# 本周安全态势综述
OSCS 社区共收录安全漏洞 3 个，公开漏洞值得关注的是 Argo CD < 2.5.8 OIDC签名验证绕过漏洞（ CVE-2023-22482），Argo CD <2.5.8 身份验证绕过漏洞（CVE-2023-22736）,Apache Airflow MySQL Provider任意文件读取漏洞（CVE-2023-22884）。
针对 NPM 、PyPI 仓库，共监测到 17 个不同版本的 NPM 、PyPI 投毒组件。
# 重要安全漏洞列表
1、1.Argo CD < 2.5.8 OIDC签名验证绕过漏洞（CVE-2023-22482）
Argo CD 是一款开源且主要针对 Kubernetes 来做 GitOps 的持续交付工具。
Argo CD 受影响版本在验证令牌是否由其配置的 OIDC 提供商签名时，只基于groups授权而不验证 audience 声明（OIDC 提供商在已签名的令牌中包含aud 声明，指定令牌的预期 audience，即接受令牌的服务），导致 Argo CD 可以接受不合法的令牌。攻击者可以利用颁发给其他 audience 的合法令牌直接访问 Argo CD。
参考链接：https://www.oscs1024.com/hd/MPS-2022-70046 (opens new window)
2、Argo CD <2.5.8 身份验证绕过漏洞（CVE-2023-22736）
Argo CD 是一款用于 Kubernetes 的 GitOps 持续交付工具。
Argo CD 受影响版本在 Application controller (应用程序控制器) 上启用分片时，不会在 reconcile (协调) 应用程序时强制执行 glob 模式列表（指定协调应用程序命名空间），攻击者可利用此漏洞在配置的允许命名空间之外部署应用程序。例如应用程序命名空间配置为 argocd-*，应用程序控制器可能会协调安装在名为 other 的命名空间中的应用程序，即使它不是以 argocd- 开头。 受影响的 Argo CD 需要在 argocd-cmd-params-cm ConfigMap 中设置 application.namespaces 或以其他方式在应用程序控制器上设置 --application-namespaces 标志来明确启用“apps-in-any-namespace”功能。
参考链接：https://www.oscs1024.com/hd/MPS-2023-0434 (opens new window)
3、Apache Airflow MySQL Provider 任意文件读取漏洞（CVE-2023-22884）
Apache Airflow 是一个创作、调度和监控工作流的可编程开源平台。
Apache Airflow MySQL Provider 在 4.0.0 以前的版本中当连接 MySQL 时 local_infile 设置为 true（默认未开启），其作用于整个连接，攻击者可能利用客户端信任的 MySQL hook 中的 LOAD DATA LOCAL INFILE 功能读取客户端主机中的文件。
参考链接：https://www.oscs1024.com/hd/MPS-2023-0701 (opens new window)
# 投毒风险监测
OSCS针对 NPM 、PyPI仓库监测的恶意组件数量如下所示。
本周新发现 17 个不同版本的恶意组件:
100%的投毒组件为：获取主机敏感信息（获取了主机的用户名、IP 等敏感信息发送给恶意服务器）。
# 其他资讯
1、微软将阻止 Excel 加载项以防止 Office 漏洞利用。