這些漏洞不僅影響了系統的安全性，還可能對使用這些系統的企業和個人造成重大風險
本文將詳細介紹幾個關鍵的Linux最新漏洞，并提供相應的防護建議，以幫助用戶確保系統的安全穩定
OpenWrt Attended SysUpgrade 命令注入漏洞（CVE-2024-54143） 影響組件 OpenWrt是一款基于Linux的開源固件項目，專為嵌入式設備如路由器設計
它提供了高度的自定義性和擴展性，允許用戶構建定制化的固件鏡像，并在升級過程中保留已有的安裝包和設置，增強了設備的靈活性和功能性
OpenWrt/ASU（Attended SysUpgrade）是OpenWrt項目的一個關鍵組件，提供了一個用戶友好的系統升級服務，允許用戶輕松升級OpenWrt固件，同時保留已安裝的軟件包和設置
漏洞危害 OpenWrt Attended SysUpgrade命令注入漏洞（CVE-2024-54143）是一個嚴重的安全問題
該漏洞源于Imagebuilder在構建過程中未能正確處理用戶提供的軟件包名稱，導致攻擊者可以將任意命令注入構建過程，生成惡意固件鏡像
此外，由于SHA-256哈希被截斷至12個字符，降低了哈希的復雜性，增加了哈希碰撞的可能性，使得攻擊者可以利用哈希碰撞技術用惡意鏡像覆蓋合法緩存鏡像，從而影響已交付版本的完整性
這一漏洞的技術細節與PoC（Proof of Concept，概念驗證）已在互聯網上公開，影響范圍較大
如果攻擊者成功利用此漏洞，他們可以控制設備的固件升級過程，植入惡意代碼，甚至完全控制設備
這將對設備的正常運行和數據安全構成嚴重威脅
修復方案 目前，OpenWrt官方已通過920c8a1提交進行了修復
受影響用戶應盡快應用補丁以緩解該漏洞
官方補丁的下載地址為：【https://github.com/openwrt/asu/commit/920c8a13d97b4d4095f0d939cf0aaae777e0f87e】(https://github.com/openwrt/asu/commit/920c8a13d97b4d4095f0d939cf0aaae777e0f87e)
Apache Struts 文件上傳漏洞（CVE-2024-53677） 影響組件 Apache Struts 2是一個用于開發Java EE網絡應用程序的開放源代碼網頁應用程序架構
它利用并延伸了Java Servlet API，鼓勵開發者采用MVC架構
Apache Struts在Java Web開發中占據重要地位，廣泛應用于各種企業級應用中
漏洞危害 Apache Struts文件上傳漏洞（CVE-2024-53677）同樣是一個嚴重的安全問題
該漏洞存在于Apache Struts的文件上傳邏輯中，若代碼中使用了FileUploadInterceptor，當進行文件上傳時，攻擊者可能構造惡意請求，利用目錄遍歷等上傳文件至其他目錄
如果成功利用，攻擊者可能能夠執行遠程代碼、獲取敏感數據、破壞網站內容或進行其他惡意活動
該漏洞的影響范圍廣泛，涵蓋了多個版本的Apache Struts，包括2.0.0至2.3.37（EOL）、2.5.0至2.5.33以及6.0.0至6.3.0.2
因此，使用這些版本的Apache Struts的系統都面臨潛在的安全風險
修復方案 目前，Apache官方已發布安全更新，建議用戶盡快升級至6.4.0及以上版本，并使用ActionFileUploadInterceptor作為文件上傳組件
新的版本修復了文件上傳邏輯中的漏洞，增強了系統的安全性
用戶可以從以下鏈接下載并安裝更新：【https://github.com/apache/struts/releases】(https://github.com/apache/struts/releases)
其他值得關注的Linux漏洞 除了上述兩個漏洞外，本周還發生了多個其他值得關注的Linux相關漏洞
以下是一些重要的漏洞實例： 1.SonicWall SMA100 安全漏洞（CNNVD-202412-487、CVE-2024-45318） SonicWall SMA100是一款安全訪問網關設備，其SSL VPN的Web管理界面中存在一個安全漏洞
攻擊者可以利用漏洞發送特制的請求導致目標設備棧緩沖區溢出，進而在目標設備遠程執行代碼
成功利用漏洞的攻擊者可以在目標設備遠程執行代碼，對設備的正常運行和數據安全構成嚴重威脅
SMA 100 Series（SMA 200、210、400、410、500v）至SMA 100 10.2.1.13-72sv版本均受漏洞影響
目前，SonicWall官方已發布新版本修復了漏洞，建議用戶及時確認是否受到漏洞影響，盡快采取修補措施
2.IBM AIX 操作系統命令注入漏洞（CNNVD-202412-734） IBM AIX是美國國際商業機器（IBM）公司的一款為IBM Power體系架構開發的一種基于開放標準的UNIX操作系統
該操作系統存在命令注
