香蕉视频最新版下载,日韩精品无码Aⅴ中文无码版,成在人线av无码免费高潮水

您所在的位置：首頁 > 安全研究 > 安全通告 > 信息安全漏洞月報（2023年8月）

信息安全漏洞月報（2023年8月）

漏洞態(tài)勢

根據(jù)國家信息安全漏洞庫(CNNVD)統(tǒng)計，2023年8月采集安全漏洞共2487個。本月接報漏洞75398個，其中信息技術(shù)產(chǎn)品漏洞(通用型漏洞)659個，網(wǎng)絡(luò)信息系統(tǒng)漏洞(事件型漏洞)74739個，其中漏洞平臺推送漏洞74503個。

重大漏洞通報

微軟官方發(fā)布公告更新了Microsoft Exchange Server 安全漏洞(CNNVD-202308-737/CVE-2023-21709)、Microsoft Message Queuing 安全漏洞(CNNVD-202308-734/CVE-2023-35385)等多個漏洞：成功利用上述漏洞的攻擊者可以在目標系統(tǒng)上執(zhí)行任意代碼、獲取用戶數(shù)據(jù)，提升權(quán)限等。微軟多個產(chǎn)品和系統(tǒng)受漏洞影響。目前，微軟官方已經(jīng)發(fā)布了漏洞修復(fù)補丁，建議用戶及時確認是否受到漏洞影響，盡快采取修補措施。

漏洞態(tài)勢

一、公開漏洞情況

根據(jù)國家信息安全漏洞庫(CNNVD)統(tǒng)計，2023年8月新增安全漏洞共2487個，從廠商分布來看，WordPress基金會產(chǎn)品的漏洞數(shù)量最多，共發(fā)布267個;從漏洞類型來看，跨站腳本類的漏洞占比最大，達到17.13%。本月新增漏洞中，超危漏洞415個、高危漏洞862個、中危漏洞1179個、低危漏洞31個，相應(yīng)修復(fù)率分別為57.83%、80.63%、83.04%以及90.32%。合計1942個漏洞已有修復(fù)補丁發(fā)布，本月整體修復(fù)率78.09%。截至2023年8月31日，CNNVD采集漏洞總量已達218141個。

1.1 漏洞增長概況

2023年8月新增安全漏洞2487個，與上月(2280個)相比增加了9.08%。根據(jù)近6個月漏洞新增數(shù)量統(tǒng)計圖，平均每月漏洞數(shù)量達到2374個。

金瀚信安：信息安全漏洞月報（2023年8月）1

圖1 2023年3月至2023年8月漏洞新增數(shù)量統(tǒng)計圖

1.2 漏洞分布情況

1.2.1 漏洞廠商分布

2023年8月廠商漏洞數(shù)量分布情況如表1所示，WordPress基金會漏洞達到267個，占本月漏洞總量的10.74%。

信息安全漏洞月報（2023年8月）表1

1.2.2 漏洞產(chǎn)品分布

2023年8月主流操作系統(tǒng)的漏洞統(tǒng)計情況如表2所示。本月Windows系列操作系統(tǒng)漏洞數(shù)量共39個，Windows 11 和 Windows 10漏洞數(shù)量最多，各34個，占主流操作系統(tǒng)漏洞總量的10.43%，排名第一。

信息安全漏洞月報（2023年8月）表2

1.2.3 漏洞類型分布

2023年8月發(fā)布的漏洞類型分布如表3所示，其中跨站腳本類漏洞所占比例最大，約為17.13%。

信息安全漏洞月報（2023年8月）表3

1.2.4 漏洞危害等級分布

根據(jù)漏洞的影響范圍、利用方式、攻擊后果等情況，從高到低可將其分為四個危害等級，即超危、高危、中危和低危級別。2023年8月漏洞危害等級分布如圖2所示，其中超危漏洞415條，占本月漏洞總數(shù)的16.69%。

金瀚信安：信息安全漏洞月報（2023年8月）圖2

圖2 2023年8月漏洞危害等級分布

1.3漏洞修復(fù)情況

1.3.1 整體修復(fù)情況

2023年8月漏洞修復(fù)情況按危害等級進行統(tǒng)計見圖3。其中低危漏洞修復(fù)率最高，達到90.32%，超危漏洞修復(fù)率最低，比例為57.83%。總體來看，本月整體修復(fù)率由上月的79.87%下降至本月的78.09%。

