OSCS开源安全周报第 59 期：Apache Superset＜2.1.1 远程代码执行漏洞(CVE-2023-37941)
💡
原文中文，约2800字，阅读约需7分钟。
📝
内容提要
本周OSCS社区共收录7个安全漏洞，包括Apache Superset<2.1.1远程代码执行漏洞、Redis SORT_RO命令可绕过ACL配置漏洞、Argo CD集群密钥泄漏风险、Cacti<1.2.25 reports_user.php SQL注入漏洞。此外，监测到48个不同版本的投毒组件，包括kwaishop-radar等投毒组件包窃取Mac系统敏感信息。建议开发者排查是否安装投毒组件包。
🎯
关键要点
- 本周OSCS社区共收录7个安全漏洞，主要包括Apache Superset<2.1.1远程代码执行漏洞、Redis SORT_RO命令可绕过ACL配置漏洞、Argo CD集群密钥泄漏风险、Cacti<1.2.25 SQL注入漏洞。
- Apache Superset<2.1.1存在远程代码执行漏洞，攻击者可通过恶意pickle负载触发远程代码执行。
- Redis的SORT_RO命令可绕过ACL配置，攻击者可未授权访问Redis中的数据。
- Argo CD存在集群密钥泄漏风险，攻击者可通过API获取集群密钥，可能导致资源窃取或拒绝服务。
- Cacti<1.2.25存在SQL注入漏洞，攻击者可利用该漏洞获取数据库中任意数据。
- 监测到48个不同版本的投毒组件，kwaishop-radar等组件包窃取Mac系统敏感信息。
- 本周新发现324个不同版本的恶意组件，其中71%为获取主机敏感信息的组件。
➡️
