从这个网页截图中，可以获取到以下关于漏洞的关键信息： 1. 漏洞编号：TALOS-2024-1961 2. 漏洞名称：GoCast NAT parameter OS command injection vulnerability 3. 发布日期：2024年11月21日 4. CVE编号：CVE-2024-29224 5. 漏洞描述：GoCast 1.1.3版本中存在一个OS命令注入漏洞。通过精心构造的HTTP请求，攻击者可以触发这个漏洞，执行任意命令。 6. 受影响版本：GoCast 1.1.3 7. CVSSv3评分：9.8 8. CWE编号：CWE-78 - Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') 9. 详细信息：GoCast使用GoBGP进行BGP路由广告。在GoCast中，当nat值用于创建或删除防火墙规则时，会触发注入。这个注入可以通过HTTP API触发，也可以通过配置文件或Consul集成触发。由于缺乏身份验证，HTTP API应该在大多数环境中禁用或配置为仅通过添加身份验证的代理进行。 10. 缓解措施：GoCast用户应禁用HTTP API或将其放在身份验证之后。如果无法实现，应禁用Consul集成。检查配置文件的文件权限，确保只有root和GoCast用户可以修改文件。 11. 发现者：Matt Street和Edwin Molenaar，来自Cisco Meraki。 12. 时间线：从2024年4月2日到2024年11月21日，包括与供应商的联系、披露、状态请求和发布等步骤。 13. 信用：归功于Matt Street和Edwin Molenaar的发现。 这些信息提供了关于漏洞的详细描述、影响范围和缓解措施，有助于安全团队理解和应对这个漏洞。