权限。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-29336
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29336
50、CVE-2023-29357（Microsoft SharePoint 认证绕过致代码执行漏洞）
漏洞描述：Microsoft SharePoint是Microsoft公司的一套企业业务协作平台，该平台用于对业务信息进行整合，并能够共享工作、与他人协同工作、组织项目和工作组、搜索人员和信息。 Microsoft Office SharePoint存在安全漏洞CVE-2023-29357 ，攻击者利用该漏洞可以提升权限，构造恶意请求伪造身份并登陆Sharepoint管理后台，造成敏感信息与远程代码执行。
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-29357
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29357
51、CVE-2023-29360（Microsoft 流式处理服务特权提升漏洞）
漏洞描述：mskssrv驱动程序是Windows内核的一部分，它主要负责管理和协调计算机上的多媒体资源，包括音频和视频的播放和录制。由于mskssrv驱动程序中数据验证不当，引用用户提供的值作为指针时缺少验证，导致未经身份验证的本地攻击者可以利用此漏洞将权限提升至SYSTEM。https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-29360
缓解措施：可通过官方补丁更新解决该威胁，免费更新链接：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29360
52、CVE-2023-29492（Novi Survey 代码注入漏洞）
漏洞描述：Novi Survey 8.9.43676 之前版本存在安全漏洞，攻击者利用该漏洞可以在服务帐户的上下文中在服务器上执行任意代码。该漏洞不提供对存储在系统中的调查或响应数据的访问。
缓解措施：升级到 8.9.43676 或更高版本。对于低于 8.9.43676 的版本，没有可用的解决方法：
https://novisurvey.net/blog/novi-survey-security-advisory-apr-2023.aspx
53、CVE-2023-29552（服务定位协议<SLP>拒绝服务漏洞）
漏洞描述：服务定位协议（SLP）包含一个拒绝服务（DoS）漏洞，未经身份验证的远程攻击者可利用该漏洞注册服务，并使用欺骗性 UDP 流量实施具有显著放大系数的拒绝服务（DoS）攻击。
https://security.netapp.com/advisory/ntap-20230426-0001/
缓解措施：升级到不受漏洞影响的ESXi 7.0 U2c 及更高版本，以及 ESXi 8.0 GA 及更高版本:
https://blogs.vmware.com/security/2023/04/vmware-response-to-cve-2023-29552-reflective-denial-of-service-dos-amplification-vulnerability-in-slp.html
54、CVE-2023-3079（Google Chrome V8类型混淆漏洞）
漏洞描述：由于Chrome V8 JavaScript引擎中存在类型混淆漏洞，恶意攻击者通过诱导用户打开恶意链接，浏览器在成功读取或写入超出缓冲区边界的内存后，可能导致浏览器崩溃或执行任意代码。
缓解措施：目前官方已修复该漏洞，对于 Mac 和 Linux，稳定版和扩展版已更新到 114.0.5735.106，对于 Windows 版，已更新为 114.0.5735.110,受影响用户可以升级更新到相应安全版本:
https://chromereleases.googleblog.com/2023/06/stable-channel-update-for-desktop.html
55、CVE-2023-32046（Microsoft Windows MSHTML 平台特权升级漏洞）
漏洞描述：Windows MSHTML 平台存在不明漏洞，攻击者利用该漏洞可以提升权限，以下产品和版本受到影响：Windows 10 Version 1809 for 32-bit Systems,Windows 10 Version 1809 for x64-based Systems,Windows 10 Version 1809 for ARM64-based Systems,Windows Server 2019,Windows Server 2019 (Server Core installation),Windows Server 2022,Windows Server 2022 (Server Core installation),Windows 11 version 21H2 for x64-based Systems,Windows 11 version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for 32-bit Systems,Windows 10 Version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for x64-based Systems,Windows 11 Version 22H2 for ARM64-based Systems,Windows 11 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for ARM64-based Systems,Windows 10 Version 22H2 for 32-bit Systems,Windows 10 for 32-bit Systems,Windows 10 for x64-based Systems,Windows 10 Version 1607 for 32-bit Systems,Windows 10 Version 1607 for x64-based Systems,Windows Server 2016,Windows Server 2016 (Server Core installation),Windows Server 2008 for 32-bit Systems Service Pack 2,Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation),Windows Server 2008 for x64-based Systems Service Pack 2,Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation),Windows Server 2008 R2 for x64-based Systems Service Pack 1,Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation),Windows Server 2012,Windows Server 2012 (Server Core installation),Windows Server 2012 R2,Windows Server 2012 R2 (Server Core installation)。
缓解措施：可通过Windows Update自动更新微软补丁修复漏洞，也可以手动下载补丁：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-32046
56、CVE-2023-32049（Microsoft Windows Defender SmartScreen 安全功能绕过漏洞）
漏洞描述：允许远程攻击者危害受影响的系统。由于Windows SmartScreen中的URL验证不当。远程攻击者可以诱骗受害者访问特制的URL、绕过“打开文件 - 安全警告”提示并在系统上执行任意代码。以下产品和版本受到影响：Windows 10 Version 1809 for 32-bit Systems,Windows 10 Version 1809 for x64-based Systems,Windows 10 Version 1809 for ARM64-based Systems,Windows Server 2019,Windows Server 2019 (Server Core installation),Windows 10 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for ARM64-based Systems,Windows 10 Version 22H2 for 32-bit Systems,Windows 10 Version 1607 for 32-bit Systems,Windows 10 Version 1607 for x64-based Systems,Windows Server 2016,Windows Server 2016 (Server Core installation),Windows Server 2022,Windows Server 2022 (Server Core installation),Windows 11 version 21H2 for x64-based Systems,Windows 11 version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for 32-bit Systems,Windows 10 Version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for x64-based Systems,Windows 11 Version 22H2 for ARM64-based Systems,Windows 11 Version 22H2 for x64-based Systems。
缓解措施：可通过Windows Update自动更新微软补丁修复漏洞，也可以手动下载补丁：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-32049
57、CVE-2023-32315（Ignite Realtime Openfire 路径遍历漏洞）
漏洞描述：允许未经身份验证的用户在已配置的 Openfire 环境中使用未经身份验证的 Openfire 设置环境，以访问为管理用户保留的 Openfire 管理控制台中的受限页面。
影响版本：
>= 3.10.0, < 4.6.8
>= 4.7.0, < 4.7.5
缓解措施：
1.升级版本至4.6.8或4.7.5及以上。目前官方已发布补丁：
https://github.com/igniterealtime/Openfire/security/advisories/GHSA-gw42-f939-fhvm
2.若不方便升级，可利用阿里云安全组功能设置 Openfire 管理员控制台仅对可信地址开放。
58、CVE-2023-33009（Zyxel 多款防火墙缓冲区溢出漏洞）
