安全性通告: 趨勢科技 Deep Discovery Inspector 6.x 和 CVE-2023-3823/3824 安全性通告

- 更新於:
- 22 Sep 2023
- 產品/版本:
- Deep Discovery Inspector 6.5
- Deep Discovery Inspector 6.6
- 作業系統:

受影響版本

產品	受影響版本	作業系統	語言
Deep Discovery Inspector (DDI)	5.7及以後版本	Appliance	英文

解決方案

趨勢科技已發布修補程式如下：

產品	更新程式	說明	作業系統	發布日期
DDI	6.6 CP 1080	Readme	Appliance	現在
DDI	6.5 CP 1166	Readme	Appliance	現在

*使用DDI6.5以前版本的用戶，建議先升級到最新版本後，再安裝上述修補程式(CP)進行修正。您可以聯繫趨勢科技技術支援團隊以獲得更多協助。

用戶可至趨勢科技的下載中心查看並獲取產品所需的相關更新檔案。(如Service Pack等)。

弱點詳情

CVE-2023-3823：在未啟用 XML 的情況下加載外部實體的安全問題
CVSSv3.1: 8.6: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L
在 PHP 版本 8.0.* 在 8.0.30 之前，8.1.* 在 8.1.22 之前，以及 8.2.* 在 8.2.8 之前的版本中，各種 XML 函數依賴於 libxml 全局狀態來跟蹤設定參數，例如外部實體是否已經載入。除非使用者通過修改特定的函數明確地要求更改，否則此狀態不會改變。然而，由於這個狀態是全局一致的，其他如ImageMagick等模組，很可能在同一進程中使用相同的資料庫，進而更改了原本全局狀態，使其處於啟用外部實體載入的狀態。這可能使外部 XML 被解析後將之載入至外部實體，因而導致PHP可能存取的本機檔案造成外洩的狀況。此弱點可能在同一個進程中的多個請求之間持續存在，直到進程被關閉為止。

請注意：以上描述摘錄自官方 CVE弱點公告。

CVE-2023-3824：  在 phar_dir_read() 中的緩衝區溢出和過度讀取
CVSSv3.1: 9.4: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
在 PHP 版本 8.0.* 在 8.0.30 之前，8.1.* 在 8.1.22 之前，以及 8.2.* 在 8.2.8 之前，當載入 phar 文件並讀取PHAR目錄條目時，無效的長度檢查功能可能導致堆疊緩衝區溢出，潛在地導致記憶體損毀或遠端程式碼執行。

請注意：以上描述摘錄自官方 CVE弱點公告。