登录  免费注册
当前位置:首页 > 周报 > 正文

2019年CNVD漏洞周报第43期(2019年10月21日-2019年10月27日)

2019-10-28 14:59:38

本周漏洞态势研判情况

 

本周信息安全漏洞威胁整体评价级别为

国家信息安全漏洞共享平台(以下简称CNVD)本周共收集、整理信息安全漏洞479个,其中高危漏洞125个、中危漏洞324个、低危漏洞30个。漏洞平均分值为5.63。本周收录的漏洞中,涉及0day漏洞106个(占22%),其中互联网上出现“D-Link DIR-816输入验证错误漏洞、Kirona Solutions Dynamic Resource Scheduling信息泄露漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数9602个,与上周(3527个)环比增长1.72倍。


图1 CNVD收录漏洞近10周平均分值分布图

 

本周漏洞事件处置情况

 

本周,CNVD向基础电信企业通报漏洞事件1起,向银行、保险、能源等重要行业单位通报漏洞事件22起,协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件719起,协调教育行业应急组织验证和处置高校科研院所系统漏洞事件107起,向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件22起。

此外,CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞,具体处置单位情况如下所示:

西安佰联网络技术有限公司、深圳市龙艺脉网络科技有限公司、帝兴软件开发有限公司、中国化学工程第十三建设有限公司、洪湖尔创网联信息技术有限公司、捷豹路虎(中国)投资有限公司、武汉创益云信息技术有限公司、苏州托普斯网络科技有限公司、北京对啊网教育科技有限公司、北京良精志诚科技有限责任公司、南京酷奇信息科技有限公司、青岛拓宇网络科技有限公司、武汉京伦科技有限公司、云研网络科技有限公司、嘉兴想天信息科技有限公司、中国检验认证集团山西有限公司、昆明云涛科技有限公司、中国检验认证集团广东有限公司、湖北源尖软件科技有限公司、广州拓波软件科技有限公司、岳阳易发网络科技有限公司、哈尔滨伟成科技有限公司、深圳市惠尔顿信息技术有限公司、上海泛微网络科技股份有限公司、洛阳市万谦网络科技有限公司、中控智慧科技股份有限公司、上海晓材科技有限公司、中国灵吉网络科技公司、北京永信至诚科技股份有限公司、深一科技集团有限公司、成都爱米秀科技有限责任公司、深圳市爱思软件技术有限公司、淄博闪灵网络科技有限公司、中粮集团有限公司、中铁一局集团有限公司、北京心海导航科技有限公司、湖南翱云网络科技有限公司、太原迅易科技有限公司、国药集团动物保健股份有限公司、苏州塔尖信息科技有限公司、法治中国普法教育工作办公室、中国铁道工程建设协会、安徽启明星工作室、中国招标采购培训网、国家油气田井口设备质量监督检验中心、中国电子政务网、一鸣网络、梦雨cms、易优CMS、Guojiz、SchoolCMS、ZhiCms、KiteCMS、Pluck CMS、UQCMS、Kkcms、UCMS、SemCms、Zzzcms、OurHouse和Gxlcms。

本周,CNVD发布了《Oracle发布2019年10月的安全公告》。详情参见CNVD网站公告内容。

https://www.cnvd.org.cn/webinfo/show/5255

 

本周漏洞报送情况统计

 

本周报送情况如表1所示。其中,北京天融信网络安全技术有限公司、哈尔滨安天科技集团股份有限公司、北京神州绿盟科技有限公司、厦门服云信息科技有限公司、深信服科技股份有限公司等单位报送公开收集的漏洞数量较多。远江盛邦(北京)网络安全科技股份有限公司、国瑞数码零点实验室、长春嘉诚信息技术股份有限公司、山东新潮信息技术有限公司、北京铭图天成信息技术有限公司、山东云天安全技术有限公司、南京众智维信息科技有限公司、广州锦行网络科技有限公司、杭州海康威视数字技术股份有限公司、北京华云安信息技术有限公司、北京君信安科技有限公司、内蒙古奥创科技有限公司、任子行网络技术股份有限公司、北京智游网安科技有限公司、北京容辉智信科技有限公司、北京圣博润高新技术股份有限公司、河南信安世纪科技有限公司、上海端御信息科技有限公司、重庆贝特计算机系统工程有限公司、腾讯公司、山石网科通信技术股份有限公司、深圳市魔方安全科技有限公司、新疆海狼科技有限公司及其他个人白帽子向CNVD提交了9602个以事件型漏洞为主的原创漏洞,其中包括奇安信网神(补天平台)、斗象科技(漏洞盒子)和上海交大向CNVD共享的白帽子报送的8704条原创漏洞信息。

