国产在线视频欧美一区,97国产精华最好的产品亚洲

您所在的位置：首頁 > 安全研究 > 安全通告 > CNVD漏洞周報2022年第12期

CNVD漏洞周報2022年第12期

2022年03月21日-2022年03月27日

本周漏洞態(tài)勢研判情況

本周信息安全漏洞威脅整體評價級別為中。

國家信息安全漏洞共享平臺(以下簡稱CNVD)本周共收集、整理信息安全漏洞537個，其中高危漏洞180個、中危漏洞272個、低危漏洞85個。漏洞平均分值為5.84。本周收錄的漏洞中，涉及0day漏洞299個(占56%)，其中互聯(lián)網(wǎng)上出現(xiàn)“Pimcore跨站腳本漏洞(CNVD-2022-22702)、CuppaCMSSQL注入漏洞(CNVD-2022-22322)”等零日代碼攻擊漏洞。本周CNVD接到的涉及黨政機關(guān)和企事業(yè)單位的事件型漏洞總數(shù)4620個，與上周(4022個)環(huán)比增加15%。

金瀚信安：CNVD漏洞周報2022年第12期1

圖1 CNVD收錄漏洞近10周平均分值分布圖

金瀚信安：CNVD漏洞周報2022年第12期2

圖2 CNVD 0day漏洞總數(shù)按周統(tǒng)計

本周漏洞事件處置情況

本周，CNVD向銀行、保險、能源等重要行業(yè)單位通報漏洞事件33起，向基礎(chǔ)電信企業(yè)通報漏洞事件88起，協(xié)調(diào)CNCERT各分中心驗證和處置涉及地方重要部門漏洞事件756起，協(xié)調(diào)教育行業(yè)應(yīng)急組織驗證和處置高?？蒲性核到y(tǒng)漏洞事件66起，向國家上級信息安全協(xié)調(diào)機構(gòu)上報涉及部委門戶、子站或直屬單位信息系統(tǒng)漏洞事件67起。

CNVD漏洞周報2022年第12期3

圖3 CNVD各行業(yè)漏洞處置情況按周統(tǒng)計

金瀚信安：CNVD漏洞周報2022年第12期4

圖4 CNCERT各分中心處置情況按周統(tǒng)計

金瀚信安：CNVD漏洞周報2022年第12期5

圖5 CNVD教育行業(yè)應(yīng)急組織處置情況按周統(tǒng)計

此外，CNVD通過已建立的聯(lián)系機制或涉事單位公開聯(lián)系渠道向以下單位通報了其信息系統(tǒng)或軟硬件產(chǎn)品存在的漏洞，具體處置單位情況如下所示：