漏洞描述：Zyxel ATP 系列固件版本 4.60 至 5.36 补丁 1、USG FLEX 系列固件版本 4.60 至 5.36 补丁 1、USG FLEX 50（W） 固件版本 4.60 至 5.36 补丁 1、USG20（W）-VPN 固件版本 4.60 至 5.36 补丁 1、VPN 系列固件版本 4.60 至 5.36 补丁 1、 ZyWALL/USG 系列固件版本 4.60 至 4.73 补丁 1 可能允许未经身份验证的攻击者在受影响的设备上造成拒绝服务 （DoS） 情况，甚至远程执行代码。
缓解措施：更新当前系统或软件至最新版，完成漏洞的修复：
https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-multiple-buffer-overflow-vulnerabilities-of-firewalls
59、CVE-2023-33010（Zyxel 多款防火墙缓冲区溢出漏洞）
漏洞描述：Zyxel ATP 系列固件版本 4.32 至 5.36 补丁 1、USG FLEX 系列固件版本 4.50 至 5.36 补丁 1、USG FLEX 50（W） 固件版本 4.25 至 5.36 补丁 1、USG20（W）-VPN 固件版本 4.25 至 5.36 补丁 1、VPN 系列固件版本 4.30 至 5.36 补丁 1、 ZyWALL/USG 系列固件版本 4.25 至 4.73 补丁 1 可能允许未经身份验证的攻击者在受影响的设备上造成拒绝服务 （DoS） 情况，甚至远程执行代码。
缓解措施：更新当前系统或软件至最新版，完成漏洞的修复：
https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-multiple-buffer-overflow-vulnerabilities-of-firewalls
60、CVE-2023-33063（Qualcomm Chipsets 在 DSP 服务中免费使用）
漏洞描述：多个高通芯片组存在一个 "使用后即释放 "漏洞，原因是在从 HLOS 到 DSP 的远程调用过程中，DSP 服务存在内存损坏。
https://docs.qualcomm.com/product/publicresources/securitybulletin/december-2023-bulletin.html#_cve-2023-33063
缓解措施：更新当前系统或软件至最新版，完成漏洞的修复：https://git.codelinaro.org/clo/la/kernel/msm-5.15/-/commit/2643808ddbedfaabbb334741873fb2857f78188a
https://git.codelinaro.org/clo/la/kernel/msm-4.14/-/commit/d43222efda5a01c9804d74a541e3c1be9b7fe110
61、CVE-2023-33106（Qualcomm Chipsets 在图形中使用超出范围的指针偏移）
漏洞描述：向 IOCTL_KGSL_GPU_AUX_COMMAND 提交 AUX 命令中的大量同步点列表时，由于 Graphics 中的内存损坏，多个高通芯片组存在使用超出范围指针偏移的漏洞。攻击者可以利用此漏洞来执行任意代码或导致拒绝服务攻击。
https://docs.qualcomm.com/product/publicresources/securitybulletin/december-2023-bulletin.html#_cve-2023-33106
缓解措施：更新当前系统或软件至最新版，完成漏洞的修复：
https://git.codelinaro.org/clo/la/kernel/msm-4.19/-/commit/1e46e81dbeb69aafd5842ce779f07e617680fd58
62、CVE-2023-33107（Qualcomm Chipsets Linux 中的整数溢出或环绕）
漏洞描述：当在IOCTL调用期间分配共享虚拟内存区域时，Graphics Linux中存在一种内存损坏漏洞。攻击者可以利用此漏洞，通过特制的请求导致内存损坏，可能导致拒绝服务或执行任意代码。
https://www.qualcomm.com/company/product-security/bulletins/december-2023-bulletin
缓解措施：更新当前系统或软件至最新版，完成漏洞的修复：
https://git.codelinaro.org/clo/la/kernel/msm-4.19/-/commit/d66b799c804083ea5226cfffac6d6c4e7ad4968b
63、CVE-2023-33246（Apache RocketMQ 代码注入漏洞）
漏洞描述：Apache RocketMQ 的多个组件（包括 NameServer、Broker 和 Controller）暴露于外网，且缺乏权限验证。攻击者可利用此漏洞，使用更新配置功能，以 RocketMQ 运行时的系统用户身份执行命令，或通过伪造 RocketMQ 协议内容达到相同效果。
影响版本：
5.0.0 <= Apache RocketMQ < 5.1.1
4.0.0 <= Apache RocketMQ < 4.9.6
https://packetstormsecurity.com/files/173339/Apache-RocketMQ-5.1.0-Arbitrary-Code-Injection.html
缓解措施：升级至安全的版本：
Apache RocketMQ 5.1.1
Apache RocketMQ 4.9.6
为了缓解这一风险，建议用户升级到上述的安全版本。如果无法立即升级，应实施网络层面的限制措施，例如配置防火墙规则，以限制对 RocketMQ 组件的访问，防止未经授权的访问。同时建议监控任何异常活动，并遵循最佳实践来保护部署环境，包括定期更新和应用安全补丁：https://lists.apache.org/thread/1s8j2c8kogthtpv3060yddk03zq0pxyp
64、CVE-2023-34048（VMware vCenter Server 缓冲区错误漏洞）
漏洞描述：VMware vCenter Server 8.0版本，7.0版本，5.x版本，4.x版本存在安全漏洞，该漏洞源于在DCERPC协议的实现中包含越界写入漏洞。攻击者可利用该漏洞导致远程代码执行。
缓解措施：目前官方已发布补丁：
https://www.vmware.com/security/advisories/VMSA-2023-0023.html
65、CVE-2023-34362（MoveIT SQL注入漏洞）
漏洞描述：该漏洞源于存在SQL注入漏洞。攻击者可利用该漏洞访问数据库并执行更改或删除操作。受影响的产品和版本： Progress MOVEit Transfer 2021.0.6 (13.0.6)之前版本，2021.1.4 (13.1.4)版本, 2022.0.4 (14.0.4)版本, 2022.1.5 (14.1.5)版本, 2023.0.1 (15.0.1)版本。
https://packetstormsecurity.com/files/173110/MOVEit-SQL-Injection.html
缓解措施：目前官方已发布补丁：https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023
66、CVE-2023-35078（Ivanti Endpoint Manager Mobile 授权问题漏洞）
漏洞描述：Ivanti Endpoint Manager Mobile 11.10及之前版本存在授权问题漏洞，该漏洞源于存在身份验证绕过，允许远程攻击者获取PII、添加管理帐户并更改配置。
https://forums.ivanti.com/s/article/CVE-2023-35078-Remote-unauthenticated-API-access-vulnerability?language=en_US
缓解措施：目前官方已发布补丁：https://www.ivanti.com/blog/cve-2023-35078-new-ivanti-epmm-vulnerability
67、CVE-2023-35081（Ivanti EPMM 路径遍历漏洞）
漏洞描述：Ivanti EPMM 11.10.0.3之前版本、11.9.1.2之前版本 和 11.8.1.2之前版本存在路径遍历漏洞，该漏洞源于允许经过身份验证的管理员将任意文件写入设备。
缓解措施：
将组件 endpoint_manager_mobile 升级至 11.8.1.2 及以上版本；
将组件 endpoint_manager_mobile 升级至 11.9.1.2 及以上版本；
将组件 endpoint_manager_mobile 升级至 11.10.0.3 及以上版本。
目前官方已发布补丁：https://forums.ivanti.com/s/article/CVE-2023-35081-Arbitrary-File-Write?language=en_US
68、CVE-2023-35082（Ivanti EPMM 授权问题漏洞）
漏洞描述：Ivanti EPMM 11.10及之前版本存在安全漏洞，该漏洞源于存在身份验证绕过漏洞，允许未经授权的用户在未经正确身份验证的情况下访问应用程序的受限功能或资源。
https://forums.ivanti.com/s/article/CVE-2023-35082-Remote-Unauthenticated-API-Access-Vulnerability-in-MobileIron-Core-11-2-and-older?language=en_US
缓解措施：目前官方已发布补丁：缓解措施：目前官方已发布补丁：https://forums.ivanti.com/s/article/CVE-2023-35081-Arbitrary-File-Write?language=en_US
69、CVE-2023-3519（Citrix NetScaler ADC 和 NetScaler Gateway 代码注入漏洞）
漏洞描述：Citrix NetScaler ADC 和 NetScaler Gateway 存在代码注入漏洞，可导致未经验证的远程代码执行。
影响版本：
Citrix:NetScaler ADC 、NetScaler Gateway 13.0 ～ 13.0-91.13
Citrix:NetScaler ADC 、NetScaler Gateway 13.1 ～ 13.1-49.13
Citrix:NetScaler ADC 13.1-FIPS ～ 13.1-37.159
Citrix:NetScaler ADC 12.1-FIPS ～ 12.1-55.297
Citrix:NetScaler ADC 12.1-NDcPP ～ 12.1-55.297
https://support.citrix.com/article/CTX561482/citrix-adc-and-citrix-gateway-security-bulletin-for-cve20233519-cve20233466-cve20233467
缓解措施：
升级至安全版本：
Citrix:NetScaler ADC 、NetScaler Gateway 13.0-91.13
Citrix:NetScaler ADC 、NetScaler Gateway 13.1-49.13
Citrix:NetScaler ADC 13.1-37.159
