登录  免费注册
当前位置:首页 > 周报 > 正文

2020年CNVD漏洞周报第4、5期(2020年01月20日-2020年02月02日)

2020-02-03 15:06:32

本周漏洞态势研判情况

 

本周信息安全漏洞威胁整体评价级别为

国家信息安全漏洞共享平台(以下简称CNVD)本周共收集、整理信息安全漏洞221个,其中高危漏洞51个、中危漏洞145个、低危漏洞25个。漏洞平均分值为5.34。本周收录的漏洞中,涉及0day漏洞56个(占25%),其中互联网上出现“WordPress Import Legacy Media跨站脚本漏洞、WordPress Movies跨站脚本漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数933个,与上周(2126个)环比减少56%。


图1 CNVD收录漏洞近10周平均分值分布图

 

本周漏洞事件处置情况

 

本周,CNVD向银行、保险、能源等重要行业单位通报漏洞事件18起,向基础电信企业通报漏洞事件7起,协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件200起,协调教育行业应急组织验证和处置高校科研院所系统漏洞事件12起,向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件29起。

此外,CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞,具体处置单位情况如下所示:

汕头市三互科技有限公司、镇江市云优网络科技有限公司、北京智量科技有限公司、深圳市昂捷信息技术股份有限公司、大连船舶重工集团海洋工程有限公司、长沙德尚网络科技有限公司、北京天地华大网络技术有限公司、中国船舶重工集团国际工程有限公司、廊坊市极致网络科技有限公司、甲骨文股份有限公司、中国普法教育网和梦想CMS。

 

本周漏洞报送情况统计

 

本周报送情况如表1所示。其中,阿里云计算有限公司、京神州绿盟科技有限公司、为技术有限公司等单位报送公开收集的漏洞数量较多。内蒙古奥创科技有限公司、京铭图天成信息技术有限公司、南灵创电子科技有限公司、瑞数码零点实验室、江盛邦(北京)网络安全科技股份有限公司、州迪普科技股份有限公司、蒙古洞明科技有限公司、京圣博润高新技术股份有限公司、石网科通信技术股份有限公司、东云天安全技术有限公司、南信安世纪科技有限公司、门靠谱云股份有限公司、海端御信息科技有限公司、州学院网络与信息安全研究所、春嘉诚信息技术股份有限公司及其他个人白帽子向CNVD提交了933个以事件型漏洞为主的原创漏洞,其中包括奇安信网神(补天平台)、斗象科技(漏洞盒子)和上海交大向CNVD共享的白帽子报送的571条原创漏洞信息。

表1 漏洞报送情况统计表

报送单位或个人

漏洞报送数量

原创漏洞数量

阿里云计算有限公司

787

0

奇安信网神(补天平台)

458

458

上海交大

112

112

北京神州绿盟科技有限公司

81

5

华为技术有限公司

47

0

北京数字观星科技有限公司

20

0

新华三技术有限公司

20

0

斗象科技(漏洞盒子)

1

1

内蒙古奥创科技有限公司

32

32

北京铭图天成信息技术有限公司

30

30

河南灵创电子科技有限公司

19

19

国瑞数码零点实验室

16

16

远江盛邦(北京)网络安全科技股份有限公司

15

15

杭州迪普科技股份有限公司

14

0

内蒙古洞明科技有限公司

8

8

北京圣博润高新技术股份有限公司

6

6

山石网科通信技术股份有限公司

4

4

山东云天安全技术有限公司

3

3

河南信安世纪科技有限公司

2

2

厦门靠谱云股份有限公司

1

1

上海端御信息科技有限公司

1

1

梧州学院网络与信息安全研究所

1

1

长春嘉诚信息技术股份有限公司

1

1

CNCERT天津分中心

15

15

CNCERT上海分中心

14

14

CNCERT海南分中心

5

5

CNCERT吉林分中心

1

1

个人

183

183

报送总计

1897

933

 

本周漏洞按类型和厂商统计

 

本周,CNVD收录了221个漏洞。应用程序133个,WEB应用28个,操作系统25个,智能设备(物联网终端设备)19个,网络设备(交换机、路由器等网络端设备)10个,安全产品4个,数据库2个。

