登录  免费注册
当前位置:首页 > 周报 > 正文

2020年CNVD漏洞周报第20期(2020年05月11日-2020年05月17日)

2020-05-18 16:34:31

本周漏洞态势研判情况

 

本周信息安全漏洞威胁整体评价级别为

国家信息安全漏洞共享平台(以下简称CNVD)本周共收集、整理信息安全漏洞336个,其中高危漏洞115个、中危漏洞199个、低危漏洞22个。漏洞平均分值为6.16。本周收录的漏洞中,涉及0day漏洞154个(占46%),其中互联网上出现“Zyxel NBG-418N v2 Modem跨站请求伪造漏洞、Joomla!组件prayercenter 'id' SQL注入漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数7595个,与上周(5514个)环比增加38%。


图1 CNVD收录漏洞近10周平均分值分布图

 

本周漏洞事件处置情况

 

本周,CNVD向银行、保险、能源等重要行业单位通报漏洞事件15起,向基础电信企业通报漏洞事件4起,协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件332起,协调教育行业应急组织验证和处置高校科研院所系统漏洞事件34起,向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件15起。

此外,CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞,具体处置单位情况如下所示:

湖北国昇科技有限公司、深圳市圆梦云科技有限公司、极致网络科技有限公司、哈尔滨新中新电⼦股份有限公司、TOM集团有限公司、珠海金山办公软件有限公司、北京百容千域软件技术开发有限责任公司、厦门游奕网络科技有限公司、山西先启科技有限公司、龙岩讯搜网络科技有限公司、沈阳点动科技有限公司、厦门海为科技有限公司、上海丹帆网络科技有限公司、北京亚控科技发展有限公司、重庆巨泰物联网集团有限公司、南昌卓蓝科技有限公司、浙江宇视科技有限公司、陕西益和信息技术开发有限责任公司、湖南华美信息系统有限公司、昆明云涛科技有限公司、易创软件有限公司、深圳市吉祥腾达科技有限公司、成都疯马疯玛科技有限公司、廊坊市极致网络科技有限公司、宿迁鑫潮信息技术限公司、华平信息技术股份有限公司、上海展盟网络科技有限公司、杭州优云软件有限公司、北京清奇科技有限公司、成都润格无限科技有限公司、广州合优网络科技有限公司、速控云(上海)智能科技有限公司、深圳市微客互动有限公司、南京博纳睿通软件科技有限公司、上海金桥信息股份有限公司、苏州托普斯网络科技有限公司、湖南心艾网络科技有限公司、成都论之道科技有限责任公司、武汉类森科技有限公司、洛阳恒越计算机技术有限公司、环保时代网、伟创互联网络技术开发团队、子鸥科技、贴心猫、逍遥B2C商城系统、A4Tech、Joomla、SeaCMS、Kkcms、Advantech Co., Ltd.和Heybbs。

本周,CNVD发布了《Microsoft发布2020年5月安全更新》。详情参见CNVD网站公告内容。

https://www.cnvd.org.cn/webinfo/show/5525

 

本周漏洞报送情况统计

 

本周报送情况如表1所示。其中,哈尔滨安天科技集团股份有限公司、恒安嘉新(北京)科技股份公司、北京天融信网络安全技术有限公司、华为技术有限公司、新华三技术有限公司等单位报送公开收集的漏洞数量较多。北京华云安信息技术有限公司、山东新潮信息技术有限公司、远江盛邦(北京)网络安全科技股份有限公司、国瑞数码零点实验室、长春嘉诚信息技术股份有限公司、内蒙古奥创科技有限公司、河南灵创电子科技有限公司、杭州海康威视数字技术股份有限公司、上海观安信息技术股份有限公司、北京墨云科技有限公司、山东道普测评技术有限公司、山东云天安全技术有限公司、北京圣博润高新技术股份有限公司、博智安全科技股份有限公司、北京顶象技术有限公司、北京天地和兴科技有限公司、北京长亭科技有限公司、山东华鲁科技发展股份有限公司、成都链安科技有限公司、北京智游网安科技有限公司、安徽长泰信息安全服务有限公司、安徽风雪网络安全测评有限公司、广州美杜莎网络科技有限公司、京东云安全及其他个人白帽子向CNVD提交了7595个以事件型漏洞为主的原创漏洞,其中包括奇安信网神(补天平台)、斗象科技(漏洞盒子)和上海交大向CNVD共享的白帽子报送的6705条原创漏洞信息。

