登录  免费注册
当前位置:首页 > 周报 > 正文

2018年CNVD漏洞周报第42期(2018年10月15日-2018年10月21日)

2018-10-22 14:38:12

本周漏洞态势研判情况

 

本周信息安全漏洞威胁整体评价级别为

国家信息安全漏洞共享平台(以下简称CNVD)本周共收集、整理信息安全漏洞244个,其中高危漏洞101个、中危漏洞130个、低危漏洞13个。漏洞平均分值为6.36。本周收录的漏洞中,涉及0day漏洞75个(占31%),其中互联网上出现“WAGO750-881 Ethernet Controller设备跨站脚本漏洞、WordPress插件tajer任意文件上传漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数739个,与上周(679个)环比增长 9%。


图1 CNVD收录漏洞近10周平均分值分布图


本周漏洞事件处置情况

 

本周,CNVD向基础电信企业通报漏洞事件5起,向银行、证券、保险、能源等重要行业单位通报漏洞事件24起,协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件204起,协调教育行业应急组织验证和处置高校科研院所系统漏洞事件34起,向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件20起。

此外,CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞,具体处置单位情况如下所示:

成都龙兵科技有限公司、金山软件股份有限公司、长沙德尚网络科技有限公司、天津国智恒北斗科技有限公司、北京费尔之盾科技有限公司、成都康菲顿特网络科技有限公司、沧州市凡诺广告传媒有限公司、杭州雄迈信息技术有限公司、上海亿速网络科技有限公司、淄博闪灵网络科技有限公司、中船重工鹏力(南京)智能装备系统有限公司、长沙翱云网络科技有限公司、中国新闻出版传媒集团有限公司、用友软件股份有限公司、中国中药有限公司、北京科维能动信息技术有限公司、中华税务信息网、中国财经网、IMA中国教育分会、中国电子学会、科龙伟特CMS、老班cms、先进制造技术研究所研究生管理办公室、12321网络不良与垃圾信息举报受理中心、PHPMyWind、扬子晚报、中国人民大学出版社、搜狗公司。

本周,CNVD发布了《Oracle发布2018年10月的安全公告》。详情参见CNVD网站公告内容。

http://www.cnvd.org.cn/webinfo/show/4717

 

本周漏洞报送情况统计

 

本周报送情况如表1所示。其中,新华三技术有限公司、蓝盾信息安全技术有限公司、哈尔滨安天科技股份有限公司、北京天融信网络安全技术有限公司、华为技术有限公司等单位报送公开收集的漏洞数量较多。山东云天安全技术有限公司、北京圣博润高新技术股份有限公司、任子行网络技术股份有限公司、远江盛邦(北京)网络安全科技股份有限公司、中新网络信息安全股份有限公司、河南信安世纪科技有限公司、山石网科通信技术有限公司、南京联成科技发展股份有限公司、北京明朝万达科技股份有限公司(安元实验室)、国家互联网应急中心研究所,北京同余科技有限公司及其他个人白帽子向CNVD提交了739个以事件型漏洞为主的原创漏洞,其中包括360网神(补天平台)和漏洞盒子向CNVD共享的白帽子报送的408条原创漏洞信息。

表1 漏洞报送情况统计表

报送单位或个人

漏洞报送数量

原创漏洞数量

新华三技术有限公司

422

0

蓝盾信息安全技术有限公司

298

0

哈尔滨安天科技股份有限公司

220

0

漏洞盒子

216

216

北京天融信网络安全技术有限公司

206

11

华为技术有限公司

204

0

北京神州绿盟科技有限公司

193

0

360网神(补天平台)

192

192

中国电信集团系统集成有限责任公司

144

0

北京数字观星科技有限公司

115

0

北京启明星辰信息安全技术有限公司

67

9

恒安嘉新(北京)科技股份公司

51

0

北京知道创宇信息技术有限公司

51

47

深圳市深信服电子科技有限公司

24

0

沈阳东软系统集成工程有限公司

6

6

北京无声信息技术有限公司

7

0

山东云天安全技术有限公司

93

93

北京圣博润高新技术股份有限公司

22

22

任子行网络技术股份有限公司

17

17

远江盛邦(北京)网络安全科技股份有限公司

10

10

中新网络信息安全股份有限公司

7

7

河南信安世纪科技有限公司

6

6

山石网科通信技术有限公司

3

3

南京联成科技发展股份有限公司

2

2

北京明朝万达科技股份有限公司(安元实验室)

1

1

国家互联网应急中心研究所,北京同余科技有限公司

1

1

CNCERT上海分中心

9

9

CNCERT贵州分中心

6

6

CNCERT湖南分中心

4

4

CNCERT吉林分中心

1

1

CNCERT广东分中心

1

1

个人

75

75

报送总计

2674

739

 

本周漏洞按类型和厂商统计

 

