漏洞情況
根據(jù)國家信息安全漏洞庫(CNNVD)統(tǒng)計，本周(2024年6月10日至2024年6月16日)安全漏洞情況如下：
公開漏洞情況
本周CNNVD采集安全漏洞1012個。
接報漏洞情況
本周CNNVD接報漏洞5666個，其中信息技術產(chǎn)品漏洞(通用型漏洞)227個，網(wǎng)絡信息系統(tǒng)漏洞(事件型漏洞)9個，漏洞平臺推送漏洞5430個。
重大漏洞通報
PHP 操作系統(tǒng)命令注入漏洞(CNNVD-202406-852、CVE-2024-4577)：未經(jīng)身份認證的攻擊者可以使用特定的字符序列繞過防護，通過參數(shù)注入的方式在目標服務器上遠程執(zhí)行代碼。PHP多個版本受該漏洞影響。目前，PHP官方已發(fā)布新版本修復了該漏洞，建議用戶及時確認產(chǎn)品版本，盡快采取修補措施。
一、公開漏洞情況
根據(jù)國家信息安全漏洞庫(CNNVD)統(tǒng)計，本周新增安全漏洞1012個，漏洞新增數(shù)量有所上升。從廠商分布來看WordPress基金會新增漏洞最多，有219個;從漏洞類型來看，跨站腳本類的安全漏洞占比最大，達到14.82%。新增漏洞中，超危漏洞42個，高危漏洞190個，中危漏洞759個，低危漏洞21個。
(一) 安全漏洞增長數(shù)量情況
本周CNNVD采集安全漏洞1012個。
圖1 近五周漏洞新增數(shù)量統(tǒng)計圖
(二) 安全漏洞分布情況
從廠商分布來看，WordPress基金會新增漏洞最多，有219個。各廠商漏洞數(shù)量分布如表1所示。
表1 新增安全漏洞排名前五廠商統(tǒng)計表
本周國內(nèi)廠商漏洞44個，吉翁電子公司漏洞數(shù)量最多，有9個。國內(nèi)廠商漏洞整體修復率為37.78%。請受影響用戶關注廠商修復情況，及時下載補丁修復漏洞。
從漏洞類型來看, 跨站腳本類的安全漏洞占比最大，達到14.82%。漏洞類型統(tǒng)計如表2所示。
表2 漏洞類型統(tǒng)計表
(三) 安全漏洞危害等級與修復情況
本周共發(fā)布超危漏洞42個，高危漏洞190個，中危漏洞759個，低危漏洞21個。相應修復率分別為95.24%、94.21%、87.09%和85.71%。根據(jù)補丁信息統(tǒng)計，合計898個漏洞已有修復補丁發(fā)布，整體修復率為88.74%。詳細情況如表3所示。
表3 漏洞危害等級與修復情況
(四) 本周重要漏洞實例
本周重要漏洞實例如表4所示。
表4 本期重要漏洞實例
1.WordPress plugin BBlog2Social: Social Media Auto Post & Scheduler 安全漏洞(CNNVD-202406-1028)
WordPress和WordPress plugin都是WordPress基金會的產(chǎn)品。WordPress是一套使用PHP語言開發(fā)的博客平臺。該平臺支持在PHP和MySQL的服務器上架設個人博客網(wǎng)站。WordPress plugin是一個應用插件。
WordPress plugin BBlog2Social: Social Media Auto Post & Scheduler 7.4.1版本及之前版本存在安全漏洞，該漏洞源于對用戶提供的參數(shù)轉義不足。攻擊者利用該漏洞可以從數(shù)據(jù)庫中提取敏感信息。
目前廠商已發(fā)布升級補丁以修復漏洞，參考鏈接：
https://www.wordfence.com/threat-intel/vulnerabilities/id/3b472eb8-9808-4a50-b2b4-0b0b3256053f?source=cve
2.Adobe Substance 3D Stager 緩沖區(qū)錯誤漏洞(CNNVD-202406-1529)
Adobe Substance 3D Stager是美國奧多比(Adobe)公司的一個虛擬3D工作室。
Adobe Substance 3D Stager 2.1.4之前版本存在緩沖區(qū)錯誤漏洞，該漏洞源于允許越界寫入內(nèi)存。攻擊者利用該漏洞在當前用戶的環(huán)境中可以執(zhí)行任意代碼。
目前廠商已發(fā)布升級補丁以修復漏洞，參考鏈接：
https://helpx.adobe.com/security/products/substance3d_stager/apsb24-43.html
3.Microsoft Windows Routing and Remote Access Service 安全漏洞(CNNVD-202406-1145)
Microsoft Windows Routing and Remote Access Service是美國微軟(Microsoft)公司的一種網(wǎng)絡服務，用于實現(xiàn)網(wǎng)絡路由、虛擬專用網(wǎng)絡(VPN)和撥號連接等功能。
Microsoft Windows Routing and Remote Access Service (RRAS)存在安全漏洞。Windows多個版本均受此漏洞影響，攻擊者利用該漏洞可以遠程執(zhí)行代碼。
目前廠商已發(fā)布升級補丁以修復漏洞，參考鏈接：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-30095
二、漏洞平臺推送情況
本周CNNVD接收漏洞平臺推送漏洞5430個。
表5 本周漏洞平臺推送情況
三、接報漏洞情況
本周CNNVD接報漏洞236個，其中信息技術產(chǎn)品漏洞(通用型漏洞)227個，網(wǎng)絡信息系統(tǒng)漏洞(事件型漏洞)9個。
表6 本周漏洞報送情況（詳情略）
四、收錄漏洞通報情況
本周CNNVD收錄漏洞通報79份。
表7本周漏洞通報情況（詳情略）
五、重大漏洞通報
CNNVD關于PHP 操作系統(tǒng)命令注入漏洞的通報
近日，國家信息安全漏洞庫(CNNVD)收到關于PHP 操作系統(tǒng)命令注入漏洞(CNNVD-202406-852、CVE-2024-4577)情況的報送。未經(jīng)身份認證的攻擊者可以使用特定的字符序列繞過防護，通過參數(shù)注入的方式在目標服務器上遠程執(zhí)行代碼。PHP多個版本受該漏洞影響。目前，PHP官方已發(fā)布新版本修復了該漏洞，建議用戶及時確認產(chǎn)品版本，盡快采取修補措施。
1.漏洞介紹
PHP是一種在服務器端執(zhí)行的腳本語言，適用于開發(fā)動態(tài)網(wǎng)站和Web應用程序。未經(jīng)身份認證的攻擊者可以使用特定的字符序列繞過防護，通過參數(shù)注入攻擊在目標PHP服務器上遠程執(zhí)行代碼，獲取敏感信息或造成服務器崩潰。
2.危害影響
未經(jīng)身份認證的攻擊者可以使用特定的字符序列繞過防護，通過參數(shù)注入的方式在目標服務器上遠程執(zhí)行代碼。PHP 8.1至8.1.29之前版本，PHP 8.3至8.3.8之前版本，PHP 8.2至8.2.20之前版本均受該漏洞影響。
3.修復建議
目前，PHP官方已發(fā)布新版本修復了該漏洞，建議用戶及時確認產(chǎn)品版本，盡快采取修補措施。官方更新版本下載鏈接：
https://www.php.net/downloads.php
來源：CNNVD安全動態(tài)
