在本周的文摘中，我们将讨论。
- phpMyAdmin拖放式上传中的一个XSS漏洞；
- ClamAV扫描库中存在缓冲区溢出漏洞；以及
- HAProxy中的一个HTTP内容偷渡错误。
phpMyAdmin拖放式上传存在XSS漏洞
一个匿名用户在 phpMyAdmin 的上传功能中发现了一个跨站脚本 (XSS) 漏洞。该漏洞允许认证用户通过在 phpMyAdmin 的拖放界面上传恶意制作的 .sql 文件来触发 XSS。
phpMyAdmin已经发布了4.9.11和5.2.1之前的版本，拖放上传的XSS漏洞影响了安装4.9.11之前的版本和5.x之前的版本。然而，作为一个缓解因素，用户可以禁用配置指令$cfg['enable_drag_drop_import']，这将禁用拖放功能并保护用户免受该漏洞的影响。
拖放式上传XSS漏洞--注册为CVE-2023-25727--在NIST的CVSS评分中被评为5.4中，因为它对保密性和完整性的影响较小。一个成功的攻击可以通过绕过内核凭证权限检查来执行权限升级。
ClamAV HFS+分区扫描缓冲区溢出漏洞
2023年2月15日，ClamAV扫描库的一个漏洞被披露。ClamAV 1.0.0及以前版本、0.105.1及以前版本和0.103.7及以前版本的HFS+分区文件解析器存在一个安全漏洞，可能允许未经授权的远程攻击者在目标系统上执行任意代码。
该漏洞来自于HFS+分区文件解析器的缓冲区大小检查缺失，这可能导致堆缓冲区溢出写入。当用户提交一个精心制作的HFS+分区文件给受影响的设备上的ClamAV扫描时，该引擎可能试图读取和处理该文件，从而触发该漏洞。攻击者可以通过发送特制的HFS+分区文件到有漏洞的系统来利用这个漏洞。
一旦文件被ClamAV扫描，该引擎就会试图处理该文件，这可能导致攻击者执行任意代码。这可能导致攻击者获得对系统的未授权访问，窃取敏感数据，或安装恶意软件。此外，攻击者还可以导致ClamAV扫描过程崩溃，造成拒绝服务（DoS）的情况，这可能会破坏目标系统的正常运行。
ClamAV软件已经发布了ClamAV 0.103.8，0.105.2和1.0.1，其中应该包括针对该漏洞的补丁。
该漏洞已被注册为CVE-2023-20032，由于对保密性、完整性和可用性的影响很大，在思科的CVSS评分中被评为9.8级危急。
HAProxy中的HTTP内容偷渡错误
一个来自东北大学、Akamai Technologies和谷歌的安全研究小组发现了HAProxy头信息处理中的一个漏洞；一旦被利用，该漏洞可以允许HTTP内容偷渡攻击。HAProxy的维护者Willy Tarreau报告了这个漏洞。HAProxy是一个开源的负载平衡器和反向代理工具，用于HTTP和TCP应用。
在HAProxy的頭部處理中發現漏洞。它被一个恶意制作的HTTP请求所利用，该请求可能在解析后触发丢弃重要的头字段。这可能会产生对服务器的额外请求，并让随后的请求绕过HAProxy过滤器，使攻击者能够访问受限制的内容，能够绕过URL认证，或其他恶意的目的。
Tarreau证实，几乎所有的HAProxy版本都受到该漏洞的影响，包括HTX感知版本2.0及以上和非HTX版本1.9及以前或传统模式的2.0版本。
在确认该漏洞后，Tarreau发布了所有HAProxy版本的修复，包括2.8-dev4、2.7.3、2.6.9、2.5.12、2.4.12、2.2.29和2.0.31。Tarreau建议HAProxy用户升级到其相关分支的补丁版本，作为保持保护的最佳做法。如果不可能立即升级，Tarreau分享了一个解决方法，即以403错误拒绝试图触发该错误的请求。然而，这个解决方法并不能保证完全缓解；因此，最终建议升级到有补丁的版本。
该漏洞已被注册为CVE-2023-25725，由于对完整性和可用性的影响很大，在NIST的CVSS评分中被评为9.1危急。
注释