根据国家信息安全漏洞库（CNNVD）统计，本周（2023.10.30~2023.11.05）CNNVD接报漏洞477个，其中信息技术产品漏洞（通用型漏洞）342个，网络信息系统漏洞（事件型漏洞）135个；CNNVD收录漏洞通报90份，其中华云安报送1份。

本周重点关注漏洞包括：CVE-2023-46249 authentik 授权问题漏洞、CVE-2023-47174 Thorn SFTP Gateway 反序列化漏洞、CVE-2023-20048 Cisco Firepower Management Center 安全漏洞、CVE-2023-46248 Cody 远程代码执行漏洞。漏洞影响范围较广，华云安建议相关用户做好资产自查与预防工作。

01 CVE-2023-46249 authentik 授权问题漏洞

威胁等级：超危

漏洞描述：

2023年10月31日，华云安思境安全团队监测发现 Authentik 官方发布安全更新，披露了 authentik 2023.8.4 之前、 2023.10.2 之前版本存在授权问题漏洞。authentik 是一个开源身份验证供应平台。当默认管理员用户被删除后，未经身份验证的攻击者可能利用该漏洞在没有任何身份验证的情况下设置默认管理员用户的密码。

情报来源：

https://github.com/goauthentik/authentik/security/advisories/GHSA-rjvp-29xq-f62w   

02 CVE-2023-47174 Thorn SFTP Gateway 反序列化漏洞

威胁等级：超危

漏洞描述：

2023年11月1日，华云安思境安全团队监测发现 Thorntech 官方发布了安全通告，Thorn SFTP Gateway 3.4.4之前的3.4.x版本存在反序列化漏洞。Thorn SFTP Gateway 是一种用于安全文件传输的解决方案，相比其他文件传输方式，它更加安全、高效、可靠。该版本存在对不受信任的数据进行Java反序列化，未经身份验证的远程攻击者可能利用此漏洞远程执行代码。

情报来源：

https://help.thorntech.com/docs/sftp-gateway-gcp-3.0/gcp-java-deserialization-rce/   

03 CVE-2023-20048 Cisco Firepower Management Center 安全漏洞

威胁等级：超危

漏洞描述：

2023年11月2日，华云安思境安全团队监测发现 Cisco 官方发布安全更新，披露了 Cisco Firepower Management Center存在安全漏洞。Cisco Firepower Management Center（FMC）是 Cisco 公司的新一代防火墙管理中心软件。由于该产品Web服务接口发送的配置命令授权不足，未经身份验证的远程攻击者可能利用此漏洞在受影响的设备上执行某些未经授权的配置命令。

情报来源：

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fmc-cmd-inj-29MP49hN    

04 CVE-2023-46248 Cody 远程代码执行漏洞

威胁等级：超危

漏洞描述：

2023年11月4日，华云安思境安全团队监测到 Sourcegraph 官方发布安全更新，披露了 Cody 0.10.0版本至0.14.0版本存在远程代码执行漏洞。Cody 是 Sourcegraph 开源的一个免费的开源人工智能编码助手，可以编写代码、修复代码、回答编码问题。未经身份验证的远程攻击者可能利用此漏洞远程执行代码。

情报来源：

https://github.com/sourcegraph/cody/releases/tag/vscode-v0.14.2   

华云安

华云安是一家深耕于网络空间安全领域的高新技术企业，专注于漏洞研究、攻防对抗、产品研发、安全服务；致力于对主动防御、情报协同、溯源反制能力进行融合创新，以攻击者视角构建攻击面管理安全能力平台，提供新一代网络安全对抗防御解决方案。公司服务于国家网络安全监管部门及金融、能源、教育、医疗等关键信息基础设施行业。

公司持续构建的原子化安全能力平台，秉承数据驱动、AI引领的理念，通过基于知识图谱的安全风险库和场景化人工智能引擎两大核心技术，结合不同的业务需求灵活组合安全能力，实现一个平台覆盖所有安全能力。

[培训]《安卓高级研修班(网课)》月薪三万计划，掌 握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法