登录  免费注册
当前位置:首页 > 周报 > 正文

2018年CNVD漏洞周报第44期(2018年10月29日-2018年11月04日)

2018-11-05 14:15:15

本周漏洞态势研判情况

 

本周信息安全漏洞威胁整体评价级别为

国家信息安全漏洞共享平台(以下简称CNVD)本周共收集、整理信息安全漏洞203个,其中高危漏洞90个、中危漏洞106个、低危漏洞7个。漏洞平均分值为6.39。本周收录的漏洞中,涉及0day漏洞37个(占18%),其中互联网上出现“WecodexRestaurant CMS 'Login' SQL注入漏洞、多款Tenda产品httpd缓冲区溢出漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数1005个,与上周(914个)环比增长10%。


图1 CNVD收录漏洞近10周平均分值分布图


本周漏洞事件处置情况

 

本周,CNVD向基础电信企业通报漏洞事件1起,向保险、能源等重要行业单位通报漏洞事件11起,协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件130起,协调教育行业应急组织验证和处置高校科研院所系统漏洞事件17起,向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件9起。

此外,CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞,具体处置单位情况如下所示:

郑州路之易科技有限公司、灵宝简好网络科技有限公司、长春凌展软件有限责任公司、中国科技创新网、武汉噢易云计算股份有限公司、北京新启科技有限公司、大米CMS。

 

本周漏洞报送情况统计

 

本周报送情况如表1所示。其中,哈尔滨安天科技股份有限公司、新华三技术有限公司、华为技术有限公司、北京数字观星科技有限公司、中国电信集团系统集成有限责任公司等单位报送公开收集的漏洞数量较多。山东云天安全技术有限公司、北京圣博润高新技术股份有限公司、远江盛邦(北京)网络安全科技股份有限公司、任子行网络技术股份有限公司、中新网络信息安全股份有限公司、内蒙古奥创科技有限公司、山石网科通信技术有限公司、安徽锋刃信息科技有限公司、北京明朝万达科技股份有限公司(安元实验室)、北京市电子产品质量检测中心、江苏省信息安全测评中心及其他个人白帽子向CNVD提交了1005个以事件型漏洞为主的原创漏洞,其中包括360网神(补天平台)和漏洞盒子向CNVD共享的白帽子报送的694条原创漏洞信息。

表1 漏洞报送情况统计表

报送单位或个人

漏洞报送数量

原创漏洞数量

360网神(补天平台)

518

518

哈尔滨安天科技股份有限公司

186

0

新华三技术有限公司

181

0

华为技术有限公司

179

0

漏洞盒子

176

176

北京数字观星科技有限公司

135

0

中国电信集团系统集成有限责任公司

83

0

北京神州绿盟科技有限公司

71

0

深信服科技股份有限公司

28

0

北京天融信网络安全技术有限公司

25

9

恒安嘉新(北京)科技股份公司

20

0

北京知道创宇信息技术有限公司

4

2

杭州安恒信息技术有限公司

3

3

山东云天安全技术有限公司

84

84

北京圣博润高新技术股份有限公司

32

32

远江盛邦(北京)网络安全科技股份有限公司

23

23

任子行网络技术股份有限公司

8

8

中新网络信息安全股份有限公司

8

8

内蒙古奥创科技有限公司

5

5

山石网科通信技术有限公司

3

3

安徽锋刃信息科技有限公司

3

3

北京明朝万达科技股份有限公司(安元实验室)

1

1

北京市电子产品质量检测中心

1

1

江苏省信息安全测评中心

1

1

CNCERT山西分中心

32

32

CNCERT甘肃分中心

6

6

CNCERT上海分中心

6

6

CNCERT四川分中心

6

6

CNCERT新疆分中心

5

5

CNCERT贵州分中心

3

3

CNCERT湖南分中心

3

3

CNCERT北京分中心

2

2

CNCERT内蒙古分中心

2

2

CNCERT海南分中心

1

1

个人

62

62

报送总计

1906

1005

 

 本周漏洞按类型和厂商统计

 

本周,CNVD收录了200个漏洞。应用程序漏洞93个,WEB应用漏洞72个,网络设备漏洞16个,操作系统漏洞15个,安全产品漏洞7个。

表2 漏洞按影响类型统计表

漏洞影响对象类型

漏洞数量

应用程序漏洞

93

WEB应用漏洞

72

网络设备漏洞

16

操作系统漏洞

15

安全产品漏洞

7


图2 本周漏洞按影响类型分布

CNVD整理和发布的漏洞涉及IBM、Apple、Google等多家厂商的产品,部分漏洞数量按厂商统计如表3所示。

表3 漏洞产品涉及厂商分布统计表

序号

厂商(产品)

漏洞数量

所占比例

1

IBM

16

8%

2

Apple

14

7%

3

Google

14

7%

4

GNU

11

5%

5

Foxit

8

4%

6

上海亿速网络科技有限公司

8

4%

7

镇江市云优网络科技有限公司

6

3%

8

Envato Pty Ltd.