表1 漏洞报送情况统计表

报送单位或个人

漏洞报送数量

原创漏洞数量

奇安信网神(补天平台)

6437

6437

斗象科技(漏洞盒子)

1850

1850

上海交大

417

417

北京天融信网络安全技术有限公司

307

10

哈尔滨安天科技集团股份有限公司

252

0

北京神州绿盟科技有限公司

192

0

厦门服云信息科技有限公司

124

0

深信服科技股份有限公司

119

1

华为技术有限公司

95

0

恒安嘉新(北京)科技股份公司

74

0

北京启明星辰信息安全技术有限公司

53

0

西安四叶草信息技术有限公司

21

21

北京数字观星科技有限公司

20

0

中新网络信息安全股份有限公司

19

19

阿里云计算有限公司

18

0

新华三技术有限公司

15

0

中国电信集团系统集成有限责任公司

14

14

南京联成科技发展股份有限公司

3

3

北京知道创宇信息技术股份有限公司

2

0

远江盛邦(北京)网络安全科技股份有限公司

136

136

国瑞数码零点实验室

97

97

长春嘉诚信息技术股份有限公司

91

91

山东新潮信息技术有限公司

49

49

北京铭图天成信息技术有限公司

34

34

山东云天安全技术有限公司

29

29

南京众智维信息科技有限公司

26

26

广州锦行网络科技有限公司

24

24

杭州海康威视数字技术股份有限公司

15

15

北京华云安信息技术有限公司

13

13

北京君信安科技有限公司

8

8

内蒙古奥创科技有限公司

7

7

任子行网络技术股份有限公司

5

5

北京智游网安科技有限公司

3

3

北京容辉智信科技有限公司

2

2

北京圣博润高新技术股份有限公司

2

2

河南信安世纪科技有限公司

2

2

上海端御信息科技有限公司

2

2

重庆贝特计算机系统工程有限公司

2

2

腾讯公司

1

1

山石网科通信技术股份有限公司

1

1

深圳市魔方安全科技有限公司

1

1

新疆海狼科技有限公司

1

1

个人

279

279

报送总计

10862

9602

 

本周漏洞按类型和厂商统计

 

本周,CNVD收录了479个漏洞。应用程序245个,操作系统99个,WEB应用47个,数据库37个,网络设备(交换机、路由器等网络端设备)34个,智能设备(物联网终端设备)漏洞12个,安全产品5个。

表2 漏洞按影响类型统计表

漏洞影响对象类型

漏洞数量

应用程序

245

操作系统

99

WEB应用

47

数据库

37

网络设备(交换机、路由器等网络端设备)

34

智能设备(物联网终端设备)漏洞

12

安全产品

5


图2 本周漏洞按影响类型分布

CNVD整理和发布的漏洞涉及Oracle、Google、Cisco等多家厂商的产品,部分漏洞数量按厂商统计如表3所示。

表3 漏洞产品涉及厂商分布统计表

序号

厂商(产品)

漏洞数量

所占比例

1

Oracle

87

18%

2

Google

59

12%

3

Cisco

46

10%

4

Apple

35

7%

5

Microsoft

14

3%

6

Adobe

13

3%

7

FasterXML

10

2%

8

MediaWiki

10

2%

9

Palo Alto Networks

10

2%

10

其他

195

41%

 

本周行业漏洞收录情况

 

本周,CNVD收录了27个电信行业漏洞,84个移动互联网行业漏洞,14个工控行业漏洞(如下图所示)。其中,“Apple iTunes和iCloudfor Windows内存破坏漏洞、IEC870IP driver缓冲区溢出漏洞、Google Android MNH提权漏洞(CNVD-2019-36641)、NETGEAR JNR1010访问控制错误漏洞、Cisco IOS XE FTP ALG拒绝服务漏洞”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序,请参照CNVD相关行业漏洞库链接。

