2022年05月30日-2022年06月05日
本周漏洞態(tài)勢(shì)研判情況
本周信息安全漏洞威脅整體評(píng)價(jià)級(jí)別為中。
國(guó)家信息安全漏洞共享平臺(tái)(以下簡(jiǎn)稱CNVD)本周共收集、整理信息安全漏洞589個(gè)，其中高危漏洞219個(gè)、中危漏洞322個(gè)、低危漏洞48個(gè)。漏洞平均分值為6.04。本周收錄的漏洞中，涉及0day漏洞497個(gè)(占84%)，其中互聯(lián)網(wǎng)上出現(xiàn)“Tenda AC9緩沖區(qū)溢出漏洞、D-Link DIR-816 A2命令注入漏洞”等零日代碼攻擊漏洞。本周CNVD接到的涉及黨政機(jī)關(guān)和企事業(yè)單位的事件型漏洞總數(shù)4943個(gè)，與上周(11141個(gè))環(huán)比減少56%。
圖1 CNVD收錄漏洞近10周平均分值分布圖
圖2 CNVD 0day漏洞總數(shù)按周統(tǒng)計(jì)
本周漏洞事件處置情況
本周，CNVD向銀行、保險(xiǎn)、能源等重要行業(yè)單位通報(bào)漏洞事件26起，向基礎(chǔ)電信企業(yè)通報(bào)漏洞事件33起，協(xié)調(diào)CNCERT各分中心驗(yàn)證和處置涉及地方重要部門漏洞事件813起，協(xié)調(diào)教育行業(yè)應(yīng)急組織驗(yàn)證和處置高?？蒲性核到y(tǒng)漏洞事件132起，向國(guó)家上級(jí)信息安全協(xié)調(diào)機(jī)構(gòu)上報(bào)涉及部委門戶、子站或直屬單位信息系統(tǒng)漏洞事件113起。
圖3 CNVD各行業(yè)漏洞處置情況按周統(tǒng)計(jì)
圖4 CNCERT各分中心處置情況按周統(tǒng)計(jì)
圖5 CNVD教育行業(yè)應(yīng)急組織處置情況按周統(tǒng)計(jì)
此外，CNVD通過已建立的聯(lián)系機(jī)制或涉事單位公開聯(lián)系渠道向以下單位通報(bào)了其信息系統(tǒng)或軟硬件產(chǎn)品存在的漏洞，具體處置單位情況如下所示：
中電光谷建筑設(shè)計(jì)院有限公司、正方軟件股份有限公司、浙江中控技術(shù)股份有限公司、浙江慕楓網(wǎng)絡(luò)科技有限公司、友訊電子設(shè)備(上海)有限公司、兄弟(中國(guó))商業(yè)有限公司、小白智能科技(長(zhǎng)春)股份有限公司、武漢微問網(wǎng)絡(luò)科技有限公司、臺(tái)達(dá)電子企業(yè)管理(上海)有限公司、深圳智慧光迅信息技術(shù)有限公司、深圳市迅捷通信技術(shù)有限公司、深圳市同享軟件科技有限公司、深圳市聯(lián)軟科技股份有限公司、深圳市吉祥騰達(dá)科技有限公司、深圳市大疆創(chuàng)新科技有限公司、深圳市叢文科技有限公司、深圳市艾珂云谷信息技術(shù)有限公司、上海泛微網(wǎng)絡(luò)科技股份有限公司、上海頂想信息科技有限公司、熵基科技股份有限公司、山西企凝信息科技有限公司、山東金鐘科技集團(tuán)股份有限公司、廈門四信物聯(lián)網(wǎng)科技有限公司、銳捷網(wǎng)絡(luò)股份有限公司、麒麟軟件有限公司、普聯(lián)技術(shù)有限公司、明博教育科技股份有限公司、綠盟科技集團(tuán)股份有限公司、聯(lián)奕科技股份有限公司、廊坊市極致網(wǎng)絡(luò)科技有限公司、昆明云濤科技有限公司、金蝶軟件(中國(guó))有限公司、江西金磊科技發(fā)展有限公司、江蘇金智教育信息股份有限公司、吉翁電子(深圳)有限公司、華磊信息科技有限公司、恒鋒信息科技股份有限公司、杭州拓康自動(dòng)化設(shè)備有限公司、杭州海康威視數(shù)字技術(shù)股份有限公司、杭州晨科軟件技術(shù)有限公司、海南贊贊網(wǎng)絡(luò)科技有限公司、海海海計(jì)算機(jī)軟件有限公司、哈爾濱偉成科技有限公司、桂林崇勝網(wǎng)絡(luò)科技有限公司、廣州市卓創(chuàng)教育信息科技有限公司、廣州市粵海網(wǎng)絡(luò)科技有限公司、廣州市凝智科技有限公司、廣聯(lián)達(dá)科技股份有限公司、富士施樂(中國(guó))有限公司、方正科技集團(tuán)股份有限公司、北京致遠(yuǎn)互聯(lián)軟件股份有限公司、北京雪迪龍科技股份有限公司、北京星網(wǎng)銳捷網(wǎng)絡(luò)技術(shù)有限公司、北京小米科技有限責(zé)任公司、北京五指互聯(lián)科技有限公司、北京網(wǎng)康科技有限公司、北京天生創(chuàng)想信息技術(shù)有限公司、北京碩人時(shí)代科技股份有限公司、北京火絨網(wǎng)絡(luò)科技有限公司、北京東方通科技股份有限公司、北京百卓網(wǎng)絡(luò)技術(shù)有限公司、北京百度網(wǎng)訊科技有限公司、網(wǎng)新科技、三菱電機(jī)株式會(huì)社、若依、信呼、ZCOMAX TECHNOLOGIES, INC、YZNCMS、The Apache Software Foundation、taocms、SEMCMS、NETGEAR、MuYuCMS、MOBOTIX、Google、FTCMS、Eclipse、CSZCMS、bandisoft和Adobe。