金瀚信安：信息安全漏洞月報（2023年8月）圖3

圖3 2023年8月漏洞修復(fù)數(shù)量統(tǒng)計

1.3.2 廠商修復(fù)情況

2023年8月漏洞修復(fù)情況按漏洞數(shù)量前十廠商進行統(tǒng)計，其中WordPress基金會、Google、Intel等十個廠商共706條漏洞，占本月漏洞總數(shù)的28.39%，漏洞修復(fù)率為91.93%，詳細情況見表4。多數(shù)知名廠商對產(chǎn)品安全高度重視，產(chǎn)品漏洞修復(fù)比較及時，其中Google、Intel、Microsoft、Adobe、Siemens、IBM等公司本月漏洞修復(fù)率均為100%，共649條漏洞已全部修復(fù)。

信息安全漏洞月報（2023年8月）表4

1.4 重要漏洞實例

1.4.1 超危漏洞實例

2023年8月超危漏洞共415個，其中重要漏洞實例如表5所示。

表5 2023年8月超危漏洞實例（略）

1. Siemens RUGGEDCOM CROSSBOW SQL注入漏洞(CNNVD-202308-569)

Siemens RUGGEDCOM CROSSBOW是德國西門子(Siemens)公司的一個經(jīng)過驗證的安全訪問管理解決方案。

Siemens RUGGEDCOM CROSSBOW存在安全漏洞，該漏洞源于容易受到 SQL 注入攻擊。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://cert-portal.siemens.com/productcert/pdf/ssa-472630.pdf

2. IBM SDK, Java Technology Edition 代碼問題漏洞(CNNVD-202308-062)

IBM SDK, Java Technology Edition是美國國際商業(yè)機器(IBM)公司的一款用于Java應(yīng)用程序開發(fā)的軟件開發(fā)工具包。

IBM SDK, Java Technology Edition 存在安全漏洞，該漏洞源于 IBM SDK, Java Technology Edition 存在反序列化漏洞。攻擊者可利用該漏洞通過發(fā)送特制數(shù)據(jù)來執(zhí)行任意代碼。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://www.ibm.com/support/pages/java-sdk-downloads

3. ZOHO ManageEngine ADManager Plus 授權(quán)問題漏洞(CNNVD-202308-2212)

ZOHO ManageEngine ADManager Plus是美國卓豪(ZOHO)公司的一套為使用Windows域的企業(yè)用戶設(shè)計的微軟活動目錄管理軟件。該軟件能夠協(xié)助AD管理員和幫助臺技術(shù)人員進行日常管理工作，例如批量管理用戶帳戶和AD對象、給幫助臺技術(shù)員指派基于角色的訪問權(quán)限等。

ZOHO ManageEngine ADManager Plus 7186及之前版本存在安全漏洞，該漏洞源于容易通過 2FA 繞過身份驗證。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://www.manageengine.com/security/advisory/CVE/CVE-2023-35785.html

4. PHOENIX CONTACTs WP 6xxx series web panels操作系統(tǒng)命令注入漏洞(CNNVD-202308-526)

PHOENIX CONTACTs WP 6xxx series web panels是德國菲尼克斯電氣(PHOENIX CONTACTs)公司的一系列網(wǎng)頁面板。

PHOENIX CONTACTs WP 6xxx series web panels 4.0.10之前版本存在操作系統(tǒng)命令注入漏洞，該漏洞源于低權(quán)限的遠程攻擊者可能會使用與日期/時間操作相關(guān)的特定HTTP POST請求的屬性來獲得對設(shè)備的完全訪問權(quán)限。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，詳情請關(guān)注廠商主頁：

https://www.phoenixcontact.com/en-us/contact

5. SAMSUNG Mobile devices 緩沖區(qū)錯誤漏洞(CNNVD-202308-877)

SAMSUNG Mobile devices是韓國三星(SAMSUNG)公司的一系列的三星移動設(shè)備，包括手機、平板等。

SAMSUNG Mobile devices SMR Aug-2023 Release 1 版本存在安全漏洞，該漏洞源于 libsimba 庫的 parser_hvcC 方法中存在越界寫入漏洞，允許遠程攻擊者執(zhí)行代碼。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://security.samsungmobile.com/securityUpdate.smsb?year=2023&month=08

6. SAP PowerDesigner 訪問控制錯誤漏洞(CNNVD-202308-518)

SAP PowerDesigner是德國思愛普(SAP)公司的一款數(shù)據(jù)庫設(shè)計軟件。

SAP PowerDesigner 存在訪問控制錯誤漏洞，該漏洞源于具有不正確的訪問控制，可能允許未經(jīng)身份驗證的攻擊者通過代理對后端數(shù)據(jù)庫運行任意查詢。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://www.sap.com/documents/2022/02/fa865ea4-167e-0010-bca6-c68f7e60039b.html