5

2%

9

Apache

4

2%

10

其他

117

58%

 

本周行业漏洞收录情况

 

本周,CNVD收录了16个电信行业漏洞,8个移动互联网行业漏洞,4个工控行业漏洞(如下图所示)。其中,“D-Link DIR-823G存在命令注入漏洞、IBM WebSphere Commerce开放重定向漏洞、Apple iOS FaceTime内存破坏漏洞、Foxit Reader和Foxit PhantomPDF for Windows内存错误引用漏洞(CNVD-2018-22404)、GAIN Electronic Co. LtdSAGA1-L Series命令伪造漏洞”等漏洞的综合评级为“高危”。相关厂商已经发布了上述漏洞的修补程序,请参照CNVD相关行业漏洞库链接。

电信行业漏洞链接:http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接:http://mi.cnvd.org.cn/

工控系统行业漏洞链接:http://ics.cnvd.org.cn/


图3 电信行业漏洞统计


图4 移动互联网行业漏洞统计


图5 工控系统行业漏洞统计

 

本周重要漏洞安全告警

本周,CNVD整理和发布以下重要安全漏洞信息。

1、IBM产品安全漏洞

IBM WebSphere Application Server(WAS)是一款应用服务器产品,它是Java EE和Web服务应用程序的平台,也是IBM WebSphere软件平台的基础。IBM WebSphere Commerce是一套电子商务解决方案。IBM Daeja ViewONE Virtual是一款文档查看器,支持查看TIFF、PDF和基于Office的文档。IBM Kenexa LCMS Premier onCloud是一套可调节的用于开发、维护和提供高效的员工培训的学习内容管理系统 (LCMS)。IBM Security Access Manager是一款应用于信息安全管理的产品。IBM FlashSystem 840 MTMs 9840-AE1等都是企业级存储解决方案。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,执行未授权的操作,执行任意代码,发起拒绝服务攻击。

CNVD收录的相关漏洞包括:IBM WebSphere Commerce信息泄露漏洞(CNVD-2018-22087、CNVD-2018-22088)、IBM WebSphere Commerce开放重定向漏洞、IBM Daeja ViewONE Virtual XXE漏洞、IBM WebSphere Application Server Liberty OpenID Connect代码执行漏洞、IBM Kenexa LCMS Premier on Cloud SQL注入漏洞、IBM Security Access Manager未授权操作漏洞、多款IBM产品GUI权限提升漏洞。其中,除“IBM WebSphereCommerce信息泄露漏洞(CNVD-2018-22087、CNVD-2018-22088)”外,其余漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22087

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22088

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22089

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22367

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22368

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22371

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22370

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22375

2、Apple产品安全漏洞

Apple macOS Sierra是为Mac计算机所开发的一套专用操作系统。Apple iOS是为移动设备所开发的一套操作系统。本周,上述产品被披露存在内存破坏漏洞,攻击者可利用漏洞以系统权限执行任意代码(内存破坏)。

CNVD收录的相关漏洞包括:Apple macOSmDNSOffloadUserClient内存破坏漏洞、Apple iOS FaceTime内存破坏漏洞、Apple macOSSierra Kernel内存破坏漏洞(CNVD-2018-22359、CNVD-2018-22360、CNVD-2018-22361、CNVD-2018-22363、CNVD-2018-22366)、Apple macOS内存损坏漏洞(CNVD-2018-22365)。上述漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22356

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22358

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22359

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22360

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22361

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22363

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22366

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22365

3、Google产品安全漏洞

Google Chrome是一款Web浏览器。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,造成堆破坏。

CNVD收录的相关漏洞包括:Google ChromeBlink内存错误引用漏洞(CNVD-2018-22389)、Google Chrome Blink信息泄露漏洞、Google Chrome安全绕过漏洞(CNVD-2018-22395、CNVD-2018-22396)、Google ChromeSkia堆缓冲区溢出漏洞(CNVD-2018-22399)、Google Chrome PDFium内存错误引用漏洞(CNVD-2018-22400、CNVD-2018-22401)、Google ChromeV8类型混淆漏洞(CNVD-2018-22402)。其中,除“Google ChromeBlink信息泄露漏洞、Google Chrome安全绕过漏洞(CNVD-2018-22395、CNVD-2018-22396)”外,其余漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22389