卓豪(中國)技術(shù)有限公司、珠海金山辦公軟件有限公司、重慶中聯(lián)信息產(chǎn)業(yè)有限責任公司、正方軟件股份有限公司、浙江多普勒環(huán)?？萍加邢薰?、浙江大華技術(shù)股份有限公司、長沙友點軟件科技有限公司、長沙米拓信息技術(shù)有限公司、友訊電子設(shè)備(上海)有限公司、兄弟(中國)商業(yè)有限公司、新開普電子股份有限公司、暇光軟件科技(上海)有限公司、武漢金同方科技有限公司、武漢烽火信息集成技術(shù)有限公司、溫州互引信息技術(shù)有限公司、微軟(中國)有限公司、臺達電子企業(yè)管理(上海)有限公司、索尼(中國)有限公司、四創(chuàng)科技有限公司、四川迅睿云軟件開發(fā)有限公司、四川廣安愛眾股份有限公司、世邦通信股份有限公司、深圳易達全球電子商務(wù)有限公司、深圳小信科技有限公司、深圳市中控生物識別技術(shù)有限公司、深圳市西迪特科技有限公司、深圳市網(wǎng)心科技有限公司、深圳市思迅軟件股份有限公司、深圳市雙夢科技有限公司、深圳市聚網(wǎng)捷科技有限公司、深圳市吉祥騰達科技有限公司、深圳市合信自動化技術(shù)有限公司、深圳市必聯(lián)電子有限公司、上海卓卓網(wǎng)絡(luò)科技有限公司、上海屹超信息技術(shù)有限公司、上海瑞策軟件有限公司、上海米健信息技術(shù)有限公司、上海美贊美數(shù)碼科技有限公司、上?？咸貎x表股份有限公司、上海斐訊數(shù)據(jù)通信技術(shù)有限公司、上海締安科技股份有限公司、上海碧海網(wǎng)絡(luò)科技有限公司、熵基科技股份有限公司、商派軟件有限公司、山洋電氣(上海)貿(mào)易有限公司、山脈科技股份有限公司、山東山大華天軟件有限公司、三星(中國)投資有限公司、賽馬物聯(lián)科技(寧夏)有限公司、青島中瑞汽車服務(wù)有限公司、青島海天煒業(yè)過程控制技術(shù)股份有限公司、麒麟軟件有限公司、普聯(lián)技術(shù)有限公司、寧波慕楓品牌策劃有限公司、南寧安拓軟件有限公司、南京易米云通網(wǎng)絡(luò)科技有限公司、南京埃斯頓自動化股份有限公司、廊坊市極致網(wǎng)絡(luò)科技有限公司、酷溜網(wǎng)(北京)科技有限公司、敬業(yè)集團有限公司、江西銘軟科技有限公司、江蘇天瑞儀器股份有限公司、江蘇金智教育信息股份有限公司、濟南唐豐信息科技有限公司、濟南愛程網(wǎng)絡(luò)科技有限公司、吉翁電子(深圳)有限公司、合肥圖鴨信息科技有限公司、合肥奇樂網(wǎng)絡(luò)科技有限公司、杭州智源電子有限公司、杭州益仕行信息技術(shù)有限公司、杭州雄偉科技開發(fā)股份有限公司、杭州千家網(wǎng)絡(luò)有限公司、杭州?？低晹?shù)字技術(shù)股份有限公司、杭州冠航科技有限公司、杭州飛致云信息科技有限公司、哈爾濱偉成科技有限公司、桂林崇勝網(wǎng)絡(luò)科技有限公司、廣州中望龍騰軟件股份有限公司、廣州添富信息科技有限責任公司、廣州市穎峰信息科技有限公司、廣州市動景計算機科技有限公司、廣州齊博網(wǎng)絡(luò)科技有限公司、廣聯(lián)達科技股份有限公司、廣東卓銳軟件有限公司、觀脈科技(北京)有限公司、福州網(wǎng)鈦軟件科技有限公司、福州木頭軟件有限公司、東芝(中國)有限公司、大唐電信科技股份有限公司、成都星銳藍海網(wǎng)絡(luò)科技有限公司、成都萬江港利科技股份有限公司、成都同飛科技有限責任公司、成都傲梅科技有限公司、暢捷通信息技術(shù)股份有限公司、北京字節(jié)跳動科技有限公司、北京中新天達科技有限公司、北京中科網(wǎng)威信息技術(shù)有限公司、北京致遠互聯(lián)軟件股份有限公司、北京云網(wǎng)聯(lián)科技有限公司、北京云帆互聯(lián)科技有限公司、北京用友融聯(lián)科技有限公司、北京亞控科技發(fā)展有限公司、北京星網(wǎng)銳捷網(wǎng)絡(luò)技術(shù)有限公司、北京網(wǎng)御星云信息技術(shù)有限公司、北京通達信科科技有限公司、北京碩人時代科技股份有限公司、北京神州數(shù)碼云科信息技術(shù)有限公司、北京擎企網(wǎng)絡(luò)技術(shù)有限公司、北京派網(wǎng)軟件有限公司、北京獵鷹安全科技有限公司、北京九思協(xié)同軟件有限公司、北京金萬維科技有限公司、北京金和網(wǎng)絡(luò)股份有限公司、北京宏業(yè)超世紀科技有限公司、北京和信創(chuàng)天科技股份有限公司、北京東方通科技股份有限公司、北京百卓網(wǎng)絡(luò)技術(shù)有限公司、北京愛奇藝科技有限公司、北大醫(yī)療信息技術(shù)有限公司、安科瑞電氣股份有限公司、安徽容知日新科技股份有限公司、安徽科威網(wǎng)絡(luò)科技有限公司、安徽富煌科技股份有限公司、阿里巴巴集團安全應(yīng)急響應(yīng)中心、涿鹿創(chuàng)夢網(wǎng)絡(luò)工作室、新秀工作室、極路由、ZAVIO、yzmcms、The Apache Software Foundation、SonicWALL, Inc.、SeaCMS、Sapido Technology Inc、Realtek SemiconductorCorporation、Optilink Networks、NetSarang、Netis Systems、MuYucms、IRZ、Harbor、Grafana Labs、Geovision、Emlog、Elite Graphix、baigo Studio、Altran Group和Adobe。