Citrix:NetScaler ADC 12.1-55.297
目前官方已发布补丁：
https://support.citrix.com/article/CTX561482/citrix-adc-and-citrix-gateway-security-bulletin-for-cve20233519-cve20233466-cve20233467
70、CVE-2023-35311（Microsoft Outlook 安全功能绕过漏洞）
漏洞描述：Microsoft Outlook 包含一个安全功能绕过漏洞，允许攻击者绕过 Microsoft Outlook 安全通知提示。以下产品和版本受到影响：Microsoft 365 Apps for Enterprise for 32-bit Systems,Microsoft Office LTSC 2021 for 32-bit editions,Microsoft 365 Apps for Enterprise for 64-bit Systems,Microsoft Office LTSC 2021 for 64-bit editions,Microsoft Office 2019 for 32-bit editions,Microsoft Outlook 2016 (32-bit edition),Microsoft Office 2019 for 64-bit editions,Microsoft Outlook 2016 (64-bit edition),Microsoft Outlook 2013 (32-bit editions),Microsoft Outlook 2013 (64-bit editions),Microsoft Outlook 2013 RT Service Pack 1。
缓解措施：目前官方已发布补丁：
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-35311
71、CVE-2023-35674（Google Android框架权限升级漏洞）
漏洞描述：由于代码中的逻辑错误，在WindowState.java的onCreate方法中存在可能导致后台活动启动的方式。这可能导致本地特权升级，而无需额外的执行特权。不需要用户交互即可利用该漏洞。
https://android.googlesource.com/platform/frameworks/base/+/7428962d3b064ce1122809d87af65099d1129c9e
缓解措施：目前官方已发布补丁，建议升级至2023-09-05 或更新的安全补丁：
https://source.android.com/docs/security/bulletin/2023-09-01?hl=zh-cn
72、CVE-2023-36025（Microsoft Windows SmartScreen 安全功能绕过漏洞）
漏洞描述：Microsoft Windows SmartScreen 包含一个安全功能绕过漏洞，攻击者可绕过 Windows Defender SmartScreen 检查及其相关提示。以下产品和版本受到影响：Windows 10 Version 1809 for 32-bit Systems,Windows 10 Version 1809 for x64-based Systems,Windows 10 Version 1809 for ARM64-based Systems,Windows Server 2019,Windows Server 2019 (Server Core installation),Windows Server 2022,Windows Server 2022 (Server Core installation),Windows 11 version 21H2 for x64-based Systems,Windows 11 version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for 32-bit Systems,Windows 10 Version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for x64-based Systems,Windows 11 Version 22H2 for ARM64-based Systems,Windows 11 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for ARM64-based Systems,Windows 10 Version 22H2 for 32-bit Systems,Windows 11 Version 23H2 for ARM64-based Systems,Windows Server 2012 (Server Core installation),Windows Server 2012 R2,Windows Server 2012 R2 (Server Core installation),Windows 11 Version 23H2 for x64-based Systems,Windows Server 2022, 23H2 Edition (Server Core installation),Windows 10 for 32-bit Systems,Windows 10 for x64-based Systems,Windows 10 Version 1607 for 32-bit Systems,Windows 10 Version 1607 for x64-based Systems,Windows Server 2016,Windows Server 2016 (Server Core installation),Windows Server 2008 for 32-bit Systems Service Pack 2,Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation),Windows Server 2008 for x64-based Systems Service Pack 2,Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation),Windows Server 2008 R2 for x64-based Systems Service Pack 1,Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation),Windows Server 2012。
缓解措施：目前官方已发布补丁：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36025
73、CVE-2023-36033（Windows DWM 核心库特权提升漏洞）
漏洞描述：Window Manager (DWM) Core Library 含有一个不明漏洞，可导致权限提升。以下产品和版本受到影响：Windows 10 Version 1809 for 32-bit Systems,Windows 10 Version 1809 for x64-based Systems,Windows 10 Version 1809 for ARM64-based Systems,Windows Server 2019,Windows Server 2019 (Server Core installation),Windows Server 2022,Windows Server 2022 (Server Core installation),Windows 11 version 21H2 for x64-based Systems,Windows 11 version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for 32-bit Systems,Windows 10 Version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for x64-based Systems,Windows 11 Version 22H2 for ARM64-based Systems,Windows 11 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for ARM64-based Systems,Windows 10 Version 22H2 for 32-bit Systems,Windows 11 Version 23H2 for ARM64-based Systems,Windows 11 Version 23H2 for x64-based Systems,Windows Server 2022, 23H2 Edition (Server Core installation)。
缓解措施：目前官方已发布补丁：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36033
74、CVE-2023-36036（Windows Cloud Files Mini Filter Driver 特权提升漏洞）
漏洞描述：Microsoft Windows Cloud Files Mini Filter 驱动程序包含一个权限升级漏洞，攻击者可利用该漏洞获得系统管理员权限。以下产品和版本受到影响：Windows Server 2019,Windows Server 2019 (Server Core installation),Windows Server 2022,Windows Server 2022 (Server Core installation),Windows 11 version 21H2 for x64-based Systems,Windows 11 version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for 32-bit Systems,Windows 10 Version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for x64-based Systems,Windows 11 Version 22H2 for ARM64-based Systems,Windows 11 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for ARM64-based Systems,Windows 10 Version 22H2 for 32-bit Systems,Windows 10 for 32-bit Systems,Windows 10 for x64-based Systems,Windows 10 Version 1607 for 32-bit Systems,Windows 10 Version 1607 for x64-based Systems,Windows Server 2016,Windows Server 2016 (Server Core installation),Windows Server 2008 for 32-bit Systems Service Pack 2,Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation),Windows Server 2008 for x64-based Systems Service Pack 2,Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation),Windows Server 2008 R2 for x64-based Systems Service Pack 1,Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation),Windows Server 2012,Windows Server 2012 (Server Core installation),Windows Server 2012 R2,Windows Server 2012 R2 (Server Core installation),Windows 11 Version 23H2 for ARM64-based Systems,Windows Server 2022, 23H2 Edition (Server Core installation),Windows 11 Version 23H2 for x64-based Systems,Windows 10 Version 1809 for 32-bit Systems,Windows 10 Version 1809 for x64-based Systems,Windows 10 Version 1809 for ARM64-based Systems。
