此文章主要介绍了腾讯安全威胁情报中心发布的2024年11月份必修安全漏洞清单，包括Palo Alto Networks PAN-OS、Ivanti Endpoint Manager、Apache OFBiz、GitLab、Zabbix、7-Zip和PostgreSQL的代码执行漏洞等。文章详细描述了每个漏洞的影响、危害、状态、评级、影响版本以及修复建议。此外，还包括了通用的漏洞修复、防御方案建议和往期企业必修漏洞清单。
腾讯安全威胁情报中心发布的必修漏洞清单，涉及多个软件的安全漏洞，包括身份验证绕过、SQL注入、代码执行等。
每个漏洞都有详细描述，包括漏洞编号、CNNVD编号、漏洞状态、影响面、攻击者价值和利用难度等。同时，还提供了影响版本和修复建议。
最后还提供了腾讯安全威胁情报中心和腾讯安全攻防团队的关注账号，以便用户获取第一手威胁情报和安全前沿攻防技术研究。
所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果。
腾讯安全威胁情报中心参考“安全漏洞的危害及影响力、漏洞技术细节披露情况、该漏洞在安全技术社区的讨论热度”等因素，综合评估该漏洞在攻防实战场景的风险。当漏洞综合评估为风险严重、影响面较广、技术细节已披露，且被安全社区高度关注时，就将该漏洞列入必修安全漏洞候选清单。
腾讯安全威胁情报中心定期发布安全漏洞必修清单，以此指引政企客户安全运维人员修复漏洞，从而避免重大损失。
以下是2024年11月份必修安全漏洞清单
：
一、Palo Alto Networks PAN-OS 身份验证绕过漏洞（CVE-2024-0012）
二、
Ivanti Endpoint Manager SQL注入漏洞（CVE-2024-50330）
三、Apache OFBiz Groovy 表达式注入漏洞（CVE-2024-47208）
四、GitLab 权限提升
漏洞（CVE-2024-8114）
五、Zabbix SQL注入
漏洞（CVE-2024-42327）
六、7-Zip 代码执行
漏洞（CVE-2024-11477）
七、PostgreSQL 代码执行漏洞（CVE-2024-10979）
一、Palo Alto
Networks PAN-OS 身份认证绕过漏洞
腾讯安全近期监测到Palo Alto Networks官方发布了关于PAN-OS Management Web Interface的风险公告，漏洞编号：TVD-2024-32377 (CVE编号：CVE-2024-0012，CNNVD编号：CNNVD-202411-2328)。成功利用此漏洞的攻击者，最终可绕过权限验证，配合其他漏洞（如CVE-2024-9474）可远程执行任意代码。
PAN-OS是Palo Alto Networks防火墙设备的核心操作系统，采用模块化设计，提供灵活性和可扩展性。它支持多虚拟化、实时更新和高可用性，确保网络流量的安全检查和过滤。PAN-OS Management Web Interface 是用于管理Palo Alto Networks防火墙设备的核心界面，它提供了直观的图形化界面，使网络管理员能够轻松配置防火墙策略、监控网络流量、管理用户权限等。
据描述，该漏洞源于PAN-OS Management Web Interface中的权限校验存在代码缺陷，攻击者可以通过将请求头中的X-PAN-AUTHCHECK设置为off绕过权限校验访问受限端点，并配合其他漏洞最终远程执行任意代码。
风险等级：
影响版本：
10.2.0 <= PAN OS < 10.2.12-h2
11.0.0 <= PAN OS < 11.0.6-h1
11.1.0 <= PAN OS < 11.1.5-h1
11.2.0 <= PAN OS < 11.2.4-h1
修复建议：
1
.