本周，CNVD發(fā)布了《關(guān)于微軟支持診斷工具M(jìn)SDT存在遠(yuǎn)程代碼執(zhí)行漏洞的安全公告》、《關(guān)于Confluence存在遠(yuǎn)程代碼執(zhí)行漏洞的安全公告》。詳情參見CNVD網(wǎng)站公告內(nèi)容。
https://www.cnvd.org.cn/webinfo/show/7746
https://www.cnvd.org.cn/webinfo/show/7756
本周漏洞報(bào)送情況統(tǒng)計(jì)
本周報(bào)送情況如表1所示。其中，阿里云計(jì)算有限公司、杭州安恒信息技術(shù)股份有限公司、深信服科技股份有限公司、安天科技集團(tuán)股份有限公司、新華三技術(shù)有限公司等單位報(bào)送公開收集的漏洞數(shù)量較多。武漢安域信息安全技術(shù)有限公司、北京山石網(wǎng)科信息技術(shù)有限公司、重慶都會(huì)信息科技有限公司、北京網(wǎng)御星云信息技術(shù)有限公司、上海紐盾科技股份有限公司、北京云科安信科技有限公司(Seraph安全實(shí)驗(yàn)室)、巨鵬信息科技有限公司、河南信安世紀(jì)科技有限公司、廣州百蘊(yùn)啟辰科技有限公司、貴州泰若數(shù)字科技有限公司、北京升鑫網(wǎng)絡(luò)科技有限公司、北京遠(yuǎn)禾科技有限公司、上海觀安信息技術(shù)股份有限公司、海通證券股份有限公司、中國(guó)煙草總公司湖北省公司、山東云天安全技術(shù)有限公司、北方實(shí)驗(yàn)室(沈陽(yáng))股份有限公司、四川賽闖檢測(cè)股份有限公司及其他個(gè)人白帽子向CNVD提交了4943個(gè)以事件型漏洞為主的原創(chuàng)漏洞，其中包括斗象科技(漏洞盒子)、上海交大和奇安信網(wǎng)神(補(bǔ)天平臺(tái))向CNVD共享的白帽子報(bào)送的2791條原創(chuàng)漏洞信息。
表1 漏洞報(bào)送情況統(tǒng)計(jì)表（略）
本周漏洞按類型和廠商統(tǒng)計(jì)
本周，CNVD收錄了589個(gè)漏洞。WEB應(yīng)用311個(gè)，應(yīng)用程序112個(gè)，網(wǎng)絡(luò)設(shè)備(交換、路由器等網(wǎng)絡(luò)端設(shè)備)86個(gè)，智能設(shè)備(物聯(lián)網(wǎng)終端設(shè)備)39個(gè)，操作系統(tǒng)28個(gè)，安全產(chǎn)品10個(gè)，數(shù)據(jù)庫(kù)3個(gè)。
表2 漏洞按影響類型統(tǒng)計(jì)表
圖6 本周漏洞按影響類型分布
CNVD整理和發(fā)布的漏洞涉及WordPress、Google、Adobe等多家廠商的產(chǎn)品，部分漏洞數(shù)量按廠商統(tǒng)計(jì)如表3所示。
表3 漏洞產(chǎn)品涉及廠商分布統(tǒng)計(jì)表
本周行業(yè)漏洞收錄情況
本周，CNVD收錄了收錄了69個(gè)電信行業(yè)漏洞，49個(gè)移動(dòng)互聯(lián)網(wǎng)行業(yè)漏洞，4個(gè)工控行業(yè)漏洞(如下圖所示)。其中，“TOTOLINK A3100R緩沖區(qū)溢出漏洞、Tenda AX12緩沖區(qū)溢出漏洞(CNVD-2022-42152)”等漏洞的綜合評(píng)級(jí)為“高?！薄Ｏ嚓P(guān)廠商已經(jīng)發(fā)布了漏洞的修補(bǔ)程序，請(qǐng)參照CNVD相關(guān)行業(yè)漏洞庫(kù)鏈接。
電信行業(yè)漏洞鏈接：http://telecom.cnvd.org.cn/
移動(dòng)互聯(lián)網(wǎng)行業(yè)漏洞鏈接：http://mi.cnvd.org.cn/
工控系統(tǒng)行業(yè)漏洞鏈接：http://ics.cnvd.org.cn/
圖7 電信行業(yè)漏洞統(tǒng)計(jì)
圖8 移動(dòng)互聯(lián)網(wǎng)行業(yè)漏洞統(tǒng)計(jì)
