(2022年8月22日至2022年8月28日)
根據(jù)國家信息安全漏洞庫(CNNVD)統(tǒng)計(jì)，本周(2022年8月22日至2022年8月28日)安全漏洞情況如下：
公開漏洞情況
本周CNNVD采集安全漏洞492個。
接報(bào)漏洞情況
本周CNNVD接報(bào)漏洞12543個，其中信息技術(shù)產(chǎn)品漏洞(通用型漏洞)146個，網(wǎng)絡(luò)信息系統(tǒng)漏洞(事件型漏洞)1398個，漏洞平臺推送漏洞10999個。
重大漏洞通報(bào)
蘋果多個安全漏洞：包括Apple macOS Monterey安全漏洞(CNNVD-202208-3348、CVE-2022-32894)和Apple macOS Monterey安全漏洞(CNNVD-202208-3345、CVE-2022-32893)，成功利用漏洞的攻擊者可提升本地權(quán)限，并執(zhí)行任意代碼。iOS 15.6.1以下版本、iPadOS 15.6.1以下版本、macOS Monterey 12.5.1以下版本受上述漏洞影響。目前，蘋果官方已經(jīng)發(fā)布了版本更新修復(fù)了該漏洞，建議用戶及時確認(rèn)產(chǎn)品版本，盡快采取修補(bǔ)措施。
一、公開漏洞情況
根據(jù)國家信息安全漏洞庫(CNNVD)統(tǒng)計(jì)，本周新增安全漏洞492個，漏洞新增數(shù)量有所上升。從廠商分布來看新華三公司新增漏洞最多，有67個;從漏洞類型來看，緩沖區(qū)錯誤類的安全漏洞占比最大，達(dá)到16.26%。新增漏洞中，超危漏洞99個，高危漏洞180個，中危漏洞199個，低危漏洞14個。相應(yīng)修復(fù)率分別為76.77%、89.44%、63.32%和85.71%。根據(jù)補(bǔ)丁信息統(tǒng)計(jì)，合計(jì)375個漏洞已有修復(fù)補(bǔ)丁發(fā)布，整體修復(fù)率為76.22%。
(一) 安全漏洞增長數(shù)量情況
本周CNNVD采集安全漏洞492個。
圖1 近五周漏洞新增數(shù)量統(tǒng)計(jì)圖
(二) 安全漏洞分布情況
從廠商分布來看，新華三公司新增漏洞最多，有67個。各廠商漏洞數(shù)量分布如表1所示。
表1 新增安全漏洞排名前五廠商統(tǒng)計(jì)表
本周國內(nèi)廠商漏洞164個，新華三公司漏洞數(shù)量最多，有67個。國內(nèi)廠商漏洞整體修復(fù)率為84.43%。請受影響用戶關(guān)注廠商修復(fù)情況，及時下載補(bǔ)丁修復(fù)漏洞。
從漏洞類型來看, 緩沖區(qū)錯誤類的安全漏洞占比最大，達(dá)到16.26%。漏洞類型統(tǒng)計(jì)如表3所示。
表2 漏洞類型統(tǒng)計(jì)表
(三) 安全漏洞危害等級與修復(fù)情況
本周共發(fā)布超危漏洞99個，高危漏洞180個，中危漏洞199個，低危漏洞14個。相應(yīng)修復(fù)率分別為76.77%、89.44%、63.32%和85.71%。根據(jù)補(bǔ)丁信息統(tǒng)計(jì)，合計(jì)375個漏洞已有修復(fù)補(bǔ)丁發(fā)布，整體修復(fù)率為76.22%。詳細(xì)情況如表3所示。
表3 漏洞危害等級與修復(fù)情況
(四) 本周重要漏洞實(shí)例
本周重要漏洞實(shí)例如表4所示。
表4 本期重要漏洞實(shí)例
1.WordPress plugin Video Gallery 授權(quán)問題漏洞(CNNVD-202208-3755)
WordPress和WordPress plugin都是WordPress基金會的產(chǎn)品。WordPress是一套使用PHP語言開發(fā)的博客平臺。該平臺支持在PHP和MySQL的服務(wù)器上架設(shè)個人博客網(wǎng)站。WordPress plugin是一個應(yīng)用插件。
WordPress plugin Video Gallery 1.3.4.5版本及之前版本存在授權(quán)問題漏洞，該漏洞源于身份驗(yàn)證不當(dāng)導(dǎo)致。
目前廠商已發(fā)布升級補(bǔ)丁以修復(fù)漏洞，補(bǔ)丁獲取鏈接：
https://wordpress.org/plugins/yotuwp-easy-youtube-embed/#developers
2. Cisco ACI Multi-Site Orchestrator 授權(quán)問題漏洞(CNNVD-202208-3837)
