8.13 hvv情报内容整理-企业微信存在信息泄露深信服邮件钓鱼事件⽤友移动管理系统 uploadApk.do 任意⽂件上传漏洞

善于进攻的，能使敌人不知道怎样防守；善于防御的，能使敌人不知道怎样进攻。

1.【⽤友 移动管理系统 uploadApk.do 任意⽂件上传漏洞】

公开日期：2023/08/12

漏洞编号：暂无

危害等级：高危

漏洞描述：⽤友移动管理系统uploadApk.do任意⽂件上传漏洞

2.【企业微信存在信息泄露】

公开日期：2023/08/12

漏洞编号：暂无

危害等级：高危

漏洞描述：

企业微信接口未授权情况下可直接获取企业微信secret等敏感信息

受影响版本：2.5.x、2.6.930000、以下；

不受影响：2.7.x、2.8.x、2.9.x；

漏洞危害：

1、可导致企业微信全量数据被获取、文件获取，

2、存在使用企业微信轻应用对内发送钓鱼文件和链接等风险。

3【企望制造 ERP comboxstore.action 远程命令执行漏洞】

公开日期：2023/08/12

漏洞编号：暂无

危害等级：高危

漏洞描述：企望制造ERPcomboxstore.action接口存在远程命令执行漏洞，攻击者通过漏洞可以获取服务器权限，执行任意命令

4.【Milesight VPN server.js 任意文件读取漏洞】

公开日期：2023/08/12

漏洞编号：暂无

危害等级：高危

漏洞描述：MilesightVPN是一款软件，可使Milesight产品的VPN通道设置过程更加简便，并可通过网络服务器界面监控连接状态。其中存在任意文件读取漏洞，攻击者通过漏洞可以获取服务器中敏感文件

5.【Zoom Desktop Client for windows 权限提升漏洞】

公开日期：2023/08/12

漏洞编号：暂无

危害等级：高危

漏洞描述：ZoomDesktopClientforwindows5.14.7之前版本中的路径遍历可能允许未经身份验证的用户通过网络访问来启用权限升级。

7.【私有化企业微信未授权访问密钥泄露漏洞】

公开日期：2023/08/12

漏洞编号：暂无

危害等级：高危

漏洞描述：

私有化部署的企业微信在/cgi-bin/gateway/agentinfo接口未授权情况下，可直接获取企业微信secret等敏感信息

可导致企业微信全量数据被获取，文件获取、使用企业微信轻应用对内力量发送钓鱼文件和链接等风险

7.【竹云APPHUB未授权访问预警】

公开日期：2023/08/12

漏洞编号：暂无

危害等级：高危

漏洞描述：

上竹云APPHUB在访问APPHUB时，通过构造特殊的URL，将能在无需登录的情况下访问到身份数据信息。

影响版本：APPHUB6所有版本

8.【锐捷 BCR商业无线云网关 后台命令执行漏洞】

公开日期：2023/08/12

漏洞编号：暂无

危害等级：高危

漏洞描述：

锐捷BCR商业无线云网关存在后台命令执行漏洞，攻击者通过默认口令可以登陆后台构造特殊的参数执行任意命令，获取服务器权限

8.【帆软 FineReport channel RCE】

公开日期：2023/08/12

漏洞编号：暂无

危害等级：高危

漏洞描述：

/webroot/decision/remote/design/channel接口受影响

9.【汉得登录绕过漏洞 POC】

公开日期：2023/08/12

漏洞编号：暂无

危害等级：高危

漏洞利用：

https://mp.weixin.qq.com/s/lAXhfZ-z5lVlzaZzDFEilg

钓鱼页面：

adminlis.com

asd.luoidce7.xyz

ctzgjn.top

kaiyunapp15.com

sss.sss0808jowe.top

www.onegudw.ink

钓鱼行为：

IOC：

SHA256:

f86f865bd20575b477ec0fcad862ce8b5e4fee7f792d2088e53a1070e366e078

MD5:

9c5ab4aefdb6a7c87ec4e8b5909f5624

SHA1:

ec92f45097ade3296fa6960b05fd52a540a84f30

钓鱼行为：“关于冒用深信服邮件钓鱼事件”