登录  免费注册
当前位置:首页 > 周报 > 正文

2020年CNVD漏洞周报第22期(2020年05月25日-2020年05月31日)

2020-06-01 12:06:08

本周漏洞态势研判情况

 

本周信息安全漏洞威胁整体评价级别为

国家信息安全漏洞共享平台(以下简称CNVD)本周共收集、整理信息安全漏洞312个,其中高危漏洞92个、中危漏洞182个、低危漏洞38个。漏洞平均分值为5.84。本周收录的漏洞中,涉及0day漏洞121个(占39%),其中互联网上出现“WordPress Ultimate Member跨站点请求伪造漏洞、OpenEMR远程代码执行漏洞(CNVD-2018-14867)”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数3956个,与上周(5021个)环比减少21%。


图1 CNVD收录漏洞近10周平均分值分布图

 

本周漏洞事件处置情况

 

本周,CNVD向银行、保险、能源等重要行业单位通报漏洞事件22起,向基础电信企业通报漏洞事件12起,协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件252起,协调教育行业应急组织验证和处置高校科研院所系统漏洞事件27起,向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件24起。

此外,CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞,具体处置单位情况如下所示:

重庆逐越光电科技有限公司、杭州维克会网络科技有限公司、上海讯有信息科技有限公司、保定市互动企业营销策划有限公司、北京良精志诚科技有限责任公司、北京链家房地产经纪有限公司、大连公众信息产业集团有限公司、中建三局智能技术有限公司、深圳市国人在线信息技术有限公司、天择文化传播(河南)有限公司、微软(中国)有限公司、安徽省科迅教育装备有限公司、珠海金山办公软件有限公司石家庄市征红网络科技有限公司、雄帝股份有限公司、用友网络科技股份有限公司、廊坊市极致网络科技有限公司、淄博欧凯信息技术有限公司、茉柏枘(上海)软件科技有限公司、上海基分文化传播有限公司、洛阳云业信息科技有限公司、苏州烟火网络科技有限公司、上海海典软件股份有限公司、宜兴易发网络服务有限公司、西安佰联网络技术有限公司、中山市凝聚网络科技有限公司、东莞市鼎点网络科技有限公司、浙江大华技术股份有限公司、深圳市微客互动有限公司、福州极限软件开发有限公司、深圳市腾狐物联科技有限公司、上海顶想信息科技有限公司、北京智量科技有限公司、海南创想未来文化传媒有限公司、深圳市锟铻科技有限公司、海南赞赞网络科技有限公司、广州购啊购科技有限公司、广州齐博网络科技有限公司、湖南天牛网络科技有限公司、北京小米科技有限责任公司、南京医健通信息科技有限公司、锤子科技(北京)股份有限公司、成都依能科技股份有限公司、西门子(中国)有限公司、南京致汇达网络科技有限公司、青岛汇商传媒有限公司、厦门市好景科技有限公司、济南白菜网络技术有限公司、上海天健源达信息科技有限公司、湖北淘码千维信息科技有限公司、洪湖尔创网联信息技术有限公司、镇江市云优网络科技有限公司、北京地铁运营有限公司、台达电子企业管理(上海)有限公司、深圳市硕赢互动信息技术有限公司、武汉金百瑞科技股份有限公司、北京泛在时代教育技术有限责任公司、浙江省测绘大队、北京消防协会会、菏泽市定陶区子鸥网络科技服务中心、延边州石头网络科技服务中心、新秀工作室、点拓开发网、李雷博客、耳朵软件、万通CMS、熊海CMS、DM建站系统、逍遥B2C商城系统、贴心猫(imcat)、Apache软件基金会、大米CMS、Guojiz、ZrLog、Cszcms、phpgurukul、Canonical、Emerson、PIMS、Rockwell和TuziCMS。

本周,CNVD发布了《关于ISC BIND存在拒绝服务漏洞的安全公告》。详情参见CNVD网站公告内容。

https://www.cnvd.org.cn/webinfo/show/5543

 

本周漏洞报送情况统计

 