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22393

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22395

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22396

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22399

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22400

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22401

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22402

4、Foxit产品安全漏洞

CFoxit Reader for Windows是一款基于Windows平台的PDF文档阅读器。Foxit PhantomPDF for Windows是它的商业版。本周,该产品被披露存在内存错误引用漏洞,攻击者可利用漏洞在当前进程的上下文中执行代码。

CNVD收录的相关漏洞包括:Foxit Reader for Windows内存错误引用漏洞(CNVD-2018-22397)、Foxit Reader和Foxit PhantomPDF forWindows内存错误引用漏洞(CNVD-2018-22404、CNVD-2018-22405、CNVD-2018-22406、CNVD-2018-22407、CNVD-2018-22408、CNVD-2018-22410、CNVD-2018-22409)。上述漏洞的综合评级为“高危”。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22397

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22404

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22405

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22406

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22407

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22408

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22410

http://www.cnvd.org.cn/flaw/show/CNVD-2018-22409

5、GNU Binutils 'elf_link_input_bfd'函数拒绝服务漏洞

GNU Binutils(又名GNU Binary Utilities或binutils)是GNU计划开发的一组编程语言工具程序,它主要用于处理多种格式的目标文件,并提供有连接器、汇编器和其他用于目标文件和档案的工具。Binary File Descriptor(BFD)library(又名libbfd)是其中的一个以各种格式便携式操作对象文件的库。本周,GNU Binutils被披露存在拒绝服务漏洞。远程攻击者可借助特制的ELF文件利用该漏洞造成拒绝服务(空指针逆向引用)。CNVD提醒广大用户随时关注厂商主页,以获取最新版本。参考链接:http://www.cnvd.org.cn/flaw/show/CNVD-2018-22386

更多高危漏洞如表4所示,详细信息可根据CNVD编号,在CNVD官网进行查询。参考链接:http://www.cnvd.org.cn/flaw/list.htm

表4 部分重要高危漏洞列表

CNVD编号

漏洞名称

综合评级

修复方式

CNVD-2018-21951

D-Link DIR-823G存在命令注入漏洞

厂商已提供漏洞修补方案,请关注厂商主页及时更新:

http://www.dlink.com.cn/

CNVD-2018-21952

D-Link DIR-823G存在越权访问漏洞

厂商已提供漏洞修补方案,请关注厂商主页及时更新:

http://www.dlink.com.cn/

CNVD-2018-22150

PHP Dashboards SQL注入漏洞

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://codecanyon.net/item/php-dashboards-v50-brand-new-enterprise-edition/21540104

CNVD-2018-22151

PHP Dashboards 'email' SQL注入漏洞

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

http://codecanyon.net/item/php-dashboards-v40-collaborative-social-dashboards/19314871

CNVD-2018-22152

MySQL Blob Uploader 'home-filet-edit.php' SQL注入漏洞

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://codecanyon.net/item/mysql-file-and-image-uploader-and-sharing-blob-file-server/17748300

CNVD-2018-22154

Combine CMS存在多个漏洞

厂商已发布了漏洞修复程序,请及时关注更新:

http://www.combine-project.eu/

CNVD-2018-22244

Dell EMC Integrated Data Protection Appliance未记录账户漏洞

用户可联系供应商获得补丁信息:

https://download.emc.com/downloads/DL89669_Idpa_post_update_2.1.0.599285.tar.gz

CNVD-2018-22245

EE 4GEE HH70 Home Router硬编码Root SSH凭证漏洞

用户可联系供应商获得补丁信息:

https://shop.ee.co.uk/dongles/pay-monthly-mobile-broadband/4gee-router/details

CNVD-2018-22309

多款Apple产品WebKit内存破坏漏洞(CNVD-2018-22309)

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://support.apple.com/zh-cn/HT209196

CNVD-2018-22362

多款Apple产品Kernel内存初始化漏洞(CNVD-2018-22362)

厂商已发布漏洞修复程序,请及时关注更新:

https://support.apple.com/en-us/HT209193

小结:本周,IBM被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,执行未授权的操作,执行任意代码,发起拒绝服务攻击。此外,Apple、Google、Foxit等多款产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,造成堆破坏,以系统权限执行任意代码(内存破坏)。另外,GNU Binutils被披露存在拒绝服务漏洞。远程攻击者可借助特制的ELF文件利用该漏洞造成拒绝服务(空指针逆向引用)。建议相关用户随时关注上述厂商主页,及时获取修复补丁或解决方案。

(编辑:CNVD) | 已有0条评论
登录 后才能发表评论
已有0条评论