电信行业漏洞链接:http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接:http://mi.cnvd.org.cn/

工控系统行业漏洞链接:http://ics.cnvd.org.cn/


图3 电信行业漏洞统计


图4 移动互联网行业漏洞统计


图5 工控系统行业漏洞统计

 

本周重要漏洞安全告警


本周,CNVD整理和发布以下重要安全漏洞信息。

1、Google产品安全漏洞

Google Chrome是一款Web浏览器。Android是美国Google公司和开放手持设备联盟(简称OHA)共同开发的一套以Linux为基础的开源操作系统。本周,该产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,提升权限,执行任意代码或造成拒绝服务。

CNVD收录的相关漏洞包括:Google Android信息泄露漏洞(CNVD-2019-36440)、Google Android MNH提权漏洞(CNVD-2019-36641)、Google Chrome audio资源管理错误漏洞、Google Chrome V8资源管理错误漏洞(CNVD-2019-36924)、Google Chrome IndexedDB资源管理错误漏洞、Google Chrome WebRTC资源管理错误漏洞、Google Android拒绝服务漏洞(CNVD-2019-37159、CNVD-2019-37160)。其中,除“Google Android信息泄露漏洞(CNVD-2019-36440)、Google Android拒绝服务漏洞(CNVD-2019-37159、CNVD-2019-37160)”外,其余漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36440

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36641

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36905

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36924

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36945

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36948

http://www.cnvd.org.cn/flaw/show/CNVD-2019-37159

http://www.cnvd.org.cn/flaw/show/CNVD-2019-37160

2、Cisco产品安全漏洞

CiscoWireless LAN Controller(WLC)Software是一套用于配置和管理WLC(无线局域网控制器)的软件。Cisco IOS XE是为其网络设备开发的一套基于Linux内核的模块化操作系统。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞执行任意命令,导致拒绝服务等。

CNVD收录的相关漏洞包括:Cisco Wireless LAN ControllerSoftware输入验证错误漏洞、Cisco IOS XE虚拟化管理器CLI命令注入漏洞、Cisco IOS XE UTD拒绝服务漏洞、Cisco IOS XE拒绝服务漏洞(CNVD-2019-36642)、Cisco IOS XE NAT SIP ALG拒绝服务漏洞、Cisco IOS XE FTP ALG拒绝服务漏洞、Cisco IOS XE CTS PAC配置拒绝服务漏洞、Cisco IOS XE任意代码执行漏洞。上述漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36455

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36644

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36645

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36642

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36643

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36646

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36652

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36655

3、Apple产品安全漏洞

ApplemacOS Catalina是一套专为Mac计算机所开发的专用操作系统。Apple iTunes for Windows是一款基于Windows平台的媒体播放器应用程序。Apple iCloud for Windows是一款基于Windows平台的云服务,它支持存储音乐、照片、App和联系人等。Apple Xcode是一套向开发人员提供的集成开发环境,它主要用于开发Mac OS X和iOS的应用程序。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞执行任意代码。

CNVD收录的相关漏洞包括:Apple macOS Catalina IntelGraphics Driver组件内存破坏漏洞、Apple macOS Catalina AMD组件内存破坏漏洞、Apple macOS Catalina sips组件内存破坏漏洞、Apple iTunes和iCloudfor Windows内存破坏漏洞、Apple macOS Catalina内存破坏漏洞、Apple Xcode otool组件任意代码执行漏洞(CNVD-2019-37180)、Apple Xcode ld64组件任意代码执行漏洞(CNVD-2019-37184、CNVD-2019-37185)。上述漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36605

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36607

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36608

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36610

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36614

http://www.cnvd.org.cn/flaw/show/CNVD-2019-37180

http://www.cnvd.org.cn/flaw/show/CNVD-2019-37184

http://www.cnvd.org.cn/flaw/show/CNVD-2019-37185

4、Microsoft产品安全漏洞

Microsoft Edge是一款Windows 10之后版本系统附带的Web浏览器。本周,上述产品被披露存在内存破坏漏洞,攻击者可利用漏洞在当前用户的上下文中执行任意代码,从而可获得与当前用户相同的用户权限。