本周报送情况如表1所示。其中,哈尔滨安天科技集团股份有限公司、中新网络信息安全股份有限公司、北京天融信网络安全技术有限公司、华为技术有限公司、恒安嘉新(北京)科技股份公司等单位报送公开收集的漏洞数量较多。远江盛邦(北京)网络安全科技股份有限公司、国瑞数码零点实验室、河南灵创电子科技有限公司、杭州迪普科技股份有限公司、北京墨云科技有限公司、山东云天安全技术有限公司、河北华测信息技术有限公司、广州安亿信软件科技有限公司、北京天地和兴科技有限公司、京东云安全、上海观安信息技术股份有限公司、北京长亭科技有限公司、北京浩瀚深度信息技术股份有限公司、杭州海康威视数字技术股份有限公司、北京华云安信息技术有限公司、星云博创科技有限公司、成都安美勤信息技术股份有限公司、北京智游网安科技有限公司、河南信安世纪科技有限公司、天津市兴先道科技有限公司、济南三泽信息安全测评有限公司及其他个人白帽子向CNVD提交了2938个以事件型漏洞为主的原创漏洞,其中包括奇安信网神(补天平台)、斗象科技(漏洞盒子)和上海交大向CNVD共享的白帽子报送的2147条原创漏洞信息。

表1 漏洞报送情况统计表

报送单位或个人

漏洞报送数量

原创漏洞数量

斗象科技(漏洞盒子)

933

933

奇安信网神(补天平台)

690

690

上海交大

524

524

哈尔滨安天科技集团股份有限公司

276

0

中新网络信息安全股份有限公司

163

163

北京天融信网络安全技术有限公司

144

4

华为技术有限公司

137

0

恒安嘉新(北京)科技股份公司

131

0

新华三技术有限公司

89

0

北京神州绿盟科技有限公司

72

6

深信服科技股份有限公司

68

0

北京启明星辰信息安全技术有限公司

57

0

中国电信集团系统集成有限责任公司

43

34

北京奇虎科技有限公司

34

34

北京数字观星科技有限公司

30

0

杭州安恒信息技术股份有限公司

10

10

北京知道创宇信息技术股份有限公司

1

0

南京铱迅信息技术股份有限公司

1

1

远江盛邦(北京)网络安全科技股份有限公司

90

90

国瑞数码零点实验室

44

44

河南灵创电子科技有限公司

25

25

杭州迪普科技股份有限公司

14

0

北京墨云科技有限公司

12

12

山东云天安全技术有限公司

9

9

河北华测信息技术有限公司

7

7

广州安亿信软件科技有限公司

7

7

北京天地和兴科技有限公司

5

5

京东云安全

5

5

上海观安信息技术股份有限公司

2

2

北京长亭科技有限公司

2

2

北京浩瀚深度信息技术股份有限公司

2

2

杭州海康威视数字技术股份有限公司

1

1

北京华云安信息技术有限公司

1

1

星云博创科技有限公司

1

1

成都安美勤信息技术股份有限公司

1

1

北京智游网安科技有限公司

1

1

河南信安世纪科技有限公司

1

1

天津市兴先道科技有限公司

1

1

济南三泽信息安全测评有限公司

1

1

CNCERT天津分中心

9

9

CNCERT湖南分中心

7

7

CNCERT西藏分中心

7

7

CNCERT广西分中心

6

6

CNCERT贵州分中心

4

4

CNCERT海南分中心

2

2

CNCERT安徽分中心

2

2

CNCERT上海分中心

2

2

CNCERT河北分中心

1

1

个人

281

281

报送总计

3956

2938

 

本周漏洞按类型和厂商统计

 

本周,CNVD收录了312个漏洞。应用程序104个,操作系统94个,WEB应用79个,网络设备(交换机、路由器等网络端设备)27个,数据库6个,安全产品1个,智能设备(物联网终端设备)1个。

表2 漏洞按影响类型统计表

漏洞影响对象类型

漏洞数量

应用程序

104

操作系统

94

WEB应用

79

网络设备(交换机、路由器等网络端设备)

27

数据库

6

安全产品

1

智能设备(物联网终端设备)漏洞

1

 

图2 本周漏洞按影响类型分布

CNVD整理和发布的漏洞涉及Google、NETGEAR、珠海金山办公软件有限公司等多家厂商的产品,部分漏洞数量按厂商统计如表3所示。

表3 漏洞产品涉及厂商分布统计表

序号

厂商(产品)

漏洞数量

所占比例

1

Google

74

24%

2

NETGEAR

20

6%

3

珠海金山办公软件有限公司

20

6%

4

Advantech

11

4%

5

WordPress

11

4%

6

Apple

10

3%

7

Microsoft

10

3%

8

Oracle

10

3%

9

SAP

9

3%

10

其他

137

44%

 

本周行业漏洞收录情况

 