表2 漏洞按影响类型统计表

漏洞影响对象类型

漏洞数量

应用程序

133

WEB应用

28

操作系统

25

智能设备(物联网终端设备)

19

网络设备(交换机、路由器等网络端设备)

10

安全产品

4

数据库

2


图2 本周漏洞按影响类型分布

CNVD整理和发布的漏洞涉及WordPress、Huawei、Oracle等多家厂商的产品,部分漏洞数量按厂商统计如表3所示。

表3 漏洞产品涉及厂商分布统计表

序号

厂商(产品)

漏洞数量

所占比例

1

WordPress

16

7%

2

Huawei

13

6%

3

Oracle

13

6%

4

Mozilla

12

5%

5

Red Hat

12

5%

6

Apple

16

7%

7

Google

10

5%

8

GitLab

8

4%

9

Adobe

7

3%

10

其他

114

52%

 

本周行业漏洞收录情况

 

本周,CNVD收录了7个电信行业漏洞,11个移动互联网行业漏洞,7个工控行业漏洞(如下图所示)。其中,“Moxa EDS-G508E, EDS-G512E, and EDS-G516E SeriesEthernet Switches资源管理错误漏洞、Apple iOS和Apple macOS Mojave IOKit SCSI组件内存破坏漏洞、Advantech DiagAnywhere Server缓冲区溢出漏洞、多款Apple产品MobileLockdown组件权限提升漏洞”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序,请参照CNVD相关行业漏洞库链接。

电信行业漏洞链接:http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接:http://mi.cnvd.org.cn/

工控系统行业漏洞链接:http://ics.cnvd.org.cn/


图3 电信行业漏洞统计


图4 移动互联网行业漏洞统计


图5 工控系统行业漏洞统计

 

本周重要漏洞安全告警


本周,CNVD整理和发布以下重要安全漏洞信息。

1、Huawei产品安全漏洞

Huawei Honor V10是一款智能手机产品。Mate 10 Pro是一款智能手机。Huawei Mate 20 Pro是一款智能手机。Huawei AR1200是一款企业路由器。Huawei S12700是一款企业级交换机产品。Huawei P30是一款智能手机。Huawei P30 Pro是一款智能手机。Huawei M6是一款平板电脑。Huawei Gauss100 OLTP是一款华为的数据库系统。Huawei Honor V30是一款智能手机。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞进行未授权的操作,获取敏感信息,导致拒绝服务等。

CNVD收录的相关漏洞包括:多款Huawei产品拒绝服务漏洞(CNVD-2020-02948)、Huawei Mate 20 Pro授权问题漏洞、多款Huawei产品信息泄露漏洞(CNVD-2020-02963)、多款Huawei产品加密问题漏洞、多款Huawei产品数据伪造问题漏洞、多款Huawei产品路径遍历漏洞、Huawei Gauss100 OLTP数据库缓冲区溢出漏洞、Huawei Honor V30授权问题漏洞。其中,“多款Huawei产品拒绝服务漏洞(CNVD-2020-02948)”的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2020-02948

http://www.cnvd.org.cn/flaw/show/CNVD-2020-02962

http://www.cnvd.org.cn/flaw/show/CNVD-2020-02963

http://www.cnvd.org.cn/flaw/show/CNVD-2020-02964

http://www.cnvd.org.cn/flaw/show/CNVD-2020-02965

http://www.cnvd.org.cn/flaw/show/CNVD-2020-02966

http://www.cnvd.org.cn/flaw/show/CNVD-2020-02967

http://www.cnvd.org.cn/flaw/show/CNVD-2020-02968

2、Apple产品安全漏洞

AppleiOS是一套为移动设备所开发的操作系统。Apple tvOS是一套智能电视操作系统。Apple macOS Mojave是一套专为Mac计算机所开发的专用操作系统。Apple macOS Mojave是一套专为Mac计算机所开发的专用操作系统。Apple Shortcuts for iOS是一套基于iOS平台的快捷应用。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞绕过沙盒限制,提升权限,执行任意代码等。