CNVD收录的相关漏洞包括:Microsoft Edge Chakra脚本引擎内存破坏漏洞(CNVD-2019-36634、CNVD-2019-36635、CNVD-2019-36637、CNVD-2019-36636、CNVD-2019-36876、CNVD-2019-36877、CNVD-2019-36878、CNVD-2019-36879)。上述漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36634

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36635

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36637

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36636

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36876

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36877

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36878

http://www.cnvd.org.cn/flaw/show/CNVD-2019-36879

5、MATIO 'Mat_VarReadNextInfo4'函数缓冲区溢出漏洞

MATIO是一款用于读写二进制MATLAB MAT文件的开源C语言库。本周,MATIO被披露存在缓冲区溢出漏洞。攻击者可利用该漏洞导致缓冲区溢出或堆溢出等。目前,厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页,以获取最新版本。

参考链接:http://www.cnvd.org.cn/flaw/show/CNVD-2019-36862

更多高危漏洞如表4所示,详细信息可根据CNVD编号,在CNVD官网进行查询。参考链接:http://www.cnvd.org.cn/flaw/list.htm

表4 部分重要高危漏洞列表

CNVD编号

漏洞名称

综合评级

修复方式

CNVD-2019-36471

NETGEAR JNR1010访问控制错误漏洞

厂商已发布了漏洞修复程序,请及时关注更新:

https://kb.netgear.com/30177/JNR1010-Firmware-Version-1-0-0-32

CNVD-2019-36671

Palo Alto Networks Zingbox Inspector命令注入漏洞

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://securityadvisories.paloaltonetworks.com/Home/Detail/167

CNVD-2019-36973

idreamsoft iCMS spider_project.admincp.php文件SQL注入漏洞

目前厂商已发布升级补丁以修复漏洞,详情请关注厂商主页:

https://github.com/idreamsoft/iCMS

CNVD-2019-36979

CloudCTI HIP Integrator Recognition Configuration Tool权限提升漏洞

目前厂商已发布升级补丁以修复漏洞,详情请关注厂商主页:

https://www.cloudcti.nl/

CNVD-2019-36986

AutoPi.io AutoPi Wi-Fi/NB和AutoPi 4G/LTE暴力攻击漏洞

目前厂商已发布升级补丁以修复漏洞,详情请关注厂商主页:

https://www.autopi.io

CNVD-2019-36992

QEMU空指针解引用漏洞

厂商已发布了漏洞修复程序,请及时关注更新:

https://github.com/qemu/qemu/commit/659142ecf71a0da240ab0ff7cf929ee25c32b9bc

CNVD-2019-36994

NVIDIA Shield TV Experience缓冲区溢出漏洞

厂商已发布了漏洞修复程序,请及时关注更新:

https://nvidia.custhelp.com/app/answers/detail/a_id/4875

CNVD-2019-37153

FasterXML jackson-databind输入验证错误漏洞

厂商已发布了漏洞修复程序,请及时关注更新:

https://github.com/FasterXML/jackson-databind/compare/jackson-databind-2.9.9.1...jackson-databind-2.9.9.2

CNVD-2019-36855

PHP远程代码执行漏洞(CNVD-2019-36855)

用户可参考如下供应商提供的安全公告获得补丁信息:

https://bugs.php.net/bug.php?id=78599

CNVD-2019-36982

Sudo权限提升漏洞

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://www.sudo.ws/alerts/minus_1_uid.html

小结:本周,Google产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,提升权限,执行任意代码或造成拒绝服务。此外,Cisco、Apple、Microsoft等多款产品被披露存在多个漏洞,攻击者可利用漏洞执行任意命令,导致拒绝服务等。另外,MATIO被披露存在缓冲区溢出漏洞。攻击者可利用该漏洞导致缓冲区溢出或堆溢出等。建议相关用户随时关注上述厂商主页,及时获取修复补丁或解决方案。

(编辑:CNVD) | 已有0条评论
登录 后才能发表评论
已有0条评论