7. Ascensio System ONLYOFFICE 資源管理錯誤漏洞(CNNVD-202308-1195)

Ascensio System ONLYOFFICE是拉脫維亞Ascensio System公司的一款辦公軟件。

Ascensio System ONLYOFFICE DocumentServer 4.0.3至7.3.2版本存在資源管理錯誤漏洞，該漏洞源于存在釋放后重用漏洞。攻擊者可利用該漏洞通過設(shè)計JavaScript文件執(zhí)行任意代碼。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://github.com/ONLYOFFICE/core/commit/2b6ad83b36afd9845085b536969d366d1d61150a

8. Apache Traffic Server 輸入驗證錯誤漏洞(CNNVD-202308-796)

Apache Traffic Server(ATS)是美國阿帕奇(Apache)基金會的一套可擴展的HTTP代理和緩存服務(wù)器。

Apache Software Foundation Apache Traffic Server 9.2.1版本存在輸入驗證錯誤漏洞，該漏洞源于存在不正確的輸入驗證。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://lists.apache.org/thread/jsl6dfdgs1mjjo1mbtyflyjr7xftswhc

1.4.2 高危漏洞實例

2023年8月高危漏洞共862個，其中重要漏洞實例如表6所示。

表6 2023年8月高危漏洞實例（略）

1. Siemens RUGGEDCOM CROSSBOW SQL注入漏洞(CNNVD-202308-579)

Siemens RUGGEDCOM CROSSBOW是德國西門子(Siemens)公司的一個經(jīng)過驗證的安全訪問管理解決方案。

Siemens RUGGEDCOM CROSSBOW存在安全漏洞，該漏洞源于容易受到 SQL 注入攻擊。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://cert-portal.siemens.com/productcert/pdf/ssa-472630.pdf

2. Splunk 代碼問題漏洞(CNNVD-202308-2378)

Splunk是美國Splunk公司的一套數(shù)據(jù)收集分析軟件。該軟件主要用于收集、索引和分析及其所產(chǎn)生的數(shù)據(jù)，包括所有IT系統(tǒng)和基礎(chǔ)結(jié)構(gòu)(物理、虛擬機和云)生成的數(shù)據(jù)。

Splunk Enterprise 存在安全漏洞，該漏洞源于附帶的動態(tài)鏈接庫 (DLL) 引用了 OPENSSLDIR 構(gòu)建定義的不安全路徑。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://advisory.splunk.com/advisories/SVD-2023-0805

3. EJBCA 授權(quán)問題漏洞(CNNVD-202308-150)

EJBCA是Keyfactor開源的一個開源公鑰基礎(chǔ)設(shè)施(PKI)和證書頒發(fā)機構(gòu)(CA)軟件。

Keyfactor EJBCA 8.0.0之前版本存在安全漏洞，該漏洞源于存在身份驗證問題，導(dǎo)致向未經(jīng)身份驗證或權(quán)限不足的用戶泄露CA證書。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://support.keyfactor.com/hc/en-us/articles/16671824556827-EJBCA-Security-Advisory-Partial-denial-of-service-attack-on-certificate-distribution-servlet-ejbca-ra-cert

4. Brocade Fabric OS 操作系統(tǒng)命令注入漏洞(CNNVD-202308-038)

Brocade Fabric OS(FOS)是美國博科(Brocade)公司的一套使用在交換機和路由器等設(shè)備中的嵌入式操作系統(tǒng)。

Brocade Fabric OS 9.1.0至9.1.1版本存在安全漏洞，該漏洞源于fosexec命令存在權(quán)限提升漏洞。攻擊者可利用該漏洞通過破壞rbash shell來將權(quán)限提升到root。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://support.broadcom.com/external/content/SecurityAdvisories/0/22407

5. Google Chrome 緩沖區(qū)錯誤漏洞(CNNVD-202308-115)

Google Chrome是美國谷歌(Google)公司的一款Web瀏覽器。

Google Chrome 115.0.5790.170之前版本存在安全漏洞，該漏洞源于ANGLE存在越界內(nèi)存訪問漏洞。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://chromereleases.googleblog.com/2023/08/stable-channel-update-for-desktop.html

6. ZOHO ManageEngine Network Configuration Manager 訪問控制錯誤漏洞(CNNVD-202308-280)

ZOHO ManageEngine Network Configuration Manager是美國卓豪(ZOHO)公司的一種多供應(yīng)商網(wǎng)絡(luò)變更、配置和合規(guī)性管理 (Nccm) 解決方案。用于自動化并全面控制設(shè)備配置管理的整個生命周期。