表1 漏洞报送情况统计表

报送单位或个人

漏洞报送数量

原创漏洞数量

奇安信网神(补天平台)

4079

4079

斗象科技(漏洞盒子)

2272

2272

上海交大

354

354

哈尔滨安天科技集团股份有限公司

322

0

恒安嘉新(北京)科技股份公司

286

0

北京天融信网络安全技术有限公司

237

1

华为技术有限公司

206

0

新华三技术有限公司

140

0

北京神州绿盟科技有限公司

117

28

深信服科技股份有限公司

112

0

北京奇虎科技有限公司

82

25

北京启明星辰信息安全技术有限公司

60

1

中国电信集团系统集成有限责任公司

58

0

厦门服云信息科技有限公司

37

0

北京数字观星科技有限公司

20

0

中新网络信息安全股份有限公司

15

15

北京知道创宇信息技术股份有限公司

1

0

北京安信天行科技有限公司

1

1

深圳市腾讯计算机系统有限公司(玄武实验室)

1

1

北京华云安信息技术有限公司

57

57

山东新潮信息技术有限公司

49

49

远江盛邦(北京)网络安全科技股份有限公司

44

44

国瑞数码零点实验室

35

35

长春嘉诚信息技术股份有限公司

28

28

杭州迪普科技股份有限公司

25

0

内蒙古奥创科技有限公司

24

24

河南灵创电子科技有限公司

17

17

杭州海康威视数字技术股份有限公司

10

10

上海观安信息技术股份有限公司

8

8

北京墨云科技有限公司

6

6

山东道普测评技术有限公司

6

6

山东云天安全技术有限公司

6

6

北京圣博润高新技术股份有限公司

5

5

博智安全科技股份有限公司

4

4

北京顶象技术有限公司

3

3

北京天地和兴科技有限公司

3

3

北京长亭科技有限公司

3

3

山东华鲁科技发展股份有限公司

3

3

成都链安科技有限公司

2

2

北京智游网安科技有限公司

1

1

安徽长泰信息安全服务有限公司

1

1

安徽风雪网络安全测评有限公司

1

1

广州美杜莎网络科技有限公司

1

1

京东云安全

1

1

CNCERT青海分中心

9

9

CNCERT宁夏分中心

7

7

CNCERT河北分中心

5

5

CNCERT四川分中心

4

4

CNCERT广西分中心

2

2

CNCERT浙江分中心

1

1

个人

472

472

报送总计

9243

7595

 

本周漏洞按类型和厂商统计

 

本周,CNVD收录了336个漏洞。应用程序122个,WEB应用101个,网络设备(交换机、路由器等网络端设备)68个,操作系统20个,安全产品15个,智能设备(物联网终端设备)8个,数据库2个。

表2 漏洞按影响类型统计表

漏洞影响对象类型

漏洞数量

应用程序

122

WEB应用

101

网络设备(交换机、路由器等网络端设备)

68

操作系统

20

安全产品

15

智能设备(物联网终端设备)

8

数据库

2

 

图2 本周漏洞按影响类型分布

CNVD整理和发布的漏洞涉及NETGEAR、Microsoft、JetBrains等多家厂商的产品,部分漏洞数量按厂商统计如表3所示。

表3 漏洞产品涉及厂商分布统计表

序号

厂商(产品)