缓解措施：目前官方已发布补丁：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36036
75、CVE-2023-36563（Microsoft WordPad 安全漏洞）
漏洞描述：Microsoft WordPad 包含一个未指定的漏洞，该漏洞可导致信息泄露，存在信息泄露漏洞，攻击者可以利用该漏洞获取受影响用户使用WordPad编辑的敏感文件的敏感信息。通过利用该漏洞，攻击者可以非法访问被保护的文件，可能导致用户的个人隐私泄露和信息泄露风险。以下产品和版本受到影响：Windows 10 Version 1809 for 32-bit Systems,Windows 10 Version 1809 for x64-based Systems,Windows 10 Version 1809 for ARM64-based Systems,Windows Server 2019,Windows Server 2019 (Server Core installation),Windows Server 2022,Windows Server 2022 (Server Core installation),Windows 11 version 21H2 for x64-based Systems,Windows Server 2008 for x64-based Systems Service Pack 2,Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation),Windows Server 2008 R2 for x64-based Systems Service Pack 1,Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation),Windows Server 2012,Windows Server 2012 (Server Core installation),Windows Server 2012 R2,Windows Server 2012 R2 (Server Core installation),Windows 10 Version 1607 for 32-bit Systems,Windows 10 Version 1607 for x64-based Systems,Windows Server 2016,Windows Server 2016 (Server Core installation),Windows Server 2008 for 32-bit Systems Service Pack 2,Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation),Windows 11 version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for 32-bit Systems,Windows 10 Version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for x64-based Systems,Windows 11 Version 22H2 for ARM64-based Systems,Windows 11 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for ARM64-based Systems,Windows 10 Version 22H2 for 32-bit Systems,Windows 10 for 32-bit Systems,Windows 10 for x64-based Systems。
缓解措施：目前官方已发布补丁：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36563
76、CVE-2023-36584（Microsoft Windows 网络标记 <MOTW> 安全功能绕过漏洞）
漏洞描述：Microsoft Windows Mark of the Web (MOTW) 包含一个安全功能绕过漏洞，导致安全功能完整性和可用性的有限损失。攻击者可以利用该漏洞绕过标记网页的安全功能。这可能导致恶意网页绕过浏览器的安全机制，从而进行恶意活动，如潜在的恶意软件传播和数据泄露。以下产品和版本受到影响：Windows Server 2012 R2,Windows Server 2012 R2 (Server Core installation),Windows 10 Version 1809 for 32-bit Systems,Windows 10 Version 1809 for x64-based Systems,Windows 10 Version 1809 for ARM64-based Systems,Windows Server 2019,Windows Server 2019 (Server Core installation),Windows Server 2022,Windows Server 2022 (Server Core installation),Windows 11 version 21H2 for x64-based Systems,Windows 11 version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for 32-bit Systems,Windows 10 Version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for x64-based Systems,Windows 11 Version 22H2 for ARM64-based Systems,Windows 11 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for ARM64-based Systems,Windows 10 Version 22H2 for 32-bit Systems,Windows 10 for 32-bit Systems,Windows 10 for x64-based Systems,Windows 10 Version 1607 for 32-bit Systems,Windows 10 Version 1607 for x64-based Systems,Windows Server 2016,Windows Server 2016 (Server Core installation),Windows Server 2008 for 32-bit Systems Service Pack 2,Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation),Windows Server 2008 for x64-based Systems Service Pack 2,Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation),Windows Server 2008 R2 for x64-based Systems Service Pack 1,Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation),Windows Server 2012,Windows Server 2012 (Server Core installation)。
缓解措施：目前官方已发布补丁：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36584
77、CVE-2023-36761（Microsoft Word 信息披露漏洞）
漏洞描述：Microsoft Word 包含一个未指定的漏洞，可导致信息泄露，攻击者利用该漏洞可以获取敏感信息。以下产品和版本受到影响：Microsoft Office 2019 for 32-bit editions,Microsoft Office 2019 for 64-bit editions,Microsoft 365 Apps for Enterprise for 32-bit Systems,Microsoft 365 Apps for Enterprise for 64-bit Systems,Microsoft Office LTSC 2021 for 64-bit editions,Microsoft Office LTSC 2021 for 32-bit editions,Microsoft Word 2016 (32-bit edition),Microsoft Word 2016 (64-bit edition),Microsoft Word 2013 RT Service Pack 1,Microsoft Word 2013 Service Pack 1 (32-bit editions),Microsoft Word 2013 Service Pack 1 (64-bit editions)。
缓解措施：目前官方已发布补丁：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36761
78、CVE-2023-36802（Microsoft流式处理代理特权提升漏洞）
