根据国家信息安全漏洞库（CNNVD）统计，本周（2023.04.17~2023.04.23）CNNVD接报漏洞920个，其中信息技术产品漏洞（通用型漏洞）195个，网络信息系统漏洞（事件型漏洞）725个，其中华云安报送15份！CNNVD收录漏洞通报186份。

本周重点关注漏洞包括：CVE-2023-21941 Oracle BI Publisher 信息泄露漏洞、CVE-2023-20864 VMware Aria Operations for Logs 反序列化漏洞、CVE-2023-25601 Apache DolphinScheduler 授权问题漏洞、CVE-2023-2194 Linux kernel 越界写入漏洞。漏洞影响范围较广，华云安建议相关用户做好资产自查与预防工作。

01 CVE-2023-21941 Oracle BI Publisher 信息泄露漏洞

威胁等级：高危

漏洞描述：

2023年04月18日，华云安思境安全团队监测发现 Oracle 官方发布了安全更新，披露了 Oracle BI Publisher 6.4.0.0.0版本、12.2.1.4.0版本存在安全漏洞。Oracle BI Publisher 是一个文档发布平台，可以处理从提取数据到在各种平台上发布数据的所有操作。未经身份验证的攻击者利用该漏洞可能获得读取 Oracle BI Publisher 数据的权限。

情报来源：

https://www.oracle.com/security-alerts/cpuapr2023.html   

02 CVE-2023-20864 VMware Aria Operations for Logs 反序列化漏洞

威胁等级：超危

漏洞描述：

2023年04月20日，华云安思境安全团队监测发现 VMware 官方发布安全更新，披露了 VMware Aria Operations 多个版本存在安全漏洞。VMware Aria Operations for Logs 是 VMware 公司的一套集成日志整理和日志分析等功能的日志管理解决方案。未经身份验证的攻击者利用该漏洞可能以root身份执行任意代码。

情报来源：

https://www.vmware.com/security/advisories/VMSA-2023-0007.html   

03 CVE-2023-25601 Apache DolphinScheduler 身份认证绕过漏洞

威胁等级：高危

漏洞描述：

2023年04月20日，华云安思境安全团队监测发现 Apache 官方发布安全更新，披露了Apache DolphinScheduler 3.0.0 至 3.1.1 版本存在授权问题漏洞。Apache DolphinScheduler 是一个分布式的大数据工作流任务调度平台，用于解决数据处理流程中错综复杂的依赖关系。未经身份验证的攻击者利用该漏洞可能在没有身份验证的情况下通过数据包套接字节攻击。

情报来源：

https://lists.apache.org/thread/25g77jqczp3t8cz56hk1p65q7m6c64rf   

04 CVE-2023-2194 Linux kernel 越界写入漏洞

威胁等级：高危

漏洞描述：

2023年04月20日，华云安思境安全团队监测发现 Redhat 官网发布安全更新，披露了 Linux kernel 存在越界写入漏洞。Linux Kernel 是开源操作系统Linux所使用的内核，主要用于操作系统的进程管理、内存管理、设备管理、文件管理以及网络管理等功能。未经身份验证的攻击者利用该漏洞可能使系统崩溃实现代码执行。

情报来源：

https://bugzilla.redhat.com/show_bug.cgi?id=2188396   

华云安

华云安是一家深耕于网络空间安全领域的高新技术企业，专注于漏洞研究、攻防对抗、产品研发、安全服务；致力于对主动防御、情报协同、溯源反制能力进行融合创新，以攻击者视角构建攻击面管理安全能力平台，提供新一代网络安全对抗防御解决方案。公司服务于国家网络安全监管部门及金融、能源、教育、医疗等关键信息基础设施行业。

公司持续构建的原子化安全能力平台，秉承数据驱动、AI引领的理念，通过基于知识图谱的安全风险库和场景化人工智能引擎两大核心技术，结合不同的业务需求灵活组合安全能力，实现一个平台覆盖所有安全能力。

阿里云助力开发者！2核2G 3M带宽不限流量！6.18限时价，开 发者可享99元/年，续费同价！