圖9 工控系統(tǒng)行業(yè)漏洞統(tǒng)計(jì)
本周重要漏洞安全告警
本周，CNVD整理和發(fā)布以下重要安全漏洞信息。
1、Adobe產(chǎn)品安全漏洞
Adobe Photoshop是美國(guó)奧多比(Adobe)公司的一套圖片處理軟件。本周，上述產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞在當(dāng)前用戶的上下文中執(zhí)行任意代碼。
CNVD收錄的相關(guān)漏洞包括：Adobe Photoshop輸入驗(yàn)證錯(cuò)誤漏洞、Adobe Photoshop越界寫入漏洞(CNVD-2022-42165、CNVD-2022-42164、CNVD-2022-42169、CNVD-2022-42168、CNVD-2022-42167、CNVD-2022-42171、CNVD-2022-42170)。上述漏洞的綜合評(píng)級(jí)為“高?！?。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。CNVD提醒用戶及時(shí)下載補(bǔ)丁更新，避免引發(fā)漏洞相關(guān)的網(wǎng)絡(luò)安全事件。
參考鏈接：
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42166
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42165
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42164
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42169
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42168
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42167
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42171
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42170
2、Google產(chǎn)品安全漏洞
Google Android是美國(guó)谷歌(Google)公司的一套以Linux為基礎(chǔ)的開源操作系統(tǒng)。本周，上述產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞提升權(quán)限。
CNVD收錄的相關(guān)漏洞包括：Google Android權(quán)限提升漏洞(CNVD-2022-42138、CNVD-2022-42142、CNVD-2022-42141、CNVD-2022-42140、CNVD-2022-42139、CNVD-2022-42143、CNVD-2022-42148、CNVD-2022-42147)。其中，除“Google Android權(quán)限提升漏洞(CNVD-2022-42148)、Google Android權(quán)限提升漏洞(CNVD-2022-42147)”外，其余漏洞的綜合評(píng)級(jí)為“高?！?。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。CNVD提醒用戶及時(shí)下載補(bǔ)丁更新，避免引發(fā)漏洞相關(guān)的網(wǎng)絡(luò)安全事件。
參考鏈接：
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42138
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42142
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42141
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42140
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42139
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42143
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42148
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42147