ZOHO ManageEngine Network Configuration Manager 12.6.165版本存在安全漏洞，該漏洞源于存在跨站W(wǎng)ebSocket劫持問題。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://www.manageengine.com/network-monitoring/help/read-me-complete.html#build_127131

7. Apple macOS Ventura 資源管理錯誤漏洞(CNNVD-202308-1298)

Apple macOS Ventura是美國Apple公司的一個桌面操作系統(tǒng)。

Apple macOS Ventura 13.3 版本存在安全漏洞，該漏洞源于處理 Web 內(nèi)容可能會導(dǎo)致任意代碼執(zhí)行。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://support.apple.com/en-us/HT213670

8. Apache Airflow 輸入驗證錯誤漏洞(CNNVD-202308-2164)

Apache Airflow是美國阿帕奇(Apache)基金會的一套用于創(chuàng)建、管理和監(jiān)控工作流程的開源平臺。該平臺具有可擴展和動態(tài)監(jiān)控等特點。

Apache Airflow Sqoop Provider 4.0.0之前版本存在輸入驗證錯誤漏洞，該漏洞源于允許攻擊者通過連接傳遞參數(shù)實施遠程代碼執(zhí)行攻擊，從而獲取服務(wù)器權(quán)限等。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://lists.apache.org/thread/lswlxf11do51ob7f6xyyg8qp3n7wdrgd

二、漏洞平臺推送情況

2023年8月漏洞平臺推送漏洞74503個。

信息安全漏洞月報（2023年8月）表7

三、接報漏洞情況

2023年8月接報漏洞895個，其中信息技術(shù)產(chǎn)品漏洞(通用型漏洞)659個，網(wǎng)絡(luò)信息系統(tǒng)漏洞(事件型漏洞)236個。

表8 2023年8月接報漏洞情況表（略）

四、重大漏洞通報

微軟安全漏洞的通報

近日，微軟官方發(fā)布了多個安全漏洞的公告，其中微軟產(chǎn)品本身漏洞74個，影響到微軟產(chǎn)品的其他廠商漏洞1個。包括Microsoft Exchange Server 安全漏洞(CNNVD-202308-737/CVE-2023-21709)、Microsoft Message Queuing 安全漏洞(CNNVD-202308-734/CVE-2023-35385)等多個漏洞。成功利用上述漏洞的攻擊者可以在目標系統(tǒng)上執(zhí)行任意代碼、獲取用戶數(shù)據(jù)，提升權(quán)限等。微軟多個產(chǎn)品和系統(tǒng)受漏洞影響。目前，微軟官方已經(jīng)發(fā)布了漏洞修復(fù)補丁，建議用戶及時確認是否受到漏洞影響，盡快采取修補措施。

. 漏洞介紹

2023年8月8日，微軟發(fā)布了2023年8月份安全更新，共75個漏洞的補丁程序，CNNVD對這些漏洞進行了收錄。本次更新主要涵蓋了Microsoft Windows 和 Windows 組件、Microsoft Dynamics 365、Microsoft Windows Mobile Device Management、Microsoft Windows HTML Platform、Microsoft Windows Cryptographic Services、Microsoft Azure等。CNNVD對其危害等級進行了評價，其中超危漏洞4個，高危漏洞48個，中危漏洞23個。微軟多個產(chǎn)品和系統(tǒng)版本受漏洞影響，具體影響范圍可訪問微軟官方網(wǎng)站查詢：https://portal.msrc.microsoft.com/zh-cn/security-guidance.

漏洞詳情

此次更新共包括73個新增漏洞的補丁程序，其中超危漏洞4個，高危漏洞47個，中危漏洞22個。

（詳情略）

此次更新共包括1個更新漏洞的補丁程序，其中高危漏洞1個。

信息安全漏洞月報（2023年8月）表10

此次更新共包括1個影響微軟產(chǎn)品的其他廠商漏洞的補丁程序，其中中危漏洞1個。

信息安全漏洞月報（2023年8月）表11

. 修復(fù)建議

目前，微軟官方已經(jīng)發(fā)布補丁修復(fù)了上述漏洞，建議用戶及時確認漏洞影響，盡快采取修補措施。微軟官方補丁下載地址：

https://msrc.microsoft.com/update-guide/en-us

來源：CNNVD安全動態(tài)

您所在的位置： 首頁 > 安全研究 > 安全通告 > 信息安全漏洞月報（2023年8月）

您所在的位置：首頁 > 安全研究 > 安全通告 > 信息安全漏洞月報（2023年8月）