根据国家信息安全漏洞库（CNNVD）统计，本周（2024.03.11~2024.03.17）CNNVD接报漏洞362个，其中信息技术产品漏洞（通用型漏洞）276个，网络信息系统漏洞（事件型漏洞）86个；CNNVD收录漏洞通报103份。
本周重点关注漏洞包括：CVE-2023-48788 Fortinet FortiClientEMS SQL 注入漏洞、CVE-2024-1403 Progress OpenEdge 身份验证绕过漏洞、2024年3月 补丁日：微软多个漏洞安全更新通告、CVE-2024-27266 IBM Maximo Application Suite 外部实体注入漏洞、CVE-2024-27317 Apache Pulsar 路径遍历漏洞、CVE-2024-2044 pgAdmin4 反序列化代码执行漏洞。漏洞影响范围较广，华云安建议相关用户做好资产自查与预防工作。
01 CVE-2023-48788 Fortinet FortiClientEMS SQL 注入漏洞
威胁等级：超危
漏洞描述：
2024年03月12日，华云安思境安全团队监测发现 Fortinet 官方发布安全通告，披露了 FortiClientEMS 7.2.0 ~ 7.2.2 版本、FortiClientEMS 7.0.1 ~ 7.0.10 版本存在SQL注入漏洞。Fortinet FortiClient Enterprise Management Server 是一种安全管理解决方案，它为企业提供了一个统一的平台，用于有效管理和保护其网络环境中的各类终端设备，包括但不限于电脑、智能手机和平板电脑等。攻击者可以利用该漏洞窃取敏感信息。
情报来源：
https://fortiguard.fortinet.com/psirt/FG-IR-24-007
02 CVE-2024-1403 Progress OpenEdge 身份验证绕过漏洞
威胁等级：超危
漏洞描述：
2024年03月12日，华云安思境安全团队监测发现 Progress 官方发布安全通告，披露了 Progress OpenEdge 11.7.18 及之前版本、12.2.13 及更早版本、12.8.0 版本存在身份验证绕过漏洞。Progress OpenEdge 是一个功能强大的应用程序开发和部署平台套件，它提供了一套完整的工具和服务，用于创建、集成、部署和管理企业级应用程序。攻击者可以利用该漏洞获取敏感数据。
情报来源：
https://community.progress.com/s/article/Important-Critical-Alert-for-OpenEdge-Authentication-Gateway-and-AdminServer
03 2024年3月 补丁日：微软多个漏洞安全更新通告
威胁等级：超危
漏洞描述：
2024年03月13日，华云安思境安全团队发现 Microsoft 官网发布了安全更新，此次安全更新发布了61个漏洞的补丁，其中包含2个严重漏洞, 59个高危漏洞。主要覆盖了以下组件：Microsoft Windows and Windows Components；Office and Office Components；Azure；.NET Framework and Visual Studio；SQL Server；Windows Hyper-V；Skype；Microsoft Components for Android；and Microsoft Dynamics
等。对此，华云安思境安全团队建议广大用户做好资产自查以及预防工作，以免遭受黑客攻击。
情报来源：
https://msrc.microsoft.com/update-guide/releaseNote/2024-Mar
04 CVE-2024-27266 IBM Maximo Application Suite 外部实体注入漏洞
威胁等级：高危
漏洞描述：
2024年03月13日，华云安思境安全团队监测发现 IBM 官方发布安全通告，披露了 IBM Maximo Application Suite 7.6.1.3版本存在外部实体注入漏洞。IBM Maximo Application Suite 是一个用于资产监控、管理、预测性维护和可靠性规划的应用程序，它是一个基于云的单一集成平台，使用AI、IoT和分析技术来优化性能、延长资产生命周期，并减少运营停机时间和成本。攻击者可以利用该漏洞窃取敏感信息。
情报来源：
https://www.ibm.com/support/pages/node/7141270
05 CVE-2024-27317 Apache Pulsar 路径遍历漏洞
威胁等级：高危
漏洞描述：
2024年03月13日，华云安思境安全团队监测发现 Apache 官方发布安全更新，披露了 Apache Pulsar 2.4.0 ~ 2.10.6 版本、2.11.0 ~ 2.11.4 版本、3.0.0 ~ 3.0.3 版本、3.1.0 ~3.1.3 版本、3.2.0 before 3.2.1 版本存在路径遍历漏洞。Apache Pulsar 是一个在云环境中广泛应用的分布式消息流平台，它集消息传递、存储以及轻量化函数式计算于一体， 能够为开发者提供更为全面和高效的服务，从而满足各种复杂的业务需求。攻击者可以利用该漏洞在未被授权的目录之外创建或修改文件，从而实施非法操作。
情报来源：
https://lists.apache.org/thread/ct9xmvlf7lompc1pxvlsb60qstfsm9po
06 CVE-2024-2044 pgAdmin4 反序列化代码执行漏洞
威胁等级：超危
漏洞描述：
2024年03月17日，华云安思境安全团队监测发现 pgAdmin 官方发布安全更新，披露了 pgAdmin <= 8.3 版本存在反序列化代码执行漏洞。pgAdmin 4确实是一款专门针对PostgreSQL数据库的客户端管理软件。它提供了丰富的功能和工具，使得用户可以方便地对PostgreSQL数据库进行管理和操作。攻击者可以利用该漏洞上传恶意pickle对象并执行反序列化，从而导致代码执行。
情报来源：
https://www.pgadmin.org/docs/pgadmin4/8.4/release_notes_8_4.html
华云安
华云安是一家深耕于网络空间安全领域的高新技术企业，专注于漏洞研究、攻防对抗、产品研发、安全服务；致力于对主动防御、情报协同、溯源反制能力进行融合创新，以攻击者视角构建攻击面管理安全能力平台，提供新一代网络安全对抗防御解决方案。公司服务于国家网络安全监管部门及金融、能源、教育、医疗等关键信息基础设施行业。
公司持续构建的原子化安全能力平台，秉承数据驱动、AI引领的理念，通过基于知识图谱的安全风险库和场景化人工智能引擎两大核心技术，结合不同的业务需求灵活组合安全能力，实现一个平台覆盖所有安全能力。
[培训]二进制漏洞攻防（第3期）；满10人开班；模糊测试与工具使用二次开发；网络协议漏洞挖掘；Linux内核漏洞挖掘与利用；AOSP漏洞挖掘与利用；代码审计。