Cisco ACI Multi-Site Orchestrator是美國思科(Cisco)公司的一種多站點(diǎn)編排器。通過單一管理平臺跨多個數(shù)據(jù)中心提供一致的網(wǎng)絡(luò)和策略編排、可擴(kuò)展性和災(zāi)難恢復(fù)，同時允許數(shù)據(jù)中心連接數(shù)據(jù)所在的任何地方。
Cisco ACI Multi-Site Orchestrator (MSO)存在授權(quán)問題漏洞，該漏洞源于對特定API的授權(quán)不當(dāng)導(dǎo)致。攻擊者利用該漏洞可升級系統(tǒng)權(quán)限。
目前廠商已發(fā)布升級補(bǔ)丁以修復(fù)漏洞，補(bǔ)丁獲取鏈接：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-mso-prvesc-BPFp9cZs
3. Red Hat Keycloak 安全漏洞(CNNVD-202208-4225)
Red Hat Keycloak是美國紅帽(Red Hat)公司的一套為現(xiàn)代應(yīng)用和服務(wù)提供身份驗(yàn)證和管理功能的軟件。
Red Hat Keycloak 存在安全漏洞。攻擊者利用該漏洞可以冒充合法用戶的電子郵件ID進(jìn)行注冊。
目前廠商已發(fā)布升級補(bǔ)丁以修復(fù)漏洞，補(bǔ)丁獲取鏈接：
https://access.redhat.com/security/cve/CVE-2021-3754
二、漏洞平臺推送情況
本周漏洞平臺推送漏洞10999個。
三、接報(bào)漏洞情況
本周CNNVD接報(bào)漏洞1544個，其中信息技術(shù)產(chǎn)品漏洞(通用型漏洞)146個，網(wǎng)絡(luò)信息系統(tǒng)漏洞(事件型漏洞)1398個。（詳情略）
四、接報(bào)漏洞通報(bào)情況
本周CNNVD接報(bào)漏洞通報(bào)124份。（詳情略）
五、重大漏洞通報(bào)
CNNVD 關(guān)于蘋果多個安全漏洞情況的通報(bào)
近日，國家信息安全漏洞庫(CNNVD)收到關(guān)于Apple macOS Monterey安全漏洞(CNNVD-202208-3348、CVE-2022-32894)和Apple macOS Monterey安全漏洞(CNNVD-202208-3345、CVE-2022-32893)情況的報(bào)送。成功利用漏洞的攻擊者可提升本地權(quán)限，并執(zhí)行任意代碼。iOS 15.6.1以下版本、iPadOS 15.6.1以下版本、macOS Monterey 12.5.1以下版本受上述漏洞影響。目前，蘋果官方已經(jīng)發(fā)布了版本更新修復(fù)了該漏洞，建議用戶及時確認(rèn)產(chǎn)品版本，盡快采取修補(bǔ)措施。
. 漏洞介紹
Apple macOS Monterey是美國蘋果(Apple)公司的用于麥金塔桌面操作系統(tǒng)macOS的第18個主要版本。
Apple macOS Monterey安全漏洞(CNNVD-202208-3348、CVE-2022-32894)：該漏洞是由于系統(tǒng)邊界檢查問題導(dǎo)致，攻擊者可利用該漏洞在獲得本地權(quán)限的情況下，通過越界讀寫，提升本地權(quán)限至內(nèi)核權(quán)限，最終以內(nèi)核權(quán)限執(zhí)行任意命令。
Apple macOS Monterey安全漏洞(CNNVD-202208-3345、CVE-2022-32893)：該漏洞是由于系統(tǒng)邊界檢查問題導(dǎo)致，攻擊者可以利用該漏洞構(gòu)造惡意網(wǎng)頁內(nèi)容，用戶使用Safari瀏覽器打開惡意網(wǎng)頁內(nèi)容時會觸發(fā)越界讀寫，最終導(dǎo)致任意代碼執(zhí)行。
. 危害影響
成功利用漏洞的攻擊者可提升本地權(quán)限，并執(zhí)行任意代碼。iOS 15.6.1以下版本、iPadOS 15.6.1以下版本、macOS Monterey 12.5.1以下版本受上述漏洞影響。
. 修復(fù)建議
目前，蘋果官方已經(jīng)發(fā)布了版本更新修復(fù)了該漏洞，建議用戶及時確認(rèn)產(chǎn)品版本，盡快采取修補(bǔ)措施。官方鏈接如下：
https://support.apple.com/en-us/HT213413
來源：CNNVD安全動態(tài)