CNVD收录的相关漏洞包括:多款Apple产品TrueTypeScaler组件越界读取漏洞、Apple iOS IOKit内存破坏漏洞、Apple iOS和Apple macOS Mojave IOKitSCSI组件内存破坏漏洞、Apple macOS Mojave AMD组件内存破坏漏洞、多款Apple产品MobileLockdown组件权限提升漏洞、Apple Shortcuts for iOS沙盒限制绕过漏洞、多款Apple产品Audio组件缓冲区溢出漏洞、Apple macOS Mojave IntelGraphics Driver组件任意代码执行漏洞(CNVD-2020-03212)。其中,除“多款Apple产品TrueTypeScaler组件越界读取漏洞、多款Apple产品Audio组件缓冲区溢出漏洞”外,其余漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2020-03001

http://www.cnvd.org.cn/flaw/show/CNVD-2020-03004

http://www.cnvd.org.cn/flaw/show/CNVD-2020-03003

http://www.cnvd.org.cn/flaw/show/CNVD-2020-03008

http://www.cnvd.org.cn/flaw/show/CNVD-2020-03009

http://www.cnvd.org.cn/flaw/show/CNVD-2020-03006

http://www.cnvd.org.cn/flaw/show/CNVD-2020-03034

http://www.cnvd.org.cn/flaw/show/CNVD-2020-03212

3、GitLab产品安全漏洞

GitLab是一款使用Ruby on Rails开发的、自托管的、Git(版本控制系统)项目仓库应用程序。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞获取未授权的访问权限,造成拒绝服务等。

CNVD收录的相关漏洞包括:GitLab代码问题漏洞(CNVD-2020-03032)、GitLab资源管理错误漏洞(CNVD-2020-03053)、GitLab访问控制错误漏洞(CNVD-2020-03058)、GitLab CE/EE信息泄露漏洞(CNVD-2020-03114)、GitLab CE/EE跨站脚本漏洞(CNVD-2020-03115)、GitLab访问控制错误漏洞(CNVD-2020-03229)、GitLab未授权访问漏洞(CNVD-2020-03230)、GitLab拒绝服务漏洞(CNVD-2020-03231)。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2020-03032

http://www.cnvd.org.cn/flaw/show/CNVD-2020-03053

http://www.cnvd.org.cn/flaw/show/CNVD-2020-03058

http://www.cnvd.org.cn/flaw/show/CNVD-2020-03114

http://www.cnvd.org.cn/flaw/show/CNVD-2020-03115

http://www.cnvd.org.cn/flaw/show/CNVD-2020-03229

http://www.cnvd.org.cn/flaw/show/CNVD-2020-03230

http://www.cnvd.org.cn/flaw/show/CNVD-2020-03231

4、Mozilla产品安全漏洞

Mozilla Firefox是一款开源Web浏览器。Mozilla Firefox ESR是Firefox(Web浏览器)的一个延长支持版本。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞绕过内容安全策略限制,提升权限,执行任意代码,造成拒绝服务等。

CNVD收录的相关漏洞包括:Mozilla Firefox内存破坏漏洞(CNVD-2020-02973)、Mozilla Firefox安全绕过漏洞(CNVD-2020-02975)、Mozilla Firefox代码执行漏洞(CNVD-2020-02976)、多款Mozilla产品权限提升漏洞、Mozilla Firefox拒绝服务漏洞(CNVD-2020-03210)、Mozilla Firefox输入验证错误漏洞(CNVD-2020-03243)、多款Mozilla产品缓冲区溢出漏洞(CNVD-2020-03240)、多款Mozilla产品内存破坏漏洞(CNVD-2020-03241)。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2020-02973

