互联网威胁层出不穷，各类漏洞需要在第一时间发现并做出响应，在本期的安全摘要中，我们将与您分享几个最新的漏洞信息以及相应的修复和缓解方法，希望对您的网络安全有所帮助。

在本摘要中，我们将主要关注以下漏洞和错误：

• phpMyAdmin 拖放上传中的 XSS 漏洞；
• ClamAV 扫描库中存在缓冲区溢出漏洞；以及
• HAProxy 中的一个 HTTP 内容走私错误。

phpMyAdmin 拖放上传中的 XSS 漏洞

一位匿名用户在 phpMyAdmin 的上传功能中发现了一个跨站点脚本 (XSS) 漏洞。 该漏洞允许经过身份验证的用户通过在 phpMyAdmin 的拖放界面中上传恶意制作的 .sql 文件来触发 XSS。

拖放上传 XSS 漏洞影响安装 4.9.11 之前版本和 5.2.1 之前 5.x 版本的 phpMyAdmin 用户。 phpMyAdmin 已发布版本 4.9.11 和 5.2.1 以修复此漏洞。 但是，作为缓解因素，用户可以禁用配置指令 $cfg ['enable_drag_drop_import']，它会禁用拖放功能并保护用户免受漏洞影响。

拖放上传 XSS 漏洞（注册为 CVE-2023-25727）在 NIST 的 CVSS 评分中被评为 5.4 中等，原因是对机密性和完整性的影响很小。成功的攻击可以通过绕过内核凭据权限检查来执行权限提升。

ClamAV HFS + 分区扫描缓冲区溢出漏洞

2023 年 2 月 15 日，ClamAV 扫描库中的一个漏洞被披露。ClamAV 版本 1.0.0 及更早版本、0.105.1 及更早版本以及 0.103.7 及更早版本的 HFS+ 分区文件解析器存在一个安全漏洞，可允许未经身份验证的远程攻击者在目标系统上执行任意代码。

该漏洞来自 HFS+ 分区文件解析器中缺少缓冲区大小检查，这可能导致堆缓冲区溢出写入。当用户提交构建的 HFS+ 分区文件以供受影响设备上的 ClamAV 扫描时，引擎可能会尝试读取和处理该文件，从而触发漏洞。攻击者可通过向易受攻击的系统发送特制的 HFS+ 分区文件来利用此漏洞。

一旦文件被 ClamAV 扫描，引擎就会尝试处理该文件，这可能导致攻击者执行任意代码。这可能导致攻击者未经授权访问系统、窃取敏感数据或安装恶意软件。此外，攻击者还可能导致 ClamAV 扫描进程崩溃，从而导致拒绝服务 （DoS） 条件，从而可能中断目标系统的正常运行。

ClamAV 软件发布了 ClamAV 0.103.8，0.105.2 和 1.0.1，其中应包含针对该漏洞的补丁。

该漏洞已注册为 CVE-2023-20032，由于对机密性、完整性和可用性的影响很大，因此在思科的 CVSS 评分中被评为 9.8 级严重漏洞。

HAProxy 中的 HTTP 内容走私错误

来自 Northeastern、Akamai Technologies 和 Google 的安全研究团队发现了 HAProxy 标头处理中的一个错误； 当它被利用时，该错误可以允许 HTTP 内容走私攻击。 HAProxy 的维护者 Willy Tarreau 报告了此漏洞。 HAProxy 是一种用于 HTTP 和 TCP 应用程序的开源负载平衡器和反向代理工具。

该漏洞是在 HAProxy 的标头处理中发现的。 它被恶意制作的 HTTP 请求所利用，该请求可能会在解析后触发重要标头字段的丢弃。 这可能会向服务器创建额外的请求，并让后续请求绕过 HAProxy 过滤器，从而使攻击者能够访问受限内容、绕过 URL 身份验证或其他恶意目的。

Tarreau 确认几乎所有 HAProxy 版本都受到该漏洞的影响，包括 HTX-aware 2.0 及以上版本和非 HTX 1.9 及之前版本或遗留模式下的 2.0 版本。

在确认漏洞后，Tarreau 发布了针对 HAProxy 所有版本的修复程序，包括 2.8-dev4、2.7.3、2.6.9、2.5.12、2.4.12、2.2.29 和 2.0.31。 Tarreau 建议 HAProxy 用户升级到相关分支的补丁版本，并将其作为保持保护的最佳实践。 如果无法立即升级，Tarreau 也分享了一个变通方法，该变通方法会拒绝尝试以 403 错误触发该错误的请求。 但是，此解决方法并不能保证完全缓解； 因此，最终还是建议大家升级到最新的补丁版本。

此漏洞已注册为 CVE-2023-25725，并且由于对完整性和可用性的高度影响，在 NIST 的 CVSS 评分中被评为 9.1 严重。