本周,CNVD收录了26个电信行业漏洞,87个移动互联网行业漏洞,15个工控行业漏洞(如下图所示)。其中,“多款NETGEAR产品缓冲区溢出漏洞(CNVD-2020-30762)、Samsung移动设备缓冲区溢出漏洞(CNVD-2020-30408)、Advantech WebAccess Node路径遍历漏洞(CNVD-2020-29743)”的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序,请参照CNVD相关行业漏洞库链接。

电信行业漏洞链接:http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接:http://mi.cnvd.org.cn/

工控系统行业漏洞链接:http://ics.cnvd.org.cn/


图3 电信行业漏洞统计


图4 移动互联网行业漏洞统计


图5 工控系统行业漏洞统计

 

本周重要漏洞安全告警


本周,CNVD整理和发布以下重要安全漏洞信息。

1、Advantech产品安全漏洞

Advantech WebAccess是一个基于浏览器的SCADA软件包,用于监控、数据采集和可视化。它用于在需要远程操作的情况下自动化复杂的工业流程。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞覆盖应用程序控制范围之外的文件,获取敏感信息,执行任意代码等。

CNVD收录的相关漏洞包括:Advantech WebAccess Node缓冲区溢出漏洞(CNVD-2020-29739、CNVD-2020-29740)、Advantech WebAccess Node越界读取漏洞、Advantech WebAccess Node路径遍历漏洞(CNVD-2020-29743、CNVD-2020-29744、CNVD-2020-29742)、Advantech WebAccess NodeSQL注入漏洞、Advantech WebAccess Node输入验证错误漏洞。其中,“Advantech WebAccess Node缓冲区溢出漏洞(CNVD-2020-29739、CNVD-2020-29740)、Advantech WebAccess Node路径遍历漏洞(CNVD-2020-29743)、Advantech WebAccess Node输入验证错误漏洞”漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29740

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29739

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29738

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29743

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29742

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29741

https://www.cnvd.org.cn/flaw/show/CNVD-2020-27432

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29744

2、Oracle产品安全漏洞

OracleFusion Middleware(Oracle融合中间件)是美国甲骨文(Oracle)公司的一套面向企业和云环境的业务创新平台。Oracle E-Business Suite是在原来Application(ERP)基础上的扩展,包括ERP(企业资源计划管理)、HR(人力资源管理)、CRM(客户关系管理)等等多种管理软件的集合,是无缝集成的一个管理套件。Oracle Advanced OutboundTelephony是Oracle Interaction Center的模块,用于解决出站电话问题。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞未授权读取、更新、插入或删除数据。

CNVD收录的相关漏洞包括:Oracle Weblogic Server远程代码执行漏洞(CNVD-2020-29746、CNVD-2020-29745)、Oracle Advanced Outbound Telephony未授权访问漏洞(CNVD-2020-29762、CNVD-2020-29767、CNVD-2020-29765、CNVD-2020-29764、CNVD-2020-29763、CNVD-2020-29766)。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29746

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29745

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29762

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29765

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29764

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29763

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29767

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29766

3、SAP产品安全漏洞

SAPBusiness Objects Business Intelligence Platform是德国思爱普(SAP)公司的一套商业智能软件和企业绩效解决方案套件。SAP Adaptive ServerEnterprise是一款关系型数据库服务器。SAP Enterprise ThreatDetection是一种可以检测SAP系统是否受到恶意攻击的产品。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,提升权限,执行任意代码等。

CNVD收录的相关漏洞包括:SAP Business ObjectsBusiness Intelligence Platform输入验证错误漏洞、SAP Adaptive ServerEnterprise SQL注入漏洞(CNVD-2020-29747)、SAP Business Objects Business Intelligence Platform信息泄露漏洞(CNVD-2020-29751)、SAP Adaptive ServerEnterprise SQL注入漏洞(CNVD-2020-29750)、SAP Adaptive Server Enterprise输入验证错误漏洞、SAP Adaptive Server Enterprise信息泄露漏洞(CNVD-2020-29753、CNVD-2020-29752)、SAP Enterprise Threat Detection跨站脚本漏洞。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29748

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29747

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29751

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29750

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29749

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29753

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29752

https://www.cnvd.org.cn/flaw/show/CNVD-2020-29754

4、Microsoft产品安全漏洞

Microsoft Windows和MicrosoftWindows Server都是美国微软(Microsoft)公司的产品。Microsoft Windows是一套个人设备使用的操作系统。Microsoft Windows Server是一套服务器操作系统。Windows Jet Database Engine是其中的一个数据库引擎。Windows Update Delivery Optimization(WUDO)是其中的一个Windows更新交付优化工具,主要用于减少因系统更新产生的网络流量。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,执行任意代码,导致拒绝服务等。