漏洞数量

所占比例

1

NETGEAR

49

14%

2

Microsoft

19

6%

3

JetBrains

14

4%

4

Cisco

12

4%

5

IBM

12

4%

6

Zoho

11

3%

7

Oracle

10

3%

8

北京海腾时代科技有限公司

10

3%

9

Blaauw

9

3%

10

其他

190

56%

 

本周行业漏洞收录情况

 

本周,CNVD收录了54个电信行业漏洞,15个移动互联网行业漏洞,6个工控行业漏洞(如下图所示)。其中,“LG产品MLT application intents访问控制错误漏洞、多款NETGEAR产品缓冲区溢出漏洞(CNVD-2020-28235)”的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序,请参照CNVD相关行业漏洞库链接。

电信行业漏洞链接:http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接:http://mi.cnvd.org.cn/

工控系统行业漏洞链接:http://ics.cnvd.org.cn/


图3 电信行业漏洞统计


图4 移动互联网行业漏洞统计


图5 工控系统行业漏洞统计

 

本周重要漏洞安全告警


本周,CNVD整理和发布以下重要安全漏洞信息。

1、Microsoft产品安全漏洞

Microsoft Actions Http-Client是一款轻量级的HTTP客户端。Microsoft Windows是一套个人设备使用的操作系统。Microsoft Windows Server是一套服务器操作系统。ChakraCore是使用在Edge浏览器中的一个开源的ChakraJavaScript脚本引擎的核心部分,也可作为单独的JavaScript引擎使用。Microsoft Edge是一款Windows 10之后版本系统附带的Web浏览器。Microsoft Word是一套Office套件中的文字处理软件。Microsoft Outlook是一套电子邮件应用程序。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,提升权限,执行任意代码,损坏内存等。

CNVD收录的相关漏洞包括:Microsoft ActionsHttp-Client信息泄露漏洞、Microsoft ChakraCore和Edge远程代码执行漏洞(CNVD-2020-28238)、Microsoft Win32k权限提升漏洞(CNVD-2020-28432)、Microsoft Windows ActiveX Installer Service权限提升漏洞、Microsoft Windows Network Driver Interface Specification信息泄露漏洞(CNVD-2020-28440)、Microsoft Windows WorkFolder服务权限提升漏洞、Microsoft Windows SearchIndexer权限提升漏洞、Microsoft Word和Microsoft Outlook缓冲区溢出漏洞。其中,除“Microsoft Windows WorkFolder服务权限提升漏洞、Microsoft Windows SearchIndexer权限提升漏洞”外,其余漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2020-27782

https://www.cnvd.org.cn/flaw/show/CNVD-2020-28238

https://www.cnvd.org.cn/flaw/show/CNVD-2020-28432

https://www.cnvd.org.cn/flaw/show/CNVD-2020-28436

https://www.cnvd.org.cn/flaw/show/CNVD-2020-28440

https://www.cnvd.org.cn/flaw/show/CNVD-2020-28441

https://www.cnvd.org.cn/flaw/show/CNVD-2020-28444

https://www.cnvd.org.cn/flaw/show/CNVD-2020-28443

2、Cisco产品安全漏洞

CiscoAdaptive Security Appliances Software(ASASoftware)是一套防火墙和网络安全平台。Cisco Firepower ThreatDefense(FTD)是一套提供下一代防火墙服务的统一软件。Cisco Aironet SeriesAccess Points Software是一套使用在Aironet无线接入点设备中的软件。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞绕过身份验证,覆盖任意文件,并修改受影响设备的底层操作系统,导致拒绝服务等。