本周漏洞報送情況統(tǒng)計

本周報送情況如表1所示。其中，其中，新華三技術(shù)有限公司、杭州安恒信息技術(shù)股份有限公司、安天科技集團股份有限公司、北京神州綠盟科技有限公司、北京天融信網(wǎng)絡(luò)安全技術(shù)有限公司等單位報送公開收集的漏洞數(shù)量較多。北京華順信安科技有限公司、杭州默安科技有限公司、山東云天安全技術(shù)有限公司、內(nèi)蒙古洞明科技有限公司、長春嘉誠信息技術(shù)股份有限公司、北京山石網(wǎng)科信息技術(shù)有限公司、墨菲未來科技(北京)有限公司、上海紐盾科技股份有限公司、南京樹安信息技術(shù)有限公司、重慶都會信息科技有限公司、江蘇保旺達軟件技術(shù)有限公司、上海天存信息技術(shù)有限公司、山東澤鹿安全技術(shù)有限公司、山東新潮信息技術(shù)有限公司、廣西等保安全測評有限公司、河南靈創(chuàng)電子科技有限公司、湖南中測網(wǎng)安信息技術(shù)有限公司、河南天祺信息安全技術(shù)有限公司、河南信安世紀科技有限公司、快頁信息技術(shù)有限公司、廣州百蘊啟辰科技有限公司、深圳昂楷科技有限公司、蘇州棱鏡七彩信息科技有限公司、國網(wǎng)山東省電力公司、華魯數(shù)智信息技術(shù)(北京)有限公司、南京禾盾信息科技有限公司、上海貝銳信息科技股份有限公司、廈門星舟科技有限公司、北京科技大學(xué)、上海上訊信息技術(shù)股份有限公司、開元華創(chuàng)科技集團、中國煙草總公司湖北省公司、武漢非尼克斯軟件技術(shù)有限公司、廣東藍爵網(wǎng)絡(luò)安全技術(shù)股份有限公司、思而聽網(wǎng)絡(luò)科技有限公司、浙江乾冠信息安全研究院、北京機沃科技有限公司及其他個人白帽子向CNVD提交了4620個以事件型漏洞為主的原創(chuàng)漏洞，其中包括斗象科技(漏洞盒子)、上海交大和奇安信網(wǎng)神(補天平臺)向CNVD共享的白帽子報送的2193條原創(chuàng)漏洞信息。

表1 漏洞報送情況統(tǒng)計表

金瀚信安：CNVD漏洞周報2022年第12期6

本周漏洞按類型和廠商統(tǒng)計

本周，CNVD收錄了537個漏洞。WEB應(yīng)用245個，應(yīng)用程序141個，網(wǎng)絡(luò)設(shè)備(交換機、路由器等網(wǎng)絡(luò)端設(shè)備)77個，智能設(shè)備(物聯(lián)網(wǎng)終端設(shè)備)28個，操作系統(tǒng)21個，數(shù)據(jù)庫18個，安全產(chǎn)品7個。

表2 漏洞按影響類型統(tǒng)計表

金瀚信安：CNVD漏洞周報2022年第12期7

金瀚信安：CNVD漏洞周報2022年第12期8

圖6 本周漏洞按影響類型分布

CNVD整理和發(fā)布的漏洞涉及WordPress、Foxit、Microsoft等多家廠商的產(chǎn)品，部分漏洞數(shù)量按廠商統(tǒng)計如表3所示。

表3 漏洞產(chǎn)品涉及廠商分布統(tǒng)計表

金瀚信安：CNVD漏洞周報2022年第12期9

本周行業(yè)漏洞收錄情況

本周，CNVD收錄了56個電信行業(yè)漏洞，9個移動互聯(lián)網(wǎng)行業(yè)漏洞，3個工控行業(yè)漏洞(如下圖所示)。其中，“Tenda AX1806堆棧溢出漏洞、TP-Link Archer A7安全繞過漏洞”等漏洞的綜合評級為“高?！薄Ｏ嚓P(guān)廠商已經(jīng)發(fā)布了漏洞的修補程序，請參照CNVD相關(guān)行業(yè)漏洞庫鏈接。