CNVD收录的相关漏洞包括:Microsoft Windows UpdateDelivery Optimization提权漏洞、Microsoft Windows GraphicsDevice Interface信息泄露漏洞(CNVD-2020-30654)、Microsoft Windows和Windows Server提权漏洞(CNVD-2020-30658)、Microsoft Windows DNS拒绝服务漏洞、Microsoft Windows Jet Database Engine远程代码执行漏洞(CNVD-2020-30660、CNVD-2020-30659、CNVD-2020-30662、CNVD-2020-30663)。其中,除“Microsoft Windows Graphics Device Interface信息泄露漏洞(CNVD-2020-30654)、Microsoft Windows DNS拒绝服务漏洞”外,其余漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2020-30657

https://www.cnvd.org.cn/flaw/show/CNVD-2020-30654

https://www.cnvd.org.cn/flaw/show/CNVD-2020-30660

https://www.cnvd.org.cn/flaw/show/CNVD-2020-30659

https://www.cnvd.org.cn/flaw/show/CNVD-2020-30658

https://www.cnvd.org.cn/flaw/show/CNVD-2020-30662

https://www.cnvd.org.cn/flaw/show/CNVD-2020-30661

https://www.cnvd.org.cn/flaw/show/CNVD-2020-30663

5、rConfig跨站请求伪造漏洞

rConfig是一款开源的网络配置管理实用程序。本周,rConfig被披露存在跨站请求伪造漏洞。远程攻击者可借助特制HTTP请求利用该漏洞执行恶意操作。目前,厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页,以获取最新版本。

参考链接:https://www.cnvd.org.cn/flaw/show/CNVD-2020-30447

更多高危漏洞如表4所示,详细信息可根据CNVD编号,在CNVD官网进行查询。参考链接:http://www.cnvd.org.cn/flaw/list.htm

表4 部分重要高危漏洞列表

CNVD编号

漏洞名称

综合评级

修复方式

CNVD-2020-29732

RubyGem Rack路径遍历漏洞

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://rubygems.org/gems/rack/versions/2.2.2

CNVD-2020-29736

多款ESET产品ESET AV parsing engine输入验证错误漏洞

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://support.eset.com/en/ca7387-modules-review-december-2019

CNVD-2020-29845

WordPress权限检查绕过漏洞

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://wpvulndb.com/vulnerabilities/10146

CNVD-2020-29871

Apple macOS Catalina CoreBluetooth组件缓冲区溢出漏洞

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://support.apple.com/zh-cn/HT210919

CNVD-2020-29878

Ubiquiti Networks UniFi Video Controller任意文件删除和DLL劫持漏洞

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://community.ui.com/releases/Security-advisory-bulletin-006-006/3cf6264e-e0e6-4e26-a331-1d271f84673e

CNVD-2020-30183

Samsung移动设备缓冲区溢出漏洞(CNVD-2020-30183)

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://security.samsungmobile.com/securityUpdate.smsb

CNVD-2020-30436

QEMU缓冲区溢出漏洞(CNVD-2020-30436)

目前厂商已发布升级补丁以修复漏洞,详情请关注厂商主页:
https://www.qemu.org/

CNVD-2020-30440

Druva inSync Windows Client路径遍历漏洞

目前厂商已发布升级补丁以修复漏洞,详情请关注厂商主页:
https://www.druva.com/

CNVD-2020-30453

Cherokee缓冲区溢出漏洞

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://github.com/cherokee/webserver/commit/0d669cf4c855e8dae1e3bcd8841f863e34b10ec8

CNVD-2020-30762

多款NETGEAR产品缓冲区溢出漏洞(CNVD-2020-30762)

厂商已发布了漏洞修复程序,请及时关注更新:
https://kb.netgear.com/000061230/Security-Advisory-for-Pre-Authentication-Buffer-Overflow-on-Some-Switches-PSV-2018-0538

小结:本周,Advantech产品被披露存在多个漏洞,攻击者可利用漏洞覆盖应用程序控制范围之外的文件,获取敏感信息,执行任意代码等。此外Oracle、SAP、Microsoft等多款产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,提升权限,执行任意代码,导致拒绝服务等。另外,rConfig被披露存在跨站请求伪造漏洞。远程攻击者可借助特制HTTP请求利用该漏洞执行恶意操作。建议相关用户随时关注上述厂商主页,及时获取修复补丁或解决方案。

(编辑:CNVD) | 已有0条评论
登录 后才能发表评论
已有0条评论