http://www.cnvd.org.cn/flaw/show/CNVD-2020-02975

http://www.cnvd.org.cn/flaw/show/CNVD-2020-02976

http://www.cnvd.org.cn/flaw/show/CNVD-2020-03209

http://www.cnvd.org.cn/flaw/show/CNVD-2020-03210

http://www.cnvd.org.cn/flaw/show/CNVD-2020-03243

http://www.cnvd.org.cn/flaw/show/CNVD-2020-03240

http://www.cnvd.org.cn/flaw/show/CNVD-2020-03241

5、Sony Catalyst Production Suite和Catalyst Browse权限提升漏洞

Sony catalyst production suite是由索尼推出的一款视频编辑处理套件,该套件其实是包含了atalyst Edit和CatalystPrepare两个组件。Sony Catalyst Browse是一个媒体管理软件。本周,Sony Catalyst Production Suite 2019.1 (1.1.0.21)及之前版本和Catalyst Browse 2019.1 (1.1.0.21)及之前版本被披露存在限提升漏洞。攻击者可利用该漏洞获取管理员权限并以该权限运行程序。目前,厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页,以获取最新版本。

参考链接:http://www.cnvd.org.cn/flaw/show/CNVD-2020-03065

更多高危漏洞如表4所示,详细信息可根据CNVD编号,在CNVD官网进行查询。参考链接:http://www.cnvd.org.cn/flaw/list.htm

表4 部分重要高危漏洞列表

CNVD编号

漏洞名称

综合评级

修复方式

CNVD-2020-02993

PrestaShop Adobe Stock API integration文件上传漏洞

用户可参考如下厂商提供的安全补丁以修复该漏洞:

https://www.prestashop.com

CNVD-2020-02997

Adobe Illustrator CC 2019内存破坏漏洞

厂商已发布了漏洞修复程序,请及时关注更新:

https://helpx.adobe.com/security/products/experience-manager/apsb20-01.html

CNVD-2020-03014

DTEN D5和DTEN D7代码执行漏洞

目前厂商已发布升级补丁以修复漏洞,详情请关注厂商主页:

https://www.displayten.com.cn/

CNVD-2020-03041

Microsoft Windows Win32k组件权限提升漏洞(CNVD-2020-03041)

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-1458

CNVD-2020-03060

Sangoma Technologies Asterisk和Sangoma Technologies Certified Asterisk命令执行漏洞

厂商已发布了漏洞修复程序,请及时关注更新:

http://downloads.asterisk.org/pub/security

CNVD-2020-03119

libsixel内存泄漏漏洞

厂商已发布了漏洞修复程序,请及时关注更新:

https://github.com/saitoha/libsixel/commit/b9a4175c803b50a863b0fbd8b8b49058ca725ea6

CNVD-2020-03162

Dell RSA Identity Governance and Lifecycle和RSA Via Lifecycle and Governance访问控制错误漏洞

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://www.dell.com/support/security/zh-cn/details/DOC-109310/DSA-2019-164-RSA-Identity-Governance-and-Lifecycle-Product-Security-Update-for-Multiple-Vulnerabi

CNVD-2020-03183

VMware ESXi和VMware Horizon DaaS OpenSLP缓冲区溢出漏洞

厂商已发布了漏洞修复程序,请及时关注更新:

https://www.vmware.com/security/advisories/VMSA-2019-0022.html

CNVD-2020-03190

TI-Tool TITool PrintMonitor SQL注入漏洞

厂商已发布了漏洞修复程序,请及时关注更新:

https://www.titool.eu

CNVD-2020-03191

Advantech DiagAnywhere Server缓冲区溢出漏洞

厂商已发布了漏洞修复程序,请及时关注更新:

https://www.advantech.com

小结:本周,Huawei产品被披露存在多个漏洞,攻击者可利用漏洞进行未授权的操作,获取敏感信息,导致拒绝服务等。此外,Apple、GitLab、Mozilla等多款产品被披露存在多个漏洞,攻击者可利用漏洞绕过内容安全策略限制,获取未授权的访问权限,提升权限,执行任意代码,造成拒绝服务等。另外,Sony Catalyst Production Suite和Catalyst Browse被披露存在权限提升漏洞。攻击者可利用该漏洞获取管理员权限并以该权限运行程序。建议相关用户随时关注上述厂商主页,及时获取修复补丁或解决方案。

(编辑:CNVD) | 已有0条评论
登录 后才能发表评论
已有0条评论