電信行業(yè)漏洞鏈接：http://telecom.cnvd.org.cn/

移動互聯(lián)網(wǎng)行業(yè)漏洞鏈接：http://mi.cnvd.org.cn/

工控系統(tǒng)行業(yè)漏洞鏈接：http://ics.cnvd.org.cn/

金瀚信安：CNVD漏洞周報2022年第12期10

圖7 電信行業(yè)漏洞統(tǒng)計

金瀚信安：CNVD漏洞周報2022年第12期11

圖8 移動互聯(lián)網(wǎng)行業(yè)漏洞統(tǒng)計

金瀚信安：CNVD漏洞周報2022年第12期12

圖9 工控系統(tǒng)行業(yè)漏洞統(tǒng)計

本周重要漏洞安全告警

本周，CNVD整理和發(fā)布以下重要安全漏洞信息。

1、TP-Link產(chǎn)品安全漏洞

TP-Link TL-WR886N是中國普聯(lián)公司的一款無線路由器。Tp-link TL-WR841N是一款無線路由器。TP-Link TL-WR940N是一款無線路由器。Tp-link AC1750是一款無線路由器。TP-Link Archer C1200是一款無線雙頻Gigabit路由器。TP-Link UE330 USB是端口USB3.0集線器。本周，上述產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞通過望遠鏡和光電傳感器從設(shè)備上的LED恢復(fù)語音信號，進行“螢火蟲”攻擊，使應(yīng)用程序崩潰，在root上下文中執(zhí)行代碼等。

CNVD收錄的相關(guān)漏洞包括：TP-Link TL-WR886N棧溢出漏洞(CNVD-2022-21168)、CNVD-2022-21167)、Tp-link TL-WR841N信任管理問題漏洞、TP-Link TL-WR940N緩沖區(qū)溢出漏洞、TP-Link AC1750輸入驗證錯誤漏洞、TP-Link Archer C1200跨站腳本漏洞(CNVD-2022-21173)、TP-LinkUE330 USB信息泄露漏洞、TP-Link Archer A7 AC1750命令注入漏洞。其中，除“TP-Link Archer C1200跨站腳本漏洞(CNVD-2022-21173)、TP-LinkUE330 USB信息泄露漏洞”外，其余漏洞的綜合評級為“高?！薄Ｄ壳?，廠商已經(jīng)發(fā)布了上述漏洞的修補程序。CNVD提醒用戶及時下載補丁更新，避免引發(fā)漏洞相關(guān)的網(wǎng)絡(luò)安全事件。

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-21168

https://www.cnvd.org.cn/flaw/show/CNVD-2022-21167

https://www.cnvd.org.cn/flaw/show/CNVD-2022-21171

https://www.cnvd.org.cn/flaw/show/CNVD-2022-21170

https://www.cnvd.org.cn/flaw/show/CNVD-2022-21169

https://www.cnvd.org.cn/flaw/show/CNVD-2022-21173

https://www.cnvd.org.cn/flaw/show/CNVD-2022-21172

https://www.cnvd.org.cn/flaw/show/CNVD-2022-21176

2、Adobe產(chǎn)品安全漏洞

Adobe Photoshop是美國奧多比(Adobe)公司的一套圖片處理軟件。該軟件主要用于處理圖片。Adobe After Effects是一套視覺效果和動態(tài)圖形制作軟件。Adobe Illustrator是一套基于向量的圖像制作軟件。Adobe Commerce在單一平臺上為B2B和B2C客戶構(gòu)建多渠道商務(wù)體驗。Adobe Acrobat Reader Dc是一個Pdf閱讀工具。用于可靠查看、打印和注釋Pdf文檔。本周，上述產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞導(dǎo)致當前用戶上下文中的內(nèi)存泄漏，在當前用戶的上下文中執(zhí)行任意代碼等。

CNVD收錄的相關(guān)漏洞包括：Adobe Photoshop越界讀取漏洞(CNVD-2022-22097)、AdobeAfter Effects緩沖區(qū)溢出漏洞(CNVD-2022-22096、CNVD-2022-22095、CNVD-2022-22099)、AdobeAfter Effects越界寫入漏洞(CNVD-2022-22094)、AdobeIllustrator緩沖區(qū)溢出漏洞(CNVD-2022-22098)、AdobeCommerce輸入驗證錯誤漏洞(CNVD-2022-22100)、AdobeAcrobat Reader Dc緩沖區(qū)溢出漏洞(CNVD-2022-22658)。其中，除“Adobe Photoshop越界讀取漏洞(CNVD-2022-22097)”外，其余漏洞的綜合評級為“高?！?。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補程序。CNVD提醒用戶及時下載補丁更新，避免引發(fā)漏洞相關(guān)的網(wǎng)絡(luò)安全事件。

