公告编号：漏洞通告作者：admin发布日期：2023/12/01
以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，易安联以及文章作者不承担任何责任。
易安联SRC拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明易安联允许，不得任意修改或增减此文章内容，不得以任何方式将其用于商业目的。
目录
1. Apache ActiveMQ Jolokia 远程代码执行漏洞(CVE-2022-41678)
2. 泛微 e-office10 远程代码执行漏洞
漏洞详情
1. Apache ActiveMQ Jolokia 代码执行漏洞(CVE-2022-41678)
影响组件：
ActiveMQ是一个开源的消息代理和集成模式服务器，它支持Java消息服务(JMS) API。它是Apache Software Foundation下的一个项目，用于实现消息中间件，帮助不同的应用程序或系统之间进行通信。
漏洞危害：
在ActiveMQ中，经过身份验证的远程攻击者下可通过/api/jolokia/接口操作MBean，成功利用此漏洞可导致远程代码执行。
影响范围：
Apache ActiveMQ < 5.16.6
5.17.0< Apache ActiveMQ < 5.17.4
不受影响版本：
Apache ActiveMQ >= 5.17.4
Apache ActiveMQ >= 5.16.6
Apache ActiveMQ >= 6.0.0
Apache ActiveMQ >= 5.18.0
修复方案：
安全更新：
官方已推出安全更新，受影响用户可升级到以下版本：
Apache ActiveMQ >= 5.17.4
Apache ActiveMQ >= 5.16.6
缓解措施：
修改默认口令；
可参考以下链接限制Jolokia 上授权后的操作：
https://github.com/apache/activemq/pull/958/files
若非必要，禁用Jolokia；
对公不可访问，仅对可信地址开放。
2. 泛微 e-office10 远程代码执行漏洞
影响组件：
泛微e-office系统是面向中小型组织的专业协同OA软件，致力于为企业用户提供专业OA办公系统、移动OA应用等协同OA整体解决方案。
漏洞危害：
由于泛微e-office10前台存在SQL注入漏洞可以获取管理员账号和口令，配合后台文件包含即可导致远程代码执行。经分析，攻击者可利用该漏洞获取服务器敏感信息、执行任意代码，建议尽快修复。
影响版本：
泛微e-office10 version < 10.0_20231107
修复方式：
官方已在最新版修复此问题，建议受影响的用户在服务器管理平台升级到10.0_20231107版本。