本周,CNVD收录了244个漏洞。应用程序漏洞138个,网络设备漏洞39个,WEB应用漏洞36个,操作系统漏洞27个,安全产品漏洞2个,数据库漏洞2个。

表2 漏洞按影响类型统计表

漏洞影响对象类型

漏洞数量

应用程序漏洞

138

网络设备漏洞

39

WEB应用漏洞

36

操作系统漏洞

27

安全产品漏洞

2

数据库漏洞

2


图2 本周漏洞按影响类型分布

CNVD整理和发布的漏洞涉及Microsoft、Cisco、Adobe等多家厂商的产品,部分漏洞数量按厂商统计如表3所示。

表3 漏洞产品涉及厂商分布统计表

序号

厂商(产品)

漏洞数量

所占比例

1

Microsoft

25

10%

2

Cisco

19

8%

3

Adobe

18

7%

4

Apple

15

6%

5

Oracle

10

4%

6

WordPress

10

4%

7

Joomla!

7

3%

8

F5

6

3%

9

IBM

6

3%

10

其他

128

52%

 

本周行业漏洞收录情况

 

本周,CNVD收录了30个电信行业漏洞,17个移动互联网行业漏洞,17个工控行业漏洞(如下图所示)。其中,“D-Link路由器httpd server目录遍历漏洞、Cisco SD-WAN证书验证安全绕过漏洞、多款Apple产品WebKit内存错误引用漏洞(CNVD-2018-20996)、NUUO CMS权限提升漏洞、LAquis SCADA越界读取漏洞”等漏洞的综合评级为“高危”。相关厂商已经发布了上述漏洞的修补程序,请参照CNVD相关行业漏洞库链接。

电信行业漏洞链接:http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接:http://mi.cnvd.org.cn/

工控系统行业漏洞链接:http://ics.cnvd.org.cn/


图3 电信行业漏洞统计


图4 移动互联网行业漏洞统计


图5 工控系统行业漏洞统计

 

本周重要漏洞安全告警

本周,CNVD整理和发布以下重要安全漏洞信息。

1、Microsoft产品安全漏洞

Microsoft C SDK for Azure IoT是一款基于C语言的,用于开发Azure IoT(物联网平台)应用程序的软件开发工具包。Edge是微软操作系统附带的默认浏览器。ChakraCore是使用在Edge中的一个开源的JavaScript引擎的核心部分,也可作为单独的JavaScript引擎使用。本周,上述产品被披露存在远程内存破坏漏洞,攻击者可利用漏洞执行任意代码。

CNVD收录的相关漏洞包括:Microsoft ChakraCoreScripting Engine远程内存破坏漏洞(CNVD-2018-21212、CNVD-2018-21236)、Microsoft Edge ChakraScripting Engine远程内存破坏漏洞(CNVD-2018-21213、CNVD-2018-21216、CNVD-2018-21218、CNVD-2018-21219)、Microsoft Azure IoT DeviceClient SDK远程内存破坏漏洞、Microsoft Edge ChakraScripting Engine远程内存破坏漏洞。上述漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21212

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21236

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21213

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21216

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21218

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21219

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21220

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21221

2、Cisco产品安全漏洞

Cisco Wireless LANController(WLC)是一款无线局域网控制器产品。Cisco Identity ServicesEngine(ISE)是一款基于身份的环境感知平台(ISE身份服务引擎)。Cisco WebexNetwork Recording Player和Webex Player都是用于播放视频会议记录的播放器。Cisco vEdge100 Series Routers等都是不同系列的路由器产品。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,绕过证书检测,提升权限,执行任意代码。

CNVD收录的相关漏洞包括:Cisco WirelessLAN Controller Software GUI权限提升漏洞、Cisco Wireless LAN Controller Software目录遍历漏洞、Cisco WirelessLAN Controller Software Control and Provisioning of Wireless Access PointsProtocol信息泄露漏洞、Cisco SD-WAN证书验证安全绕过漏洞、Cisco Identity ServicesEngine WEB管理接口任意命令执行漏洞(CNVD-2018-21257、CNVD-2018-21258)、Cisco WebexNetwork Recording Player和Webex Player任意代码执行漏洞、Cisco WebexNetwork Recording Player和Webex Player远程代码执行漏洞。上述漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21192

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21195

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21194

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21254

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21257

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21258

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21328

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21329

3、Adobe产品安全漏洞

Adobe Acrobat是一套PDF文件编辑和转换工具,Adobe Reader是一套PDF文档阅读软件。本周,上述产品被披露存在任意代码执行漏洞,攻击者可利用漏洞执行任意代码(越界写入)。

CNVD收录的相关漏洞包括:Adobe Acrobat和Reader任意代码执行漏洞(CNVD-2018-21091、CNVD-2018-21092、CNVD-2018-21093、CNVD-2018-21094、CNVD-2018-21095、CNVD-2018-21096、CNVD-2018-21097、CNVD-2018-21098)。上述漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21091

