这些漏洞不仅影响了系统的安全性，还可能对使用这些系统的企业和个人造成重大风险
本文将详细介绍几个关键的Linux最新漏洞，并提供相应的防护建议，以帮助用户确保系统的安全稳定
OpenWrt Attended SysUpgrade 命令注入漏洞（CVE-2024-54143） 影响组件 OpenWrt是一款基于Linux的开源固件项目，专为嵌入式设备如路由器设计
它提供了高度的自定义性和扩展性，允许用户构建定制化的固件镜像，并在升级过程中保留已有的安装包和设置，增强了设备的灵活性和功能性
OpenWrt/ASU（Attended SysUpgrade）是OpenWrt项目的一个关键组件，提供了一个用户友好的系统升级服务，允许用户轻松升级OpenWrt固件，同时保留已安装的软件包和设置
漏洞危害 OpenWrt Attended SysUpgrade命令注入漏洞（CVE-2024-54143）是一个严重的安全问题
该漏洞源于Imagebuilder在构建过程中未能正确处理用户提供的软件包名称，导致攻击者可以将任意命令注入构建过程，生成恶意固件镜像
此外，由于SHA-256哈希被截断至12个字符，降低了哈希的复杂性，增加了哈希碰撞的可能性，使得攻击者可以利用哈希碰撞技术用恶意镜像覆盖合法缓存镜像，从而影响已交付版本的完整性
这一漏洞的技术细节与PoC（Proof of Concept，概念验证）已在互联网上公开，影响范围较大
如果攻击者成功利用此漏洞，他们可以控制设备的固件升级过程，植入恶意代码，甚至完全控制设备
这将对设备的正常运行和数据安全构成严重威胁
修复方案 目前，OpenWrt官方已通过920c8a1提交进行了修复
受影响用户应尽快应用补丁以缓解该漏洞
官方补丁的下载地址为：【https://github.com/openwrt/asu/commit/920c8a13d97b4d4095f0d939cf0aaae777e0f87e】(https://github.com/openwrt/asu/commit/920c8a13d97b4d4095f0d939cf0aaae777e0f87e)
Apache Struts 文件上传漏洞（CVE-2024-53677） 影响组件 Apache Struts 2是一个用于开发Java EE网络应用程序的开放源代码网页应用程序架构
它利用并延伸了Java Servlet API，鼓励开发者采用MVC架构
Apache Struts在Java Web开发中占据重要地位，广泛应用于各种企业级应用中
漏洞危害 Apache Struts文件上传漏洞（CVE-2024-53677）同样是一个严重的安全问题
该漏洞存在于Apache Struts的文件上传逻辑中，若代码中使用了FileUploadInterceptor，当进行文件上传时，攻击者可能构造恶意请求，利用目录遍历等上传文件至其他目录
如果成功利用，攻击者可能能够执行远程代码、获取敏感数据、破坏网站内容或进行其他恶意活动
该漏洞的影响范围广泛，涵盖了多个版本的Apache Struts，包括2.0.0至2.3.37（EOL）、2.5.0至2.5.33以及6.0.0至6.3.0.2
因此，使用这些版本的Apache Struts的系统都面临潜在的安全风险
修复方案 目前，Apache官方已发布安全更新，建议用户尽快升级至6.4.0及以上版本，并使用ActionFileUploadInterceptor作为文件上传组件
新的版本修复了文件上传逻辑中的漏洞，增强了系统的安全性
用户可以从以下链接下载并安装更新：【https://github.com/apache/struts/releases】(https://github.com/apache/struts/releases)
其他值得关注的Linux漏洞 除了上述两个漏洞外，本周还发生了多个其他值得关注的Linux相关漏洞
以下是一些重要的漏洞实例： 1.SonicWall SMA100 安全漏洞（CNNVD-202412-487、CVE-2024-45318） SonicWall SMA100是一款安全访问网关设备，其SSL VPN的Web管理界面中存在一个安全漏洞
攻击者可以利用漏洞发送特制的请求导致目标设备栈缓冲区溢出，进而在目标设备远程执行代码
成功利用漏洞的攻击者可以在目标设备远程执行代码，对设备的正常运行和数据安全构成严重威胁
SMA 100 Series（SMA 200、210、400、410、500v）至SMA 100 10.2.1.13-72sv版本均受漏洞影响
目前，SonicWall官方已发布新版本修复了漏洞，建议用户及时确认是否受到漏洞影响，尽快采取修补措施
2.IBM AIX 操作系统命令注入漏洞（CNNVD-202412-734） IBM AIX是美国国际商业机器（IBM）公司的一款为IBM Power体系架构开发的一种基于开放标准的UNIX操作系统
该操作系统存在命令注