漏洞描述：Microsoft串流服务代理伺服器存在漏洞，导致权限提升。以下产品和版本受到影响：Windows 10 Version 1809 for 32-bit Systems,Windows 10 Version 1809 for x64-based Systems,Windows 10 Version 1809 for ARM64-based Systems,Windows Server 2019,Windows Server 2019 (Server Core installation),Windows Server 2022,Windows Server 2022 (Server Core installation),Windows 11 version 21H2 for x64-based Systems,Windows 11 version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for 32-bit Systems,Windows 10 Version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for x64-based Systems,Windows 11 Version 22H2 for ARM64-based Systems,Windows 11 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for ARM64-based Systems,Windows 10 Version 22H2 for 32-bit Systems。
缓解措施：目前官方已发布补丁：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36802
79、CVE-2023-36844（瞻博网络 Junos OS EX 系列 PHP 外部变量修改漏洞）
漏洞描述：EX 系列上的瞻博网络 Junos OS 存在一个 PHP 外部变量修改漏洞，允许未经身份验证的网络攻击者控制某些重要的环境变量。攻击者可以使用伪造的请求修改某些 PHP 环境变量，导致部分完整性丢失，并可能导致其他漏洞连锁。此问题影响了Juniper Networks Junos OS EX系列的以下版本：所有早期版本20.4R3-S9；21.2版本早于21.2R3-S6；21.3版本早于21.3R3-S5；21.4版本早于21.4R3-S5；22.1版本早于22.1R3-S4；22.2版本早于22.2R3-S2；22.3版本早于22.3R3-S1；22.4版本早于22.4R2-S2，22.4R3。
缓解措施：组件 junos 升级至 20.4 及以上版本，目前官方已发布补丁：
https://supportportal.juniper.net/s/article/2023-08-Out-of-Cycle-Security-Bulletin-Junos-OS-SRX-Series-and-EX-Series-Multiple-vulnerabilities-in-J-Web-can-be-combined-to-allow-a-preAuth-Remote-Code-Execution?language=en_US
80、CVE-2023-36845（瞻博网络 Junos OS EX 系列和 SRX 系列 PHP 外部变量修改漏洞）
漏洞描述：EX系列和SRX系列上的瞻博网络Junos操作系统存在一个PHP外部变量修改漏洞，允许未经认证的网络攻击者控制一个重要的环境变量。攻击者可以使用伪造的请求来设置变量PHPRC，从而修改PHP执行环境，允许注入和执行代码。此问题影响以下版本的Juniper Networks Junos OS: 所有版本早于21.4R3-S5；22.1版本早于22.1R3-S4；22.2版本早于22.2R3-S2；22.3版本早于22.3R2-S2、22.3R3-S1；22.4版本早于22.4R2-S1、22.4R3；23.2版本早于23.2R1-S1、23.2R2。
缓解措施：将组件 junos 升级至 20.4 及以上版本，目前官方已发布补丁：
https://supportportal.juniper.net/s/article/2023-08-Out-of-Cycle-Security-Bulletin-Junos-OS-SRX-Series-and-EX-Series-Multiple-vulnerabilities-in-J-Web-can-be-combined-to-allow-a-preAuth-Remote-Code-Execution?language=en_US
81、CVE-2023-36846（瞻博网络 Junos OS SRX 系列关键功能认证缺失漏洞）
漏洞描述：SRX 系列上的瞻博网络 Junos 操作系统存在一个关键功能认证缺失漏洞，允许未经认证的网络攻击者对文件系统完整性造成有限的影响。通过向 user.php 提出不需要身份验证的特定请求，攻击者能够通过 J-Web 上传任意文件，导致文件系统的某些部分失去完整性，从而可能连锁其他漏洞。此问题影响Juniper Networks Junos OS SRX系列的以下版本：所有低于20.4R3-S8的版本，低于21.2R3-S6的21.2版本，低于21.3R3-S5的21.3版本，低于21.4R3-S5的21.4版本，低于22.1R3-S3的22.1版本，低于22.2R3-S2的22.2版本，低于22.3R2-S2和22.3R3的22.3版本，低于22.4R2-S1和22.4R3的22.4版本。
缓解措施：将组件 junos 升级至 20.4 及以上版本，目前官方已发布补丁：
https://supportportal.juniper.net/s/article/2023-08-Out-of-Cycle-Security-Bulletin-Junos-OS-SRX-Series-and-EX-Series-Multiple-vulnerabilities-in-J-Web-can-be-combined-to-allow-a-preAuth-Remote-Code-Execution?language=en_US
82、CVE-2023-36847（瞻博网络 Junos OS EX 系列关键功能认证缺失漏洞）
漏洞描述：EX 系列上的瞻博网络 Junos OS 存在一个关键功能认证缺失漏洞，允许未经认证的网络攻击者对文件系统完整性造成有限的影响。通过对 installAppPackage.php 提出不需要身份验证的特定请求，攻击者可以通过 J-Web 上传任意文件，导致文件系统的某些部分失去完整性，从而可能连锁其他漏洞。此问题影响Juniper Networks Junos OS在EX系列上的以下版本：所有版本在20.4R3-S8之前；21.2版本在21.2R3-S6之前；21.3版本在21.3R3-S5之前；21.4版本在21.4R3-S4之前；22.1版本在22.1R3-S3之前；22.2版本在22.2R3-S1之前；22.3版本在22.3R2-S2，22.3R3之前；22.4版本在22.4R2-S1、22.4R3之前。
缓解措施：将组件 junos 升级至 20.4 及以上版本，目前官方已发布补丁：
https://supportportal.juniper.net/s/article/2023-08-Out-of-Cycle-Security-Bulletin-Junos-OS-SRX-Series-and-EX-Series-Multiple-vulnerabilities-in-J-Web-can-be-combined-to-allow-a-preAuth-Remote-Code-Execution?language=en_US
83、CVE-2023-36851（瞻博网络 Junos OS SRX 系列关键功能认证缺失漏洞）
漏洞描述：SRX 系列上的瞻博网络 Junos 操作系统存在一个关键功能认证缺失漏洞，允许未经身份验证的基于网络的攻击者对文件系统完整性造成有限的影响。通过对 webauth_operation.php 提出不需要身份验证的特定请求，攻击者能够通过 J-Web 上传任意文件，导致文件系统的某些部分丧失完整性，从而可能连锁其他漏洞。此问题会影响 SRX 系列上的瞻博网络 Junos OS： * 22.4R2-S2、22.4R3 之前的 22.4 版本;* 23.2R2 之前的 23.2 版本。
缓解措施：将组件 junos 升级至 20.4 及以上版本，目前官方已发布补丁：
https://supportportal.juniper.net/s/article/2023-08-Out-of-Cycle-Security-Bulletin-Junos-OS-SRX-Series-and-EX-Series-Multiple-vulnerabilities-in-J-Web-can-be-combined-to-allow-a-preAuth-Remote-Code-Execution?language=en_US
84、CVE-2023-36874（Microsoft Windows 错误报告服务权限升级漏洞）
漏洞描述：微软视窗错误报告服务包含漏洞，可导致权限提升。以下产品和版本受到影响：Windows 10 Version 21H2 for 32-bit Systems,Windows 10 Version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for x64-based Systems,Windows 11 Version 22H2 for ARM64-based Systems,Windows 11 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for ARM64-based Systems,Windows 10 Version 22H2 for 32-bit Systems,Windows 10 for 32-bit Systems,Windows 10 for x64-based Systems,Windows 10 Version 1607 for 32-bit Systems,Windows 10 Version 1607 for x64-based Systems,Windows Server 2016,Windows Server 2016 (Server Core installation),Windows Server 2008 for 32-bit Systems Service Pack 2,Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation),Windows Server 2008 for x64-based Systems Service Pack 2,Windows Server 2019 (Server Core installation),Windows Server 2022,Windows Server 2022 (Server Core installation),Windows 11 version 21H2 for x64-based Systems,Windows 11 version 21H2 for ARM64-based Systems,Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation),Windows Server 2008 R2 for x64-based Systems Service Pack 1,Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation),Windows Server 2012,Windows Server 2012 (Server Core installation),Windows Server 2012 R2,Windows Server 2012 R2 (Server Core installation),Windows 10 Version 1809 for 32-bit Systems,Windows 10 Version 1809 for x64-based Systems,Windows 10 Version 1809 for ARM64-based Systems,Windows Server 2019。
