安全资讯与动态
汇聚鸿煌科技最新企业动态、行业趋势、政策法规与高危漏洞预警
【高危预警】Jenkins 核心持续集成服务器任意文件读取与凭据泄露漏洞（CVE-2024-23897）通报
开源持续集成工具 Jenkins 官方披露了 CLI 命令行接口解析器中的高危任意文件读取漏洞（CVE-2024-23897，CVSS 9.8）。攻击者可利用该漏洞读取服务器密钥并解密企业全部代码库与云服务访问秘钥。鸿煌科技给出加固建议。
【极危预警】Fortinet FortiClient EMS 核心终端管理系统远程代码执行漏洞（CVE-2024-23113）通报
Fortinet 官方紧急发布公告，其终端集中管理系统 FortiClient EMS 中存在格式化字符串内存破坏高危漏洞（CVE-2024-23113，CVSS 9.8）。未认证远程攻击者可通过特制请求在 EMS 服务器上执行任意代码。鸿煌科技建议紧急排查。
【高危预警】金蝶 EAS / 云星空 企业管理软件反序列化与未授权远程命令执行漏洞预警
金蝶官方发布安全补丁，通报其面向大型企业的云星空（Cloud Galaxy）与 EAS 管理软件在特定业务调度接口中存在反序列化高危漏洞。攻击者无需凭据即可实现远程代码执行。鸿煌科技给出安全排险方案。
【极危预警】VMware vCenter Server 核心管理平台堆溢出远程代码执行高危漏洞（CVE-2024-38812）预警
Broadcom 官方发布安全通告，VMware vCenter Server 中使用的 DCE/RPC 协议实现中存在严重的堆缓冲区溢出漏洞（CVE-2024-38812，CVSS 9.8）。拥有网络访问权限的攻击者可通过特制网络报文在 vCenter 虚拟机宿主机上实现远程代码执行。鸿煌科技建议各单位紧急打补丁。
【高危预警】PHP-CGI 核心参数注入导致远程代码执行高危漏洞（CVE-2024-4577）实网排查
安全研究人员披露 PHP 在 Windows 系统运行 CGI 模式时存在严重的字符编码转换参数注入漏洞（CVE-2024-4577，CVSS 9.8）。攻击者可利用特定字符绕过原先 CVE-2012-1823 的防御并在服务器执行代码。鸿煌科技给出加固建议。
【紧急预警】F5 BIG-IP / BIG-IQ 核心流量控制器未授权远程命令执行高危漏洞（CVE-2024-21762）通报
F5 官方通告其应用交付与流量控制器 BIG-IP 在处理未授权 HTTP 请求时存在致命边界缓冲区溢出漏洞（CVE-2024-21762，CVSS 9.8）。外部攻击者可通过特制请求执行任意系统代码。鸿煌科技建议所有在网网关设备即刻排查升级。
【高危预警】Atlassian Confluence Data Center 模板注入与远程代码执行高危漏洞（CVE-2024-21683）通报
Atlassian 官方通报 Confluence 企业级文档协作平台在特定宏渲染引擎中存在高危模板注入缺陷（CVE-2024-21683，CVSS 8.3）。攻击者可利用特制的宏代码实现服务器命令执行，威胁企业内部知识资产安全。鸿煌科技给出排查指引。
【供应链重大事件】XZ Utils 基础压缩组件恶意后门投毒事件（CVE-2024-3094）深度排查与阻断
开源底层数据压缩工具 XZ Utils 的 upstream 仓库被证实遭受精心策划的长期供应链投毒攻击（CVE-2024-3094，CVSS 10.0 满分）。攻击者通过隐蔽后门劫持 OpenSSH 的认证流程实现任意未授权 root 登录。鸿煌科技指导企业全网排查。
【高危预警】GitLab 核心代码托管平台未授权密码重置账户接管漏洞（CVE-2024-0204）通报
GitLab 官方通报其社区版与企业版在密码重置流程中存在逻辑缺陷（CVE-2024-0204，CVSS 10.0 / CVE-2024-7006）。攻击者可利用特定机制使密码重置链接发送至未经认证的第三方邮箱，实现任意账号无感接管。鸿煌科技建议紧急排查代码资产。
【高危预警】Fastjson / Jackson 核心反序列化组件远程代码执行缺陷实网防御加固指南
主流开源 Java JSON 序列化组件 Fastjson 与 Jackson 多次被曝出由于 AutoType 绕过与多态反序列化导致的高危远程代码执行缺陷。鸿煌科技针对国内企事业单位核心业务系统梳理长效排查加固建议。