CNVD收录的相关漏洞包括:Cisco Adaptive SecurityAppliances Software授权问题漏洞、Cisco Firepower ThreatDefense资源管理错误漏洞(CNVD-2020-27772、CNVD-2020-27775、CNVD-2020-27774、CNVD-2020-27773)、Cisco Firepower Device ManagerOn-Box输入验证错误漏洞、Cisco Firepower ThreatDefense资源管理错误漏洞(CNVD-2020-27776)、Cisco Aironet Series Access Points Software资源管理错误漏洞。其中,除“Cisco Firepower Threat Defense资源管理错误漏洞(CNVD-2020-27774)、Cisco Firepower Threat Defense访问控制错误漏洞(CNVD-2020-27773)、Cisco Aironet SeriesAccess Points Software资源管理错误漏洞”外,其余漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2020-27770

https://www.cnvd.org.cn/flaw/show/CNVD-2020-27772

https://www.cnvd.org.cn/flaw/show/CNVD-2020-27775

https://www.cnvd.org.cn/flaw/show/CNVD-2020-27774

https://www.cnvd.org.cn/flaw/show/CNVD-2020-27773

https://www.cnvd.org.cn/flaw/show/CNVD-2020-27777

https://www.cnvd.org.cn/flaw/show/CNVD-2020-27776

https://www.cnvd.org.cn/flaw/show/CNVD-2020-27788

3、IBM产品安全漏洞

IBMData Risk Manager是一款数据风险管理器。IBM WebSphere ApplicationServer Liberty是一款构建于Open Liberty项目之上的Java应用程序服务器。IBM UrbanCode Deploy(UCD)是一套应用自动化部署工具。IBM Cloud App Management是一套基于微服务架构的基础架构监控解决方案。IBM MQ是一款消息传递中间件产品。IBM MQ Appliance是一款用于快速部署企业级消息中间件的一体机设备。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,提升权限,执行任意命令,造成拒绝服务(内存泄露)等。

CNVD收录的相关漏洞包括:IBM Data Risk Manager路径遍历漏洞、IBM Data Risk Manager代码执行漏洞、IBM Data Risk Manager操作系统命令注入漏洞、IBM Data Risk Manager授权问题漏洞、IBM WebSphere Application Server Liberty授权问题漏洞、IBM UrbanCode Deploy权限提升漏洞(CNVD-2020-27949)、IBM MQ Appliance拒绝服务漏洞(CNVD-2020-27948)、IBM Cloud App Management信息泄露漏洞。其中,“IBM Data Risk Manager代码执行漏洞、IBM Data Risk Manager操作系统命令注入漏洞、IBM Data Risk Manager授权问题漏洞”的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2020-27938

https://www.cnvd.org.cn/flaw/show/CNVD-2020-27941

https://www.cnvd.org.cn/flaw/show/CNVD-2020-27940

https://www.cnvd.org.cn/flaw/show/CNVD-2020-27939

https://www.cnvd.org.cn/flaw/show/CNVD-2020-27944

https://www.cnvd.org.cn/flaw/show/CNVD-2020-27949

https://www.cnvd.org.cn/flaw/show/CNVD-2020-27948

https://www.cnvd.org.cn/flaw/show/CNVD-2020-27947

4、NETGEAR产品安全漏洞

NETGEAR WAC505是一款无线接入点(AP)。NETGEAR D6100是一款无线调制解调器。NETGEAR WNDR3700是一款无线路由器。NETGEAR R6100是一款无线路由器。NETGEAR R9000是一款无线路由器。NETGEAR R7800是一款无线路由器。NETGEAR D7800是一款无线调制解调器。NETGEAR EX2700是一款无线网络信号扩展器。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞执行任意代码,导致缓冲区溢出或堆溢出等。

CNVD收录的相关漏洞包括:多款NETGEAR产品缓冲区溢出漏洞(CNVD-2020-28140、CNVD-2020-28235、CNVD-2020-28242、CNVD-2020-28241、CNVD-2020-28244、CNVD-2020-28243、CNVD-2020-28247、CNVD-2020-28246)。其中,“多款NETGEAR产品缓冲区溢出漏洞(CNVD-2020-28140、CNVD-2020-28235)”的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2020-28140

https://www.cnvd.org.cn/flaw/show/CNVD-2020-28235

https://www.cnvd.org.cn/flaw/show/CNVD-2020-28242

https://www.cnvd.org.cn/flaw/show/CNVD-2020-28241

https://www.cnvd.org.cn/flaw/show/CNVD-2020-28244

https://www.cnvd.org.cn/flaw/show/CNVD-2020-28243

https://www.cnvd.org.cn/flaw/show/CNVD-2020-28247

https://www.cnvd.org.cn/flaw/show/CNVD-2020-28246

5、Accusoft ImageGear缓冲区溢出漏洞(CNVD-2020-27757)