缓解措施：安装 Windows 最新安全补丁：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36874
85、CVE-2023-36884（Microsoft Windows Search 远程代码执行漏洞）
漏洞描述：Microsoft Windows Search 包含一个未指定的漏洞，攻击者可通过特制的恶意文件避开 Web 标记 (MOTW) 防御，导致远程代码执行。以下产品和版本受到影响：Windows 10 Version 1809 for 32-bit Systems,Windows 10 Version 1809 for x64-based Systems,Windows 10 Version 1809 for ARM64-based Systems,Windows Server 2019,Windows Server 2019 (Server Core installation),Windows Server 2022,Windows Server 2022 (Server Core installation),Windows 11 version 21H2 for x64-based Systems,Windows 11 version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for 32-bit Systems,Windows 10 Version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for x64-based Systems,Windows 11 Version 22H2 for ARM64-based Systems,Windows 11 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for ARM64-based Systems,Windows 10 Version 22H2 for 32-bit Systems,Windows 10 for 32-bit Systems,Windows 10 for x64-based Systems,Windows 10 Version 1607 for 32-bit Systems,Windows 10 Version 1607 for x64-based Systems,Windows Server 2016,Windows Server 2016 (Server Core installation),Windows Server 2008 for 32-bit Systems Service Pack 2,Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation),Windows Server 2008 for x64-based Systems Service Pack 2,Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation),Windows Server 2008 R2 for x64-based Systems Service Pack 1,Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation),Windows Server 2012,Windows Server 2012 (Server Core installation),Windows Server 2012 R2,Windows Server 2012 R2 (Server Core installation),Microsoft Office 2019 for 32-bit editions,Microsoft Office 2019 for 64-bit editions,Microsoft Office LTSC 2021 for 64-bit editions,Microsoft Office LTSC 2021 for 32-bit editions,Microsoft Word 2016 (32-bit edition),Microsoft Word 2016 (64-bit edition),Microsoft Word 2013 Service Pack 1 (32-bit editions),Microsoft Word 2013 Service Pack 1 (64-bit editions)。
缓解措施：安装 Windows 最新安全补丁：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36884
86、CVE-2023-37580（Zimbra Collaboration <ZCS> 跨站脚本 (XSS) 漏洞）
漏洞描述：Zimbra协作（ZCS）8在8.8.15补丁41之前的版本中，Zimbra经典Web客户端存在XSS漏洞。攻击者可以利用此漏洞向受害者发送恶意代码，从而窃取其敏感信息。
缓解措施：将组件 zimbra 升级至 8.8.15 及以上版本：
https://wiki.zimbra.com/wiki/Security_Center
87、CVE-2023-38035（Ivanti Sentry 身份验证绕过漏洞）
漏洞描述：Ivanti MobileIron Sentry 版本 9.18.0 及更低版本的 MICS 管理门户中存在一个安全漏洞，由于 Apache HTTPD 配置限制不足，攻击者可能允许其绕过管理界面上的身份验证控制。
https://packetstormsecurity.com/files/174643/Ivanti-Sentry-Authentication-Bypass-Remote-Code-Execution.html
缓解措施：更新当前系统或软件至最新版，完成漏洞的修复：
https://forums.ivanti.com/s/article/CVE-2023-38035-API-Authentication-Bypass-on-Sentry-Administrator-Interface?language=en_US
88、CVE-2023-38180（Microsoft .NET Core 和 Visual Studio 拒绝服务漏洞）
漏洞描述：Microsoft .NET Core 和 Visual Studio 包含一个未指定的漏洞，可导致拒绝服务 (DoS)。以下产品和版本受到影响：Microsoft Visual Studio 2022 version 17.2,Microsoft Visual Studio 2022 version 17.4,Microsoft Visual Studio 2022 version 17.6,ASP.NET Core 2.1,.NET 6.0,.NET 7.0。
缓解措施：更新当前系统或软件至最新版，完成漏洞的修复：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-38180
89、CVE-2023-38203（Adobe ColdFusion 对不可信任数据的反序列化漏洞）
漏洞描述：Adobe ColdFusion版本2018u17（以及早期版本）、2021u7（以及早期版本）和2023u1（以及早期版本）受到反序列化未受信任数据漏洞的影响，可能导致任意代码执行。利用此问题不需要用户交互。
缓解措施：更新当前系统或软件至最新版，完成漏洞的修复：
https://helpx.adobe.com/security/products/coldfusion/apsb23-41.html
90、CVE-2023-38205（Adobe ColdFusion 存取控制不当漏洞）
漏洞描述：Adobe ColdFusion 版本 2018u18（及更早版本）、2021u8（及更早版本）和 2023u2（及更早版本）受到访问控制不当漏洞的影响，该漏洞可能导致绕过安全功能。攻击者可利用此漏洞访问管理 CFM 和 CFC 端点。利用此问题不需要用户交互。
缓解措施：更新当前系统或软件至最新版，完成漏洞的修复：
https://helpx.adobe.com/security/products/coldfusion/apsb23-47.html
91、CVE-2023-38831（RARLAB WinRAR 代码执行漏洞）
漏洞描述：WinRAR 6.2.3之前版本打开压缩文件时会调用 ShellExecute 函数匹配文件名，如果目标文件名与文件类型不匹配时则会执行目标文件中的批处理文件。攻击者可利用该漏洞构造恶意的压缩文件，其中包含具有恶意 payload 的文件和同名的文件夹，通过诱导用户打开压缩文件中的带有 payload 的恶意文件远程执行任意代码。
https://packetstormsecurity.com/files/174573/WinRAR-Remote-Code-Execution.html
缓解措施：谨慎使用 WinRAR 打开不受信任的文件，将WinRAR升级到 6.23 或更高版本：
92、CVE-2023-40044（Progress WS_FTP 服务器反序列化不受信任数据漏洞）
漏洞描述：Progress WS_FTP Server 的 Ad Hoc Transfer 模块中包含一个反序列化不受信任数据的漏洞，该漏洞允许通过验证的攻击者在底层操作系统上执行远程命令。
https://packetstormsecurity.com/files/174917/Progress-Software-WS_FTP-Unauthenticated-Remote-Code-Execution.html
缓解措施：官方已发布补丁，建议升级至新版本：
https://community.progress.com/s/article/WS-FTP-Server-Critical-Vulnerability-September-2023
93、CVE-2023-41179（趋势科技Apex One和Worry-Free Business Security远程代码执行漏洞）
漏洞描述：Trend Micro Apex One（本地和 SaaS）、Worry-Free Security 和 Worry-Free Security Services 中包含的第三方 AV 卸载程序模块中存在一个漏洞，攻击者可以操纵该模块对受影响的安装执行任意命令。请注意，攻击者必须首先获取目标系统上的管理控制台访问权限才能利用此漏洞。
https://jvn.jp/en/vu/JVNVU90967486/
缓解措施：官方已发布补丁，建议升级至新版本：
https://success.trendmicro.com/dcx/s/solution/000294994?language=en_US
94、CVE-2023-41265（Qlik Sense HTTP 隧道漏洞）
漏洞描述：Qlik Sense 存在一个 HTTP 隧道漏洞，允许攻击者在托管该软件的后端服务器上提升权限并执行 HTTP 请求。