3、WordPress產(chǎn)品安全漏洞
WordPress是一套使用PHP語(yǔ)言開發(fā)的博客平臺(tái)。該平臺(tái)支持在PHP和MySQL的服務(wù)器上架設(shè)個(gè)人博客網(wǎng)站。本周，上述產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞執(zhí)行SQL注入、刪除緩存、刪除源、創(chuàng)建源、上傳惡意文件導(dǎo)致遠(yuǎn)程任意代碼執(zhí)行等操作。
CNVD收錄的相關(guān)漏洞包括：WordPress Hermit plugin SQL注入漏洞、WordPress Hermit plugin跨站請(qǐng)求偽造漏洞、WordPress VikBooking Hotel Booking Engine&PMS plugin信息泄露漏洞、WordPress VikBooking Hotel Booking Engine&PMS plugin任意文件上傳漏洞、WordPress Booking Calendar plugin代碼問題漏洞、WordPress Daily Prayer Time plugin SQL注入漏洞、WordPress插件Donations SQL注入漏洞、WordPress插件Users Ultra SQL注入漏洞。其中，除“WordPress Hermit plugin跨站請(qǐng)求偽造漏洞、WordPress VikBooking Hotel Booking Engine&PMS plugin信息泄露漏洞、WordPress Booking Calendar plugin代碼問題漏洞”外，其余漏洞的綜合評(píng)級(jí)為“高?！?。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。CNVD提醒用戶及時(shí)下載補(bǔ)丁更新，避免引發(fā)漏洞相關(guān)的網(wǎng)絡(luò)安全事件。
參考鏈接：
https://www.cnvd.org.cn/flaw/show/CNVD-2022-41790
https://www.cnvd.org.cn/flaw/show/CNVD-2022-41791
https://www.cnvd.org.cn/flaw/show/CNVD-2022-41801
https://www.cnvd.org.cn/flaw/show/CNVD-2022-41800
https://www.cnvd.org.cn/flaw/show/CNVD-2022-41799
https://www.cnvd.org.cn/flaw/show/CNVD-2022-41807
https://www.cnvd.org.cn/flaw/show/CNVD-2022-43220
https://www.cnvd.org.cn/flaw/show/CNVD-2022-43221
4、Dell產(chǎn)品安全漏洞
Dell Vnx2Oe For File是美國(guó)戴爾(Dell)公司的一個(gè)操作環(huán)境。Dell PowerEdge Server BIOS是一款系統(tǒng)更新驅(qū)動(dòng)程序。DELL EMC PowerScale是一套適用于非結(jié)構(gòu)化數(shù)據(jù)的橫向擴(kuò)展存儲(chǔ)系統(tǒng)。Dell EMC NetWorker是一套統(tǒng)一備份和恢復(fù)軟件。該軟件提供備份與恢復(fù)、消除重復(fù)數(shù)據(jù)、備份報(bào)告等功能。DELL Dell Wyse Management Suite是一套用于管理和優(yōu)化Wyse端點(diǎn)的、可擴(kuò)展的解決方案。該產(chǎn)品包括Wyse端點(diǎn)集中管理、資產(chǎn)追蹤和自動(dòng)設(shè)備發(fā)現(xiàn)等功能。本周，上述產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞越權(quán)訪問或者覆蓋敏感數(shù)據(jù)，提升其權(quán)限，執(zhí)行命令等。