Accusoft ImageGear是一款用于图像处理的软件开发工具包(SDK)。本周,Accusoft ImageGear被披露存在缓冲区溢出漏洞。攻击者可利用该漏洞借助特制的PNG文件执行代码。目前,厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页,以获取最新版本。

参考链接:https://www.cnvd.org.cn/flaw/show/CNVD-2020-27757

更多高危漏洞如表4所示,详细信息可根据CNVD编号,在CNVD官网进行查询。参考链接:http://www.cnvd.org.cn/flaw/list.htm

表4 部分重要高危漏洞列表

CNVD编号

漏洞名称

综合评级

修复方式

CNVD-2020-27781

PHP-Fusion SQL注入漏洞(CNVD-2020-27781)

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://github.com/php-fusion/PHP-Fusion/issues/2308

CNVD-2020-27780

Inogard Ebiz4u代码执行漏洞

目前厂商已发布升级补丁以修复漏洞,详情请关注厂商主页:

http://www.ebiz4u.co.kr/

CNVD-2020-27789

Cisco Mobility Express Software跨站请求伪造漏洞

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-mob-exp-csrf-b8tFec24

CNVD-2020-27792

JetBrains Space授权问题漏洞

厂商已发布了漏洞修复程序,请及时关注更新:

https://blog.jetbrains.com/blog/2020/04/22/jetbrains-security-bulletin-q1-2020/

CNVD-2020-28050

Triangle MicroWorks SCADA Data Gateway类型混淆漏洞

厂商已发布了漏洞修复程序,请及时关注更新:

http://www.trianglemicroworks.com

CNVD-2020-28055

ONAP SDNC操作系统命令注入漏洞(CNVD-2020-28055)

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://jira.onap.org/browse/OJSI-41

CNVD-2020-28053

Triangle MicroWorks DNP3 Outstation Libraries缓冲区溢出漏洞

厂商已发布了漏洞修复程序,请及时关注更新:

http://www.trianglemicroworks.com/

CNVD-2020-28451

LG产品MLT application intents访问控制错误漏洞

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://lgsecurity.lge.com/security_updates.html

CNVD-2020-28463

Zoho ManageEngine OpManager SQL注入漏洞

厂商已发布了漏洞修复程序,请及时关注更新:

https://www.manageengine.com/network-monitoring/help/read-me-complete.html

CNVD-2020-28478

Sonatype Nexus Repository Manager命令执行漏洞

厂商已发布了漏洞修复程序,请及时关注更新:

https://support.sonatype.com/hc/en-us/articles/360044356194-CVE-2020-10204-Nexus-Repository-Manager-3-Remote-Code-Execution-2020-03-31

小结:本周,Microsoft产品被披露存在权限提升漏洞,攻击者可利用漏洞获取敏感信息,提升权限,执行任意代码,损坏内存等。此外Cisco、IBM、NETGEAR等多款产品被披露存在多个漏洞,攻击者可利用漏洞绕过身份验证,获取敏感信息,提升权限,执行任意命令,造成拒绝服务(内存泄露),导致缓冲区溢出或堆溢出等。另外,Accusoft ImageGear被披露存在缓冲区溢出漏洞。攻击者可利用该漏洞借助特制的PNG文件执行代码。建议相关用户随时关注上述厂商主页,及时获取修复补丁或解决方案。

(编辑:CNVD) | 已有0条评论
登录 后才能发表评论
已有0条评论