缓解措施：官方已发布补丁，建议升级至新版本：
https://community.qlik.com/t5/Official-Support-Articles/Critical-Security-fixes-for-Qlik-Sense-Enterprise-for-Windows/ta-p/2110801
95、CVE-2023-41266（Qlik Sense 路径遍历漏洞）
漏洞描述：Qlik Sense 存在路径遍历漏洞，未经身份验证的远程攻击者可通过发送恶意制作的 HTTP 请求创建匿名会话。该匿名会话允许攻击者向未经授权的端点发送更多请求。
缓解措施：官方已发布补丁，建议升级至新版本：
https://community.qlik.com/t5/Official-Support-Articles/Critical-Security-fixes-for-Qlik-Sense-Enterprise-for-Windows/ta-p/2110801
96、CVE-2023-41763（Microsoft Skype for Business 权限升级漏洞）
漏洞描述：Microsoft Skype for Business 存在提权漏洞，攻击者通过利用该漏洞可以提升其在系统中的权限，从而执行恶意操作和访问敏感信息。以下产品和版本受到影响：Skype for Business Server 2015 CU13,Skype for Business Server 2019 CU7。
缓解措施：建议用户及时更新Skype for Business以修复漏洞，官方已发布补丁：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-41763
97、CVE-2023-4211（Mali GPU 内核驱动程序允许不正确的 GPU 内存处理操作）
漏洞描述：Arm Mali GPU 内核驱动程序包含一个 “使用后即释放 ”漏洞，允许本地非特权用户进行不适当的 GPU 内存处理操作，以访问已释放的内存。
缓解措施：更新当前系统或软件至最新版，完成漏洞的修复：
https://developer.arm.com/Arm%20Security%20Center/Mali%20GPU%20Driver%20Vulnerabilities
98、CVE-2023-42793（JetBrains TeamCity 身份验证绕过漏洞）
漏洞描述：JetBrains TeamCity 包含一个身份验证绕过漏洞，该漏洞允许在 TeamCity 服务器上远程执行代码。攻击者可构造恶意请求创建token，并利用相关功能执行任意代码，控制服务器。
https://packetstormsecurity.com/files/174860/JetBrains-TeamCity-Unauthenticated-Remote-Code-Execution.html
缓解措施：官方已发布安全更新，建议升级至最新版本：
https://www.jetbrains.com/privacy-security/issues-fixed/
99、CVE-2023-43770（Roundcube Webmail 持久性跨站脚本<XSS>漏洞）
漏洞描述：Roundcube Webmail 包含一个持续性跨站点脚本 (XSS) 漏洞，可通过纯文本/文本消息中的恶意链接引用导致信息泄露，涉及低于 1.4.14 的 Roundcube、低于 1.5.4 的 1.5.x 和低于 1.6.3 的 1.6.x版本。
缓解措施：更新当前系统或软件至最新版，完成漏洞的修复：
https://roundcube.net/news/2023/09/15/security-update-1.6.3-released
100、CVE-2023-44487（HTTP/2 快速重置攻击漏洞）
漏洞描述：在HTTP/2快速重置攻击中，客户端一次打开大量流，但不等待服务器或代理对每个请求流的响应，而是立即取消每个请求，通过大规模利用请求-取消-请求-取消快速重置攻击，会导致服务器CPU资源快速消耗，达到DoS。
缓解措施：协议漏洞，建议关闭HTTP/2协议，降级到HTTP/1.1，或更新各类产品相关安全设置，比如nginx默认配置下最多保持1000个HTTP连接，只要服务器性能不太差默认配置下不受该漏洞影响；而jetty则受漏洞影响，需要更新至最新安全版本：
https://lists.apache.org/thread/5py8h42mxfsn8l1wy6o41xwhsjlsd87q
101、CVE-2023-46604（Apache ActiveMQ 反序列化不信任数据漏洞）
漏洞描述：Apache ActiveMQ 存在一个未受信任数据的反序列化漏洞，该漏洞可能允许拥有代理网络访问权限的远程攻击者通过操作 OpenWire 协议中的序列化类类型来运行 shell 命令，从而导致代理实例化类路径上的任何类。受影响的Apache ActiveMQ包括：5.18.0至5.18.2；5.17.0至5.17.5；5.16.0至5.16.6；5.15.0至5.15.15。
https://security.netapp.com/advisory/ntap-20231110-0010/
缓解措施：以下版本的Apache ActiveMQ已经修复了漏洞，用户应升级到这些安全版本：5.18.3、5.17.6、5.16.7、5.15.16：
https://activemq.apache.org/security-advisories.data/CVE-2023-46604-announcement.txt
102、CVE-2023-46747（F5 BIG-IP 配置实用程序身份验证绕过漏洞）
漏洞描述：F5 BIG-IP 配置实用程序因未披露请求而包含使用备用路径或通道的身份验证绕过漏洞，可能允许未验证的攻击者通过管理端口和/或自身 IP 地址对 BIG-IP 系统进行网络访问，从而执行系统命令。此漏洞可与 CVE-2023-46748 结合使用。影响版本：
17.1.0
16.1.0 - 16.1.4
15.1.0 - 15.1.10
14.1.0 - 14.1.5
13.1.0 - 13.1.5
https://my.f5.com/manage/s/article/K000137353
缓解措施：1.利用安全组功能设置其仅对可信地址开放；2.升级至安全版本及其以上，安全版本：
17.1.0.3 + Hotfix-BIGIP-17.1.0.3.0.75.4-ENG3
16.1.4.1 + Hotfix-BIGIP-16.1.4.1.0.50.5-ENG3
15.1.10.2 + Hotfix-BIGIP-15.1.10.2.0.44.2-ENG3
14.1.5.6 + Hotfix-BIGIP-14.1.5.6.0.10.6-ENG3
13.1.5.1 + Hotfix-BIGIP-13.1.5.1.0.20.2-ENG3
103、CVE-2023-46748（F5 BIG-IP 配置实用程序 SQL 注入漏洞）
漏洞描述：F5 BIG-IP 配置实用程序包含 SQL 注入漏洞，可能允许通过 BIG-IP 管理端口和/或自 IP 地址进行网络访问的已验证攻击者执行系统命令。此漏洞可与 CVE-2023-46747 结合使用。
缓解措施：更新当前系统或软件至最新版，完成漏洞的修复：
https://my.f5.com/manage/s/article/K000137365
104、CVE-2023-46805（Ivanti Connect Secure 和 Policy Secure 身份验证绕过漏洞）
漏洞描述：Ivanti Connect Secure（ICS，以前称为 Pulse Connect Secure）和 Ivanti Policy Secure 网关的 Web 组件中包含一个身份验证绕过漏洞，允许攻击者绕过控制检查访问受限资源。该漏洞可与命令注入漏洞 CVE-2024-21887 结合使用。
缓解措施：1.利用安全组设置其仅对可信地址开放；2.官方已发布相关补丁和缓解方案：
https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
105、CVE-2023-47246（SysAid 服务器路径遍历漏洞）
漏洞描述：在SysAid On-Premise 23.3.36之前的版本中，存在一种路径遍历漏洞，攻击者在Tomcat webroot中写入文件后可导致代码执行。
缓解措施：将组件 sysaid_on-premises 升级至 23.3.36 及以上版本：
https://documentation.sysaid.com/docs/on-premise-security-enhancements-2023
106、CVE-2023-47565（QNAP VioStor NVR 操作系统命令注入漏洞）
漏洞描述：影响运行QVR固件4.x的QNAP VioStor NVR旧版本的操作系统命令注入漏洞。如果被利用，该漏洞可允许经过身份验证的用户通过网络执行命令。
缓解措施：升级至QVR固件5.0.0及更高版本：
https://www.qnap.com.cn/zh-cn/security-advisory/qsa-23-48
107、CVE-2023-4762（谷歌 Chromium V8 类型混乱漏洞）
漏洞描述：低于 116.0.5845.179 版本的Google Chromium V8 存在一个类型混乱漏洞，允许远程攻击者通过伪造的 HTML 页面执行代码。该漏洞可能影响使用 Chromium 的多个网络浏览器，包括但不限于 Google Chrome、Microsoft Edge 和 Opera。
缓解措施：更新当前系统或软件至最新版：
https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop.html
108、CVE-2023-4863（Google Chromium WebP 基于堆的缓冲区溢出漏洞）
漏洞描述：Google Chromium WebP 存在基于堆的缓冲区溢出漏洞，远程攻击者可通过伪造的 HTML 页面执行越界内存写入。此漏洞可影响使用 WebP 编解码器的应用程序。
缓解措施：升级libwebp至1.3.2及以上版本：
https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_11.html
109、CVE-2023-48788（Fortinet FortiClient EMS SQL 注入漏洞）
漏洞描述：Fortinet FortiClient EMS 存在 SQL 注入漏洞，未经身份验证的攻击者可通过专门制作的请求以 SYSTEM 的身份执行命令。
缓解措施：更新当前系统或软件至最新版，完成漏洞的修复：
https://www.fortiguard.com/psirt/FG-IR-23-430
110、CVE-2023-49103（ownCloud graphapi 信息披露漏洞）
漏洞描述：ownCloud owncloud/graphapi 0.2.x在0.2.1之前和0.3.x在0.3.1之前存在漏洞。graphapi应用程序依赖于提供URL的第三方GetPhpInfo.php库。当访问此URL时，会显示PHP环境的配置详细信息（phpinfo）。此信息包括Web服务器的所有环境变量，包括敏感数据，如ownCloud管理员密码、邮件服务器凭据和许可证密钥。
缓解措施：官方已发布安全更新，建议升级至最新版本：
