主要观点总结
腾讯安全漏洞清单（2024年10月）
关键观点总结
关键观点1: Apache Solr 身份验证绕过漏洞（CVE-2024-45216）
成功利用此漏洞的攻击者，最终可绕过权限验证访问受限页面。漏洞状态：类别状态安全补丁已公开，漏洞细节已公开，PoC已公开，在野利用已发现。影响版本：5.3.0 < = Apache Solr < 8.11.4，建议升级至安全版本。
关键观点2: CyberPanel 远程代码执行漏洞（CVE-2024-51567）
成功利用此漏洞的攻击者，最终可远程执行任意代码。漏洞状态：类别状态安全补丁已公开，漏洞细节已公开，PoC已公开，在野利用已发现。影响版本：CyberPanel < 2.3.8，建议升级至安全版本。
关键观点3: Redis 缓冲区溢出漏洞（CVE-2024-31449）
成功利用此漏洞的攻击者，可能触发远程代码执行。漏洞状态：类别状态安全补丁已公开，漏洞细节已公开，PoC已公开，在野利用未发现。影响版本：Redis 开源/社区版 < 6.2.16等，建议升级至安全版本。
关键观点4: Weblogic Server T3/IIOP 远程命令执行漏洞（CVE-2024-21216）
成功利用此漏洞的攻击者，最终可以远程执行任意代码。漏洞状态：类别状态安全补丁已公开，漏洞细节已公开，PoC已公开，在野利用已发现。影响版本：WebLogic 12.2.1.4.0等，建议升级至安全版本。
关键观点5: Fortinet FortiManager 身份认证绕过漏洞（CVE-2024-47575）
未经身份验证的远程攻击者可以利用该漏洞绕过身份验证，远程执行任意代码。漏洞状态：类别状态安全补丁已公开，漏洞细节已公开，PoC已公开，在野利用已发现。影响版本：FortiManager多个版本，建议升级至安全版本。
关键观点6: Kubernetes Image Builder 默认凭据登录漏洞（CVE-2024-9486）
成功利用此漏洞的攻击者，最终可登录并控制容器环境。漏洞状态：类别状态安全补丁已公开，漏洞细节已公开，PoC已公开，在野利用未发现。影响版本：Kubernetes Image Builder < = 0.1.37，建议升级至安全版本。
关键观点7: Spring Framework 路径遍历漏洞（CVE-2024-38819）
成功利用此漏洞的攻击者，最终遍历读取系统上的文件。漏洞状态：类别状态安全补丁已公开，漏洞细节已公开。影响版本：Spring Framework多个版本，建议升级至安全版本。
关键观点8: GitLab EE 权限绕过漏洞（CVE-2024-9164）
成功利用此漏洞的攻击者，可以获取敏感信息甚至执行恶意代码。漏洞状态：类别状态安全补丁已公开，漏洞细节未公开。影响版本：GitLab EE多个版本，建议升级至安全版本。
关键观点9: ThinkPHP反序列化漏洞（CVE-2024-48112）
成功利用此漏洞的攻击者，最终可远程执行任意代码。ThinkPHP是一款流行的PHP开发框架，建议持续关注官方公告，待官方发布后评估业务是否受影响，酌情升级至安全版本。
关键观点10: Mozilla Firefox Animation timelines释放后重用漏洞（CVE-2024-9680）
成功利用此漏洞的攻击者，最终可远程执行任意代码。Firefox是一款流行的网络浏览器，官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。
文章预览
所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果。 腾讯安全威胁情报中心参考“安全漏洞的危害及影响力、漏洞技术细节披露情况、该漏洞在安全技术社区的讨论热度”等因素，综合评估该漏洞在攻防实战场景的风险。当漏洞综合评估为风险严重、影响面较广、技术细节已披露，且被安全社区高度关注时，就将该漏洞列入必修安全漏洞候选清单。 腾讯安全威胁情报中心定期发布安全漏洞必修清单，以此指引政企客户安全运维人员修复漏洞，从而避免重大损失。 以下是2024年10月份必修安全漏洞清单 ： 一、Apache Solr 身份验证绕过漏洞（CVE-2024-45216） 二、 CyberPanel 远程代码执行漏洞（CVE-2024-51567） 三、Redis 缓冲区溢出漏洞（CVE-2024-31449） 四、Weblogic Server T3/IIOP
………………………………
