Lenovo XClarity Controller SQL注入漏洞(CVE-2023-4608)

CVE编号

CVE-2023-4608

利用情况

暂无

补丁情况

N/A

披露时间

2023-08-29

漏洞描述

在特定情况下，具有提升权限的授权XCC用户可以通过特制的API命令执行盲目SQL注入攻击。此漏洞影响ThinkSystem v2和v3服务器，ThinkSystem v1服务器不受影响。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://support.lenovo.com/us/en/product_security/LEN-140960

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	系统	lenovo	thinkagile_hx1331_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_hx2330_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_hx2331_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_hx3330_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_hx3331_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_hx3375_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_hx3376_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_hx5530_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_hx5531_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_hx7530_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_hx7531_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_mx3330-f_all-flash_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_mx3330-h_hybrid_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_mx3331-f_all-flash_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_mx3331-h_hybrid_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_mx3530-h_hybrid_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_mx3530_f_all_flash_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_mx3531-f_all-flash_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_mx3531_h_hybrid_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_vx2330_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_vx3330_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_vx3331_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_vx3530-g_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_vx5530_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_vx7330_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_vx7530_firmware	-	-
	运行在以下环境
	系统	lenovo	thinkagile_vx7531_firmware	-	-
	运行在以下环境
	系统	lenovo	thinksystem_sd630_v2_firmware	-	-
	运行在以下环境
	系统	lenovo	thinksystem_sd650-n_v2_firmware	-	-
	运行在以下环境
	系统	lenovo	thinksystem_sd650_v2_firmware	-	-
	运行在以下环境
	系统	lenovo	thinksystem_sd650_v3_firmware	-	-
	运行在以下环境
系统	lenovo	thinksystem_sd665_v3_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_sn550_v2_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_sr250_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_sr258_v2_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_sr630_v2_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_sr630_v3_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_sr635_v3_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_sr645_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_sr645_v3_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_sr650_v2_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_sr650_v3_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_sr655_v3_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_sr665_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_sr665_v3_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_sr670_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_sr670_v2_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_sr675_v3_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_sr850_v2_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_sr850_v3_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_sr860_v2_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_sr860_v3_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_st250_v2_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_st258_v2_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_st650_v2_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_st650_v3_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_st658_v2_firmware	-	-
运行在以下环境
系统	lenovo	thinksystem_st658_v3_firmware	-	-
运行在以下环境
硬件	lenovo	thinkagile_hx1331	-	-
运行在以下环境
硬件	lenovo	thinkagile_hx2330	-	-
运行在以下环境
硬件	lenovo	thinkagile_hx2331	-	-
运行在以下环境
硬件	lenovo	thinkagile_hx3330	-	-
运行在以下环境
硬件	lenovo	thinkagile_hx3331	-	-
运行在以下环境
硬件	lenovo	thinkagile_hx3375	-	-
运行在以下环境
硬件	lenovo	thinkagile_hx3376	-	-
运行在以下环境
硬件	lenovo	thinkagile_hx5530	-	-
运行在以下环境
硬件	lenovo	thinkagile_hx5531	-	-
运行在以下环境
硬件	lenovo	thinkagile_hx7530	-	-
运行在以下环境
硬件	lenovo	thinkagile_hx7531	-	-
运行在以下环境
硬件	lenovo	thinkagile_mx3330-f_all-flash	-	-
运行在以下环境
硬件	lenovo	thinkagile_mx3330-h_hybrid	-	-
运行在以下环境
硬件	lenovo	thinkagile_mx3331-f_all-flash	-	-
运行在以下环境
硬件	lenovo	thinkagile_mx3331-h_hybrid	-	-
运行在以下环境
硬件	lenovo	thinkagile_mx3530-h_hybrid	-	-
运行在以下环境
硬件	lenovo	thinkagile_mx3530_f_all_flash	-	-
运行在以下环境
硬件	lenovo	thinkagile_mx3531-f_all-flash	-	-
运行在以下环境
硬件	lenovo	thinkagile_mx3531_h_hybrid	-	-
运行在以下环境
硬件	lenovo	thinkagile_vx2330	-	-
运行在以下环境
硬件	lenovo	thinkagile_vx3330	-	-
运行在以下环境
硬件	lenovo	thinkagile_vx3331	-	-
运行在以下环境
硬件	lenovo	thinkagile_vx3530-g	-	-
运行在以下环境
硬件	lenovo	thinkagile_vx5530	-	-
运行在以下环境
硬件	lenovo	thinkagile_vx7330	-	-
运行在以下环境
硬件	lenovo	thinkagile_vx7530	-	-
运行在以下环境
硬件	lenovo	thinkagile_vx7531	-	-
运行在以下环境
硬件	lenovo	thinksystem_sd630_v2	-	-
运行在以下环境
硬件	lenovo	thinksystem_sd650-n_v2	-	-
运行在以下环境
硬件	lenovo	thinksystem_sd650_v2	-	-
运行在以下环境
硬件	lenovo	thinksystem_sn550_v2	-	-
运行在以下环境
硬件	lenovo	thinksystem_sr250_v2	-	-
运行在以下环境
硬件	lenovo	thinksystem_sr258_v2	-	-
运行在以下环境
硬件	lenovo	thinksystem_sr630_v2	-	-
运行在以下环境
硬件	lenovo	thinksystem_sr645	-	-
运行在以下环境
硬件	lenovo	thinksystem_sr645_v3	-	-
运行在以下环境
硬件	lenovo	thinksystem_sr650_v2	-	-
运行在以下环境
硬件	lenovo	thinksystem_sr665	-	-
运行在以下环境
硬件	lenovo	thinksystem_sr670	-	-
运行在以下环境
硬件	lenovo	thinksystem_sr670_v2	-	-
运行在以下环境
硬件	lenovo	thinksystem_sr850_v2	-	-
运行在以下环境
硬件	lenovo	thinksystem_sr860_v2	-	-
运行在以下环境
硬件	lenovo	thinksystem_st250_v2	-	-
运行在以下环境
硬件	lenovo	thinksystem_st258_v2	-	-
运行在以下环境
硬件	lenovo	thinksystem_st650_v2	-	-
运行在以下环境
硬件	lenovo	thinksystem_st658_v2	-	-

CVSS3评分 4.1

• 攻击路径 网络
• 攻击复杂度 高
• 权限要求 高
• 影响范围 未更改
• 用户交互 无
• 可用性 低
• 保密性 低
• 完整性 低

CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:L/I:L/A:L

CWE-ID	漏洞类型
CWE-89	SQL命令中使用的特殊元素转义处理不恰当（SQL注入）

Exp相关链接

- avd.aliyun.com