https://owncloud.com/security-advisories/disclosure-of-sensitive-credentials-and-configuration-in-containerized-deployments/
111、CVE-2023-4911（Citrix NetScaler ADC 和 NetScaler 网关缓冲区溢出漏洞）
漏洞描述：由于 Glibc 的 GNU C 库中的动态加载程序 ld.so 在处理 GLIBC_TUNABLES 环境变量时存在缓冲区溢出漏洞，本地攻击者可通过运行具有SUID权限的二进制文件来处理恶意的 GLIBC_TUNABLES 环境变量，进而提升为 root 权限。该漏洞影响主流Linux发行版较高版本，包括RHEL/Centos 8.5及以上版本、Fedora 37和38、Debian12和13、Ubuntu 22.04 和 23.04 、Gentoo中glibc包<2.37-R7的版本等。
缓解措施：
1.Fedora 37更新至glibc-2.36-14.fc37版本：https://www.gnu.org/software/libc/
2.启用SystemTap脚本，终止GLIBC_TUNABLES 调用的任何 setuid 程序，若调用setuid程序，需要取消设置或清除envvar GLIBC_TUNABLES。
112、CVE-2023-4966（Citrix NetScaler ADC 和 NetScaler 网关缓冲区溢出漏洞）
漏洞描述：Citrix NetScaler ADC 和 NetScaler Gateway 存在缓冲区溢出漏洞，当配置为网关（VPN 虚拟服务器、ICA 代理、CVPN、RDP 代理）或 AAA 虚拟服务器时，可导致敏感信息泄露。
https://packetstormsecurity.com/files/175323/Citrix-Bleed-Session-Token-Leakage-Proof-Of-Concept.html
缓解措施：更新当前系统或软件至最新版，完成漏洞的修复：
https://support.citrix.com/article/CTX579459/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967
113、CVE-2023-49897（FXC AE1021、AE1021PE 操作系统命令注入漏洞）
漏洞描述：FXC AE1021 和 AE1021PE 存在操作系统命令注入漏洞，允许已通过身份验证的用户通过网络执行命令。受影响的产品和版本：FXC AE1021PE 2.0.9及之前版本，AE1021 2.0.9及之前版本。
https://jvn.jp/en/vu/JVNVU92152057/
缓解措施：将组件 ae1021_firmware 升级至 2.0.10 及以上版本；将组件 ae1021pe_firmware 升级至 2.0.10 及以上版本：https://www.fxc.jp/news/20231206
114、CVE-2023-5217（Google Chromium libvpx 堆缓冲区溢出漏洞）
漏洞描述：Google Chrom <117.0.5938.132版本中libvpx模块（<1.13.1）存在堆溢出漏洞，远程攻击者可通过伪造的 HTML 页面利用堆破坏。此漏洞可能会影响使用 libvpx 的网络浏览器，包括但不限于 Google Chrome 浏览器。
缓解措施：将组件 Google Chrome 升级至 117.0.5938.132 及以上版本；将libvpx升级至1.13.1及以上版本：
https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_27.html
115、CVE-2023-5631（Roundcube Webmail 持久性跨站脚本<XSS>漏洞）
漏洞描述：Roundcube 在1.4.15之前的版本、1.5.x在1.5.5之前的版本和1.6.x在1.6.4之前的版本中，由于program/lib/Roundcube/rcube_washtml.php的行为，允许通过携带精心构造的SVG文档的HTML电子邮件消息进行存储型跨站脚本攻击。这可能允许远程攻击者加载任意JavaScript代码。
缓解措施：更新当前系统或软件至最新版，完成漏洞的修复：
https://github.com/roundcube/roundcubemail/commit/6ee6e7ae301e165e2b2cb703edf75552e5376613
116、CVE-2023-6345（Google Skia 整数溢出漏洞）
漏洞描述：Google Chrome 119.0.6045.199 版本及之前版本存在一个整数溢出漏洞，入侵渲染器进程的远程攻击者可能会通过恶意文件执行沙箱逃逸。此漏洞会影响 Google Chrome 浏览器和 ChromeOS、Android、Flutter 以及可能的其他产品。
缓解措施：将组件 chrome 升级至 119.0.6045.199 及以上版本；将组件 chromium 升级至 119.0.6045.199 及以上版本：
https://chromereleases.googleblog.com/2023/11/stable-channel-update-for-desktop_28.html
117、CVE-2023-6448（Unitronics Vision PLC 和 HMI 不安全默认密码漏洞）
漏洞描述：Unitronics Vision 系列 PLC 和 HMI 随附一个不安全的默认密码，如果该密码保持不变，攻击者就可以执行远程命令。
缓解措施：更新当前系统或软件至最新版，完成漏洞的修复：
https://www.unitronicsplc.com/programmable-controllers-vision-series/
118、CVE-2023-6548（Citrix NetScaler ADC 和 NetScaler Gateway 代码注入漏洞）
漏洞描述：Citrix NetScaler ADC 和 NetScaler Gateway 存在代码注入漏洞，允许在访问 NSIP、CLIP 或 SNIP 的管理界面上执行经过验证的远程代码。受影响的产品和版本：NetScaler ADC和NetScaler Gateway 14.1-12.35之前的14.1版本，13.1-51.15之前的13.1版本，13.0-92.21之前的13.0版本，NetScaler ADC 13.1-FIPS 13.1-37.176之前版本，12.1-FIPS 12.1-55.302之前版本，12.1-55.302之前版本。
https://support.citrix.com/article/CTX584986/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve20236548-and-cve20236549
缓解措施：
将 netscaler_gateway 升级至 14.1-12.35 及以上版本；
将 netscaler_application_delivery_controller 升级至 12.1-55.302 及以上版本；
将 netscaler_application_delivery_controller 升级至 13.0-92.21 及以上版本；
将 netscaler_application_delivery_controller 升级至 13.1-37.176 及以上版本；
将 netscaler_application_delivery_controller 升级至 13.1-51.15 及以上版本；
将 netscaler_application_delivery_controller 升级至 14.1-12.35 及以上版本；
将 netscaler_gateway 升级至 13.0-92.21 及以上版本；
将 netscaler_gateway 升级至 13.1-51.15 及以上版本。
119、CVE-2023-6549（Citrix NetScaler ADC 和 NetScaler 网关缓冲区溢出漏洞）
漏洞描述：Citrix NetScaler ADC 和 NetScaler Gateway 存在缓冲区溢出漏洞，当配置为网关（VPN 虚拟服务器、ICA 代理、CVPN、RDP 代理）或 AAA 虚拟服务器时，可导致拒绝服务。受影响的产品和版本：NetScaler ADC和NetScaler Gateway 14.1-12.35之前的14.1版本，13.1-51.15之前的13.1版本，13.0-92.21之前的13.0版本，，NetScaler ADC 13.1-FIPS 13.1-37.176之前版本，12.1-FIPS 12.1-55.302之前版本，12.1-55.302之前版本。
https://support.citrix.com/article/CTX584986/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve20236548-and-cve20236549
缓解措施：
将 netscaler_application_delivery_controller 升级至 12.1-55.302 及以上版本；
将 netscaler_application_delivery_controller 升级至 13.0-92.21 及以上版本；
将 netscaler_application_delivery_controller 升级至 13.1-37.176 及以上版本；
将 netscaler_application_delivery_controller 升级至 13.1-51.15 及以上版本；
将 netscaler_application_delivery_controller 升级至 14.1-12.35 及以上版本；
将 netscaler_gateway 升级至 13.0-92.21 及以上版本；
将 netscaler_gateway 升级至 13.1-51.15 及以上版本；
将 netscaler_gateway 升级至 14.1-12.35 及以上版本。
120、CVE-2023-7024（Google Chromium WebRTC 堆缓冲区溢出漏洞）
漏洞描述：Google Chromium WebRTC 是一个开源项目，为网络浏览器提供实时通信功能。该项目存在堆缓冲区溢出漏洞，远程攻击者可通过伪造的 HTML 页面利用堆破坏。该漏洞可能会影响使用 WebRTC 的网络浏览器，包括但不限于 Google Chrome 浏览器。
缓解措施：更新当前系统或软件至最新版，完成漏洞的修复：
https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2023-7024
121、CVE-2023-7101（电子表格::ParseExcel 远程代码执行漏洞）
漏洞描述：Spreadsheet::ParseExcel 存在远程代码执行漏洞，原因是将未经验证的文件输入字符串类型的 “eval”。具体来说，该问题源于 Excel 解析逻辑中对 Number 格式字符串的评估。
https://github.com/jmcnamara/spreadsheet-parseexcel/blob/c7298592e102a375d43150cd002feed806557c15/lib/Spreadsheet/ParseExcel/Utility.pm#L171
缓解措施：暂无。