登录  免费注册
当前位置:首页 > 周报 > 正文

2010年CNVD漏洞周报第26期(2010年07月05日-2010年07月11日)

2011-11-24 16:11:49


本周漏洞基本情况

本周信息安全漏洞威胁整体评价级别为中。
国家信息安全漏洞共享平台(以下简称CNVD)本周共收集和整理信息安全漏洞59个,其中高危漏洞15个、中危漏洞14个、低危漏洞30个。上述漏洞中,可利用来实施远程攻击的漏洞有57个。经检测发现,网上已经出现针对“Wiki Web Help 'getpage.php' SQL注入漏洞”、“Linux Kernel 'btrfs'文件权限安全绕过漏洞”的零日攻击代码,请广大用户注意做好防护措施。目前,相关厂商已经为33个漏洞提供了修补方案,建议用户及时下载补丁更新程序,避免遭受网络攻击。



本周重要漏洞信息

本周,CNVD整理和发布以下重要安全漏洞信息。
1、Adobe Reader/Acrobat存在多个安全漏洞
Adobe Reader/Acrobat是Adobe公司开发的PDF文档阅读/编辑软件。Adobe Reader/Acrobat存在多个安全漏洞,攻击者可利用漏洞实施特定代码执行、跨站脚本攻击、拒绝服务攻击等恶意活动。具体漏洞包括:Adobe Acrobat/Reader内容解析远程缓冲区溢出漏洞、Adobe Acrobat/Reader CLOD远程内存破坏漏洞、Adobe Reader cooltype.dll内存破坏漏洞、Adobe Acrobat/Reader 'AcroForm.api' GIF图像远程代码执行漏洞、Adobe Acrobat/Reader 'pushstring'和'debugfile'远程代码执行漏洞、Adobe Acrobat/Reader 'newclass' Flash内容远程代码执行漏洞、Adobe Acrobat/Reader 'newfunction'远程代码执行漏洞、Adobe Acrobat/Reader 'AcroForm.api'远程代码执行漏洞。目前Adobe已经发布更新程序修复了上述漏洞,建议相关用户尽快下载更新。
参考链接:http://www.cnvd.org.cn/vulnerability/CNVD-2010-01290
http://www.cnvd.org.cn/vulnerability/CNVD-2010-01289
http://www.cnvd.org.cn/vulnerability/CNVD-2010-01288
http://www.cnvd.org.cn/vulnerability/CNVD-2010-01287
http://www.cnvd.org.cn/vulnerability/CNVD-2010-01286

http://www.cnvd.org.cn/vulnerability/CNVD-2010-01285
http://www.cnvd.org.cn/vulnerability/CNVD-2010-01284
http://www.cnvd.org.cn/vulnerability/CNVD-2010-01283
2、KVIrc存在两个安全漏洞
KVIrc是一款功能强大的IRC客户端软件。KVIrc存在两个安全漏洞,远程攻击者可利用漏洞实施拒绝服务攻击。具体漏洞信息为:KVIrc DCC请求存在多个格式串漏洞,远程攻击者可通过提交经特殊构建的格式串触发内存破坏,导致应用程序崩溃;KVIrc DCC请求存在目录遍历漏洞,KVIrc不能正确处理用户提交的经特殊构造的DCC请求,远程攻击者可通过目录遍历攻击覆盖本地文件,导致应用程序崩溃。目前厂商已经发布更新程序修复了上述漏洞,建议相关用户尽快下载更新。
参考链接:http://www.cnvd.org.cn/vulnerability/CNVD-2010-01298
http://www.cnvd.org.cn/vulnerability/CNVD-2010-01297
3、LibTIFF应用库存在多个安全漏洞
LibTIFF是负责对TIFF图象格式进行编码/解码的应用库。LibTIFF应用库存在多个安全漏洞,攻击者可利用漏洞对应用程序执行拒绝服务攻击。具体漏洞包括:LibTIFF库忽略文件标签导致拒绝服务漏洞;LibTIFF库TIFFReadDirectory函数拒绝服务漏洞;LibTIFF库TIFFRGBAImageGet函数拒绝服务漏洞;LibTIFF库OJPEGReadBufferFill()函数空指针引用拒绝服务漏洞;LibTIFF库TIFFExtractData宏拒绝服务漏洞。目前厂商已经发布升级补丁修复上述漏洞,建议相关用户尽快下载使用。
参考链接:http://www.cnvd.org.cn/vulnerability/CNVD-2010-01323
http://www.cnvd.org.cn/vulnerability/CNVD-2010-01322
http://www.cnvd.org.cn/vulnerability/CNVD-2010-01321
http://www.cnvd.org.cn/vulnerability/CNVD-2010-01320
http://www.cnvd.org.cn/vulnerability/CNVD-2010-01319
4、Google Chrome 5.0.375.99之前版本存在多个安全漏洞
Google Chrome是Google公司开发的开源WEB浏览器。Chrome 5.0.375.99之前版本存在多个安全漏洞,攻击者诱使用户访问恶意网页后,可实施拒绝服务攻击或获得用户系统控制权。 具体漏洞信息为:在使用WebGL时Chrome中可能出现越界读访问错误;Chrome没有正确地隔离沙盒中的IFRAME元素;无效的SVG文档可能触发内存破坏;Chrome中Unicode双向算法实现中的错误可能导致内存破坏;Chrome CSS实现没有正确地渲染样式,可能触发内存破坏;Chrome没有正确的实现modal对话框,可能导致拒绝服务攻击。目前Google已经发布升级补丁修复了上述漏洞,建议相关用户尽快下载使用。
参考链接:http://www.cnvd.org.cn/vulnerability/CNVD-2010-01327
5、Sandbox存在多个安全漏洞
Sandbox是一套采用PHP编写的个人站点工具包。Sandbox存在多个输入验证漏洞,远程攻击者可利用漏洞进行SQL注入攻击、获取敏感信息、上传任意文件等。目前iguanadons.net Sandbox 2.0.4版本已经修复了上述漏洞,建议相关用户尽快下载使用。

参考链接:http://www.cnvd.org.cn/vulnerability/CNVD-2010-01335
小结:本周CNVD收集的漏洞信息中,Adobe Reader /Acrobat、Google Chrome5.0.375.99之前版本存在的多个严重漏洞,可被攻击者利用来执行特定代码或拒绝服务攻击;Sandbox、LibTIFF应用库、KVIrc客户端软件出现的严重漏洞,对网民的上网安全构成一定影响。请广大用户尽快采取防范或修补更新措施,避免引发漏洞相关的安全事件。



本周重要漏洞修补信息

本周, CNVD整理和发布以下重要安全修补信息。
1、Panda多个产品'RKPavProc.sys' IOCTL请求特权提升漏洞的补丁
熊猫卫士是Panda软件公司在中国推出的系列反病毒产品。Panda发布安全公告,修复了熊猫卫士杀毒软件RKPavProc.sys驱动IOCTL请求内核权限提升漏洞,即多个熊猫杀毒软件产品所使用的RKPavProc.sys内核驱动没有正确地处理用户所发送的IOCTL请求,本地用户可以通过执行恶意程序触发空指针引用或栈溢出,导致内核崩溃或执行任意内核代码。
补丁下载链接:http://www.cnvd.org.cn/patch/593

(编辑:CNVD) | 已有0条评论
登录 后才能发表评论
已有0条评论