OSCS 社区共收录安全漏洞 9 个，公开漏洞值得关注的是 Jenkins File Parameter Plugin 存在任意文件写入漏洞（CVE-2023-32986）、Jenkins Pipeline: Job 插件存储型 XSS 漏洞（CVE-2023-32977）、Linux kernel Netfilter UAF漏洞【POC公开】（CVE-2023-32233）、用友 U8 Cloud、GRP-U8 存在多个高危漏洞（MPS-u37w-cdit）、Linux kernel ksmbd 模块拒绝服务漏洞（CVE-2023-32248）、Linux kernel ksmbd 模块远程代码执行漏洞（CVE-2023-32254）。
针对 NPM 、PyPI 仓库，共监测到 29 个不同版本的投毒组件。
1.Jenkins File Parameter Plugin 存在任意文件写入漏洞（CVE-2023-32986）
File Parameter 是 Jenkins 的一个用于处理文件参数的插件。在 Jenkins 系统中，拥有 Item/Configure 权限的用户可以编辑和配置 Jenkins 的作业和项目。
File Parameter 285.287.v4b_7b_29d3469d 之前版本由于未对储存的文件参数的名称(Stashed File Parameters)以及上传文件的名称进行限制，具有 Item/Configure 权限的攻击者可创建或替换 Jenkins 服务器文件系统上的任意文件。
参考链接：https://www.oscs1024.com/hd/MPS-x6v7-ortb
2.Jenkins Pipeline: Job 插件存储型 XSS 漏洞（CVE-2023-32977）
Pipeline: Job 是 Jenkins 的一个插件，为 Pipeline 提供 Jenkins 作业和构建类型以及通用用户界面。
Pipeline: Job 1295.v395eb_7400005之前版本中，当设置 Do not allow concurrent builds 时，未对导致之前构建被中止的构建的显示名称进行转义处理，攻击者可将 payload 注入到构建的显示名称中进行 XSS 攻击。
由于构建名称必须在构建开始之前设置，Jenkins 安全团队公告并不知道有任何已知的插件可以利用这个漏洞。
参考链接：https://www.oscs1024.com/hd/MPS-27vj-0r51
3.Linux kernel Netfilter UAF漏洞【POC公开】（CVE-2023-32233）
Netfilter 是 Linux kernel 的一个子系统，用于提供网络数据包过滤和网络地址转换功能。
Linux kernel 6.3.1及之前版本中，当 Netfilter 处理批量请求以更新 nf_tables 配置时，由于对匿名集合的操作处理不当会导致use-after-free，具有本地 CAP_NET_ADMIN 权限的攻击者可利用该漏洞提升至root权限。
参考链接：https://www.oscs1024.com/hd/MPS-6yu2-1sqo
4.用友 U8 Cloud、GRP-U8 存在多个高危漏洞（MPS-u37w-cdit）
用友 U8 Cloud、GRP-U8 是用友软件公司开发的提供企业资源管理解决方案的产品。
用友 U8 Cloud 存在3个高危漏洞，分别为LoggingConfigServlet反序列化漏洞、BeanShell远程代码执行漏洞、commons-beanutils 远程代码执行漏洞。
用友 GRP-U8 存在4个高危漏洞，分别为forgetPassword_old.jsp SQL注入漏洞、、XML实体注入漏洞、XXNode SQL注入漏洞、selectGlaDatasourcePreview接口SQL注入漏洞。
参考链接：https://www.oscs1024.com/hd/MPS-u37w-cdit
5.Linux kernel ksmbd 模块拒绝服务漏洞（CVE-2023-32248）
ksmbd 是 Linux kernel 的一个模块，用于提供 SMB（Server Message Block）文件共享协议的支持，SMB2_TREE_CONNECT 命令用于在客户端和服务器之间建立会话连接，SMB2_QUERY_INFO 命令用于向服务器查询指定文件或目录信息。
Linux kernel 受影响版本中，由于 ksmbd 模块在访问指针之前没有进行适当的验证，当 Linux kernel 启用 ksmbd 时，未经身份验证的攻击者可使用 SMB2_TREE_CONNECT 和 SMB2_QUERY_INFO 命令造成拒绝服务。
参考链接：https://www.oscs1024.com/hd/MPS-uxo1-560t
6.Linux kernel ksmbd 模块远程代码执行漏洞（CVE-2023-32254）
ksmbd 是 Linux kernel 的一个模块，用于提供 SMB（Server Message Block）文件共享协议的支持，SMB2_TREE_DISCONNECT 命令用于断开客户端与服务器之间的文件共享连接。
Linux kernel 受影响版本中，由于 ksmbd 模块在处理 SMB2_TREE_DISCONNECT 命令时缺乏对象执行操作的锁定机制，当启用 ksmbd 时，未经身份验证的攻击者可利用此漏洞在内核环境中以 root 权限执行任意代码。
参考链接：https://www.oscs1024.com/hd/MPS-nh4r-yi6x
*查看漏洞详情页，支持免费检测项目中使用了哪些有缺陷的第三方组件
OSCS 针对 NPM 、PyPI 仓库监测的恶意组件数量如下所示。
本周新发现 29 个不同版本的恶意组件:
100% 的投毒组件为：获取主机敏感信息（获取了主机的用户名、IP 等敏感信息发送给恶意服务器）
由于大量恶意项目上传，PyPI 暂时停止新用户注册和新项目上传至平台
OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：
https://www.oscs1024.com/cm
具体订阅方式详见：
https://www.oscs1024.com/docs/vuln-warning/intro/?src=wx
添加 Obal 欧宝加入交流群
