2024-HW最新漏洞整理及相应解决方案（七）

本文仅用于技术学习和讨论。请勿使用本文所提供的内容及相关技术从事非法活动，由于传播、利用此文所提供的内容或工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果均与文章作者及本账号无关，本次测试仅供学习使用。如有内容争议或侵权，请及时私信我们！我们会立即删除并致歉。谢谢！

前言：

漏洞是基于部分安全厂家、软件厂商的公众号或官方网站，以及一些非官方渠道等途径整理的HW安全漏洞情报，情报里附含漏洞详情和解决方案。护网期间我将持续更新分享，希望可以在护网期间帮助到大家

漏洞：

1.泛微e-cology9 WorkflowServiceXml SQL注入漏洞CVE-2024-28995

升级版本：泛微生态9 >= 10.64.1

https://www.weaver.com.cn/cs/securityDownload.html#
参考链接：https://ti.qianxin.com/vulnerability/notice-detail/1070?type=risk

2.GitLab身份认证绕过漏洞(CVE-2024-6385)

升级版本：建议升级到最新版本
https://about.gitlab.com/update/
参考链接：https://ti.qianxin.com/vulnerability/notice-detail/1066?type=risk

3.Apache Tomcat HTTP/2 拒绝服务漏洞(CVE-2024-34750)

升级版本；建议用户升级到以下Apache Tomcat的修复版本或更高的版本
Apache Tomcat 11.0.0-M21 https://tomcat.apache.org/download-11.cgi
Apache Tomcat 10.1.25 https://tomcat.apache.org/download-10.cgi
Apache Tomcat 9.0.90 https://tomcat.apache.org/download-90.cgi
参考链接：https://ti.qianxin.com/vulnerability/notice-detail/1057?type=risk

4.KubePI 安全漏洞CVE-2024-36111

安装官方发布补丁：建议升级至最新版本
https://github.com/1Panel-dev/KubePi/releases/tag/v1.8.0

5.WordPress plugin ComboBlocks安全漏洞

升级版本：升级到2.2.86或最新版本https://www.wordfence.com/threat-intel/vulnerabilities/id/1512d911-167f-4653-ab20-cb057b83dab1?source=cve

6.用友U9 cloud存在逻辑缺陷漏洞

安装官方补丁：补丁解决刷新token时加入秘钥验证
https://security.yonyou.com/#/patchInfo?identifier=64a0364dff3743a5ba7328ebda2c6b70