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22097

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22096

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22095

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22094

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22099

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22098

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22100

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22658

3、Google產(chǎn)品安全漏洞

Google Android是美國谷歌(Google)公司的的一套以Linux為基礎(chǔ)的開源操作系統(tǒng)。本周，上述產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞獲取敏感信息，提升本地權(quán)限，造成應(yīng)用拒絕服務(wù)，本地權(quán)限提升等。

CNVD收錄的相關(guān)漏洞包括：Google Android權(quán)限提升漏洞(CNVD-2022-22949、CNVD-2022-22950、CNVD-2022-22953、CNVD-2022-22952、CNVD-2022-22956、CNVD-2022-22955)、Google Android信息泄露漏洞、Google Android拒絕服務(wù)漏洞。其中，“Google Android權(quán)限提升漏洞(CNVD-2022-22949、CNVD-2022-22953、CNVD-2022-22956)”的綜合評級為“高?！?。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補程序。CNVD提醒用戶及時下載補丁更新，避免引發(fā)漏洞相關(guān)的網(wǎng)絡(luò)安全事件。

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22949

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22951

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22950

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22953

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22952

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22956

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22955

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22954

4、Foxit產(chǎn)品安全漏洞

Foxit PDF Reader是中國福昕(Foxit)公司的一款PDF閱讀器。本周，上述產(chǎn)品被披露存在資源管理錯誤漏洞，攻擊者可利用漏洞在當前進程的上下文中執(zhí)行代碼。

CNVD收錄的相關(guān)漏洞包括：Foxit PDF Reader資源管理錯誤漏洞(CNVD-2022-22730、CNVD-2022-22729、CNVD-2022-22731、CNVD-2022-22734、CNVD-2022-22736、CNVD-2022-22735、CNVD-2022-22738、CNVD-2022-22740)。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補程序。CNVD提醒用戶及時下載補丁更新，避免引發(fā)漏洞相關(guān)的網(wǎng)絡(luò)安全事件。

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22730

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22729

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22731

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22734

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22736

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22735

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22738

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22740

5、TOTOLINK A3100R命令注入漏洞(CNVD-2022-21549)

Totolink A3100R是中國Totolink公司的一系列無線路由器。本周，TOTOLINK A3100R被披露存在命令注入漏洞。攻擊者可利用該漏洞發(fā)送特殊的命令數(shù)據(jù)實現(xiàn)命令注入。目前，廠商尚未發(fā)布上述漏洞的修補程序。CNVD提醒廣大用戶隨時關(guān)注廠商主頁，以獲取最新版本。

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-21549

小結(jié)：本周，TP-Link產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞通過望遠鏡和光電傳感器從設(shè)備上的LED恢復(fù)語音信號，進行“螢火蟲”攻擊，使應(yīng)用程序崩潰，在root上下文中執(zhí)行代碼等。此外，Adobe、Google、Foxit等多款產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞獲取敏感信息，提升本地權(quán)限，造成應(yīng)用拒絕服務(wù)，在當前用戶的上下文中執(zhí)行任意代碼。另外，TOTOLINK A3100R被披露存在命令注入漏洞。攻擊者可利用該漏洞發(fā)送特殊的命令數(shù)據(jù)實現(xiàn)命令注入。建議相關(guān)用戶隨時關(guān)注上述廠商主頁，及時獲取修復(fù)補丁或解決方案。

本周重要漏洞攻擊驗證情況

本周，CNVD建議注意防范以下已公開漏洞攻擊驗證情況。

1、CuppaCMS SQL注入漏洞(CNVD-2022-22322)

驗證描述

CuppaCMS是一套內(nèi)容管理系統(tǒng)(CMS)。

CuppaCMS存在SQL注入漏洞，該漏洞源于基于數(shù)據(jù)庫的應(yīng)用缺少對外部輸入SQL語句的驗證，攻擊者可利用該漏洞執(zhí)行非法SQL命令。

驗證信息

POC鏈接：

https://github.com/CuppaCMS/CuppaCMS/issues/13

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-22322

信息提供者

新華三技術(shù)有限公司

注：以上驗證信息(方法)可能帶有攻擊性，僅供安全研究之用。請廣大用戶加強對漏洞的防范工作，盡快下載相關(guān)補丁。

原文來源：CNVD漏洞平臺

您所在的位置： 首頁 > 安全研究 > 安全通告 > CNVD漏洞周報2022年第12期

您所在的位置：首頁 > 安全研究 > 安全通告 > CNVD漏洞周報2022年第12期