CNVD收錄的相關(guān)漏洞包括：Dell Vnx2Oe For File路徑遍歷漏洞、Dell OpenManage Enterprise權(quán)限提升漏洞(CNVD-2022-42737)、DELL EMC AppSync路徑遍歷漏洞、Dell VNX2 OE for File遠(yuǎn)程代碼執(zhí)行漏洞(CNVD-2022-42739)、Dell PowerEdge緩沖區(qū)溢出漏洞、DELL EMC PowerScale代碼問題漏洞、Dell EMC NetWorker信息泄露漏洞(CNVD-2022-42743)、Dell Wyse Device Agent授權(quán)問題漏洞。其中，“Dell OpenManage Enterprise權(quán)限提升漏洞(CNVD-2022-42737)、Dell VNX2 OE for File遠(yuǎn)程代碼執(zhí)行漏洞(CNVD-2022-42739)、Dell PowerEdge緩沖區(qū)溢出漏洞”漏洞的綜合評(píng)級(jí)為“高?！?。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。CNVD提醒用戶及時(shí)下載補(bǔ)丁更新，避免引發(fā)漏洞相關(guān)的網(wǎng)絡(luò)安全事件。
參考鏈接：
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42738
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42737
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42740
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42739
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42745
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42744
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42743
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42742
5、Asus DSL-N14U-B1拒絕服務(wù)漏洞
ASUS DSL-N14U-B1是中國(guó)華碩(ASUS)公司的一款路由器設(shè)備。本周，ASUS DSL-N14U-B1被披露存在拒絕服務(wù)漏洞。攻擊者可利用該漏洞使用nmap之類的工具執(zhí)行TCP SYN掃描造成拒絕服務(wù) (DoS)。目前，廠商尚未發(fā)布上述漏洞的修補(bǔ)程序。CNVD提醒廣大用戶隨時(shí)關(guān)注廠商主頁(yè)，以獲取最新版本。
參考鏈接：
https://www.cnvd.org.cn/flaw/show/CNVD-2022-41786
小結(jié)：本周，Adobe產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞在當(dāng)前用戶的上下文中執(zhí)行任意代碼。此外，Google、WordPress、Dell等多款產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞越權(quán)訪問或者覆蓋敏感數(shù)據(jù)，提升其權(quán)限，執(zhí)行命令，執(zhí)行SQL注入攻擊，刪除緩存，刪除源，創(chuàng)建源，上傳惡意文件從而遠(yuǎn)程執(zhí)行任意代碼等。另外，ASUS DSL-N14U-B1被披露存在拒絕服務(wù)漏洞。攻擊者可利用該漏洞使用nmap之類的工具執(zhí)行TCP SYN掃描造成拒絕服務(wù) (DoS)。建議相關(guān)用戶隨時(shí)關(guān)注上述廠商主頁(yè)，及時(shí)獲取修復(fù)補(bǔ)丁或解決方案。
本周重要漏洞攻擊驗(yàn)證情況
本周，CNVD建議注意防范以下已公開漏洞攻擊驗(yàn)證情況。
1、D-Link DIR-816 A2命令注入漏洞
驗(yàn)證描述
D-Link DIR-816 A2是中國(guó)臺(tái)灣友訊(D-Link)公司的一款無線路由器。
D-Link DIR-816 A2 1.10 B05存在命令注入漏洞，攻擊者可利用該漏洞通過制作的tokenid參數(shù)任意重置設(shè)備到/goform/form2Reboot.cgi
驗(yàn)證信息
POC鏈接：
https://github.com/GD008/vuln/blob/main/DIR-816_reset.md
參考鏈接：
https://www.cnvd.org.cn/flaw/show/CNVD-2022-42154
信息提供者
新華三技術(shù)有限公司
注：以上驗(yàn)證信息(方法)可能帶有攻擊性，僅供安全研究之用。請(qǐng)廣大用戶加強(qiáng)對(duì)漏洞的防范工作，盡快下載相關(guān)補(bǔ)丁。
文章來源：CNVD漏洞平臺(tái)