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21092

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21093

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21094

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21095

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21096

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21097

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21098

4、Apple产品安全漏洞

Apple iOS是为移动设备所开发的一套操作系统;Safari是一款Web浏览器,是Mac OS X和iOS操作系统附带的默认浏览器。iTunes for Windows是一款基于Windows平台的媒体播放器应用程序。macOS Mojava是一套专为Mac计算机所开发的专用操作系统;tvOS是一套智能电视操作系统;watchOS是一套智能手表操作系统。本周,该产品被披露存在内存破坏和内存错误引用漏洞,攻击者可利用漏洞执行任意代码(内存破坏)。

CNVD收录的相关漏洞包括:多款Apple产品Kernel内存破坏漏洞(CNVD-2018-20992)、多款Apple产品WebKit内存错误引用漏洞(CNVD-2018-20995、CNVD-2018-20996、CNVD-2018-20997、CNVD-2018-20998、CNVD-2018-20999、CNVD-2018-21000、CNVD-2018-21001)。上述漏洞的综合评级为“高危”。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2018-20992

http://www.cnvd.org.cn/flaw/show/CNVD-2018-20995

http://www.cnvd.org.cn/flaw/show/CNVD-2018-20996

http://www.cnvd.org.cn/flaw/show/CNVD-2018-20997

http://www.cnvd.org.cn/flaw/show/CNVD-2018-20998

http://www.cnvd.org.cn/flaw/show/CNVD-2018-20999

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21000

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21001

5、Wecon PI Studio HMI和PI Studio缓冲区溢出漏洞

Wecon PI Studio HMI和PIStudio都是人机界面编程软件。。本周,Wecon PI Studio HMI 4.1.9和PI Studio被披露存在缓冲区溢出漏洞。远程攻击者可利用该漏洞执行代码。CNVD提醒广大用户随时关注厂商主页,以获取最新版本。参考链接:http://www.cnvd.org.cn/flaw/show/CNVD-2018-21172

更多高危漏洞如表4所示,详细信息可根据CNVD编号,在CNVD官网进行查询。参考链接:http://www.cnvd.org.cn/flaw/list.htm

表4 部分重要高危漏洞列表

CNVD编号

漏洞名称

综合评级

修复方式

CNVD-2018-20872

TPEditor栈缓冲区溢出漏洞

厂商已发布漏洞修复程序,请及时关注更新:

http://www.deltaww.com/Products/PluginWebUserControl/downloadCenterCounter.aspx?DID=4536&DocPath=1&hl=en-US

CNVD-2018-20874

Microsoft Windows Shell远程执行代码漏洞(CNVD-2018-20874)

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2018-8495

CNVD-2018-20876

Fastweb FASTGate modem未授权远程命令执行漏洞

用户可参考如下供应商提供的安全公告获得补丁信息:

https://www.fastweb.it/myfastpage/assistenza/guide/FASTGate/

CNVD-2018-21066

VMware ESXi, Workstation and Fusion越界读取漏洞

用户可联系供应商获得补丁信息:

https://www.vmware.com/security/advisories/VMSA-2018-0026.html

CNVD-2018-21073

Dell EMC ESRS Virtual Edition不正确的文件权限漏洞

用户可联系供应商获得补丁信息:

https://www.dell.com/zh-cn

CNVD-2018-21087

Oracle WebLogic Server远程代码执行漏洞(CNVD-2015-07707)

厂商已发布漏洞修复程序,请及时关注更新:

https://www.oracle.com/technetwork/security-advisory/cpuoct2018-4428296.html

CNVD-2018-21103

Bluetooth安全绕过漏洞

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://www.bluetooth.com/news/unknown/2018/07/bluetooth-sig-security-update

CNVD-2018-21199

Libssh服务器端身份验证绕过漏洞

用户可联系供应商获得补丁信息:

https://www.libssh.org/2018/10/16/libssh-0-8-4-and-0-7-6-security-and-bugfix-release/

CNVD-2018-21247

Cloud Foundry CF Networking SQL注入漏洞

厂商已发布了漏洞修复程序,请及时关注更新:

https://www.cloudfoundry.org/blog/cve-2018-15755/

CNVD-2018-20866

strongSwan GMP插件缓冲区溢出漏洞

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://www.strongswan.org/blog/2018/10/01/strongswan-vulnerability-(cve-2018-17540).html

小结:本周,Microsoft被披露存在远程内存破坏漏洞,攻击者可利用漏洞执行任意代码。此外,Cisco、Adobe、Apple等多款产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,绕过证书检测,提升权限,执行任意代码(内存破坏)。另外,Wecon PI Studio HMI和PIStudio被披露存在缓冲区溢出漏洞。远程攻击者可利用该漏洞执行代码。建议相关用户随时关注上述厂商主页,及时获取修复补丁或解决方案。

(编辑:CNVD) | 已有0条评论
登录 后才能发表评论
已有0条评论