官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。
【备注】：建议您在升级前做好数据备份工作，避免出现意外。
https://www.paloaltonetworks.com/network-security/pan-os
2. 临时缓解方案：
将访问限制为仅受信任的内部
IP
地址，具体可参考官方文档：
https://live.paloaltonetworks.com/t5/community-blogs/tips-amp-tricks-how-to-secure-the-management-access-of-your-palo/ba-p/464431
二、
Ivanti Endpoint Manager SQL注入漏洞
腾讯安全近期监测到Ivanti官方发布了关于Endpoint Manager的风险公告，漏洞编号为TVD-2024-31477 (CVE编号：CVE-2024-50330，CNNVD编号：CNNVD-202411-1381)。成功利用此漏洞的攻击者，可获取服务器上的敏感数据，最终远程执行任意代码。
Ivanti Endpoint Manager（EPM）是一款企业级的设备管理解决方案，它提供统一端点管理功能，适用于管理Windows、macOS、iOS、Android、Linux和Chrome OS等多种操作系统。该解决方案通过单一控制平台，实现设备的发现、配置、保护和策略执行，从而简化IT管理流程，提高工作效率。
据描述，该漏洞源于Ivanti Endpoint Manager存在代码缺陷，未授权的攻击者可通过此漏洞触发SQL注入，最终获取服务器数据甚至远程执行代码。
漏洞状态：
风险等级：
影响版本：
Ivanti Endpoint Manager 2022 <= 2022 SU6 September Security Update
Ivanti Endpoint Manager 2024 <= 2024 September Security Update
1. 官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。
【备注】：建议您在升级前做好数据备份工作，避免出现意外。
https://forums.ivanti.com/s/article/Security-Advisory-EPM-November-2024-for-EPM-2024-and-EPM-2022
2. 临时缓解方案：
- 如无必要，避免开放至公网。
- 利用安全组设置仅对可信地址开放。
三、
Apache OFBiz Groovy表达式注入漏洞
腾讯安全近期监测到Apache官方发布了关于OFBiz的风险公告，漏洞编号为TVD-2024-32319 (CVE编号：CVE-2024-47208，CNNVD编号：CNNVD-202411-2279)。成功利用此漏洞的攻击者，最终可以远程执行任意代码。
Apache OFBiz是一款开源的企业资源规划（ERP）系统，它基于Java技术构建，提供了一整套灵活的业务应用程序框架，适用于各种规模的企业。OFBiz的核心功能包括会计、CRM、订单管理、电子商务、仓储和库存管理、制造和物料需求计划（MRP）等，旨在通过集成多种业务管理工具来简化企业的日常运营。
据描述，该漏洞源于OFBiz存在代码缺陷，攻击者可以通过发送特制的请求触发Groovy表达式注入，最终远程执行任意代码。
漏洞状态：
风险等级：
影响版本：
Apache OFBiz < 18.12.17
修复建议：
1. 官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。
【备注】：建议您在升级前做好数据备份工作，避免出现意外。
https://ofbiz.apache.org/download.html
概述：
腾讯安全近期监测到GitLab官方发布了关于GitLab的风险公告，漏洞编号为TVD-2024-33673 (CVE编号：CVE-2024-8114，CNNVD编号：CNNVD-202411-3656)，拥有低权限的攻击者，可以利用该漏洞执行更高权限的操作。
GitLab是一个基于Web的开源DevOps平台，提供代码托管、版本控制、持续集成/持续部署（CI/CD）、项目管理等功能。它支持多用户协作，便于代码版本控制，并内置了CI/CD功能，可以自动化构建、测试和部署流程，提高开发效率。GitLab适用于各种规模的团队，从小型开源项目到大型企业级应用开发，其全面功能使其成为DevOps实践的重要工具。
据描述，该漏洞源于GitLab对LFS令牌的处理存在缺陷，攻击者可以利用个人访问令牌（PAT）来获取LFS令牌，进而以该用户的身份执行未经授权的操作，比如读取或修改存储在LFS中的敏感文件等。
8.12.0 <= GitLab EE/CE < 17.4.5
17.5.0 <= GitLab EE/CE < 17.5.3
17.6.0 <= GitLab EE/CE < 17.6.1
