国产四线区芒果,9LPORM自拍视频区九色,欧美成人在线播放

您所在的位置：首頁 > 安全研究 > 安全通告 > 2022年CNVD漏洞周報第26期

2022年CNVD漏洞周報第26期

(2022年06月27日-2022年07月03日)

本周漏洞態(tài)勢研判情況

本周信息安全漏洞威脅整體評價級別為中。

國家信息安全漏洞共享平臺(以下簡稱CNVD)本周共收集、整理信息安全漏洞439個，其中高危漏洞176個、中危漏洞211個、低危漏洞52個。漏洞平均分值為6.13。本周收錄的漏洞中，涉及0day漏洞322個(占73%)，其中互聯(lián)網(wǎng)上出現(xiàn)“Prison Management System SQL注入漏洞(CNVD-2022-48389)、Sourcecodester Hospital Patient Records Management System SQL注入漏洞(CNVD-2022-48745)”等零日代碼攻擊漏洞。本周CNVD接到的涉及黨政機關(guān)和企事業(yè)單位的事件型漏洞總數(shù)6721個，與上周(8658個)環(huán)比減少22%。

金瀚信安：2022年CNVD漏洞周報第26期圖1

圖1 CNVD收錄漏洞近10周平均分值分布圖

本周漏洞事件處置情況

本周，CNVD向銀行、保險、能源等重要行業(yè)單位通報漏洞事件15起，向基礎(chǔ)電信企業(yè)通報漏洞事件24起，協(xié)調(diào)CNCERT各分中心驗證和處置涉及地方重要部門漏洞事件478起，協(xié)調(diào)教育行業(yè)應(yīng)急組織驗證和處置高?？蒲性核到y(tǒng)漏洞事件158起，向國家上級信息安全協(xié)調(diào)機構(gòu)上報涉及部委門戶、子站或直屬單位信息系統(tǒng)漏洞事件95起。

此外，CNVD通過已建立的聯(lián)系機制或涉事單位公開聯(lián)系渠道向以下單位通報了其信息系統(tǒng)或軟硬件產(chǎn)品存在的漏洞，具體處置單位情況如下所示：

珠海金山辦公軟件有限公司、浙江臻善科技股份有限公司、浙江藍聯(lián)科技股份有限公司、浙江大華技術(shù)股份有限公司、掌如科技服務(wù)有限公司、遠景能源有限公司、友訊電子設(shè)備(上海)有限公司、用友網(wǎng)絡(luò)科技股份有限公司、兄弟(中國)商業(yè)有限公司、小米科技有限責任公司、武漢中地數(shù)碼科技有限公司、武漢烽火信息集成技術(shù)有限公司、微軟(中國)有限公司、臺達電子企業(yè)管理(上海)有限公司、四平市九州易通科技有限公司、思科系統(tǒng)(中國)網(wǎng)絡(luò)技術(shù)有限公司、深圳市異度信息產(chǎn)業(yè)有限公司、深圳市唯傳科技有限公司、深圳市騰訊計算機系統(tǒng)有限公司、深圳市水務(wù)科技有限公司、深圳市水務(wù)(集團)有限公司、深圳市科圖自動化新技術(shù)有限公司、深圳市吉祥騰達科技有限公司、深圳創(chuàng)維數(shù)字技術(shù)有限公司、深信服科技股份有限公司、上海卓卓網(wǎng)絡(luò)科技有限公司、上海展盟網(wǎng)絡(luò)科技有限公司、上海商派網(wǎng)絡(luò)科技有限公司、上海浪擎信息科技有限公司、上海二三四五移動科技有限公司、山東山大華天軟件有限公司、山東金鐘科技集團股份有限公司、吉翁電子(深圳)有限公司、湖南翱云網(wǎng)絡(luò)科技有限公司、恒鋒信息科技股份有限公司、合肥圖鴨信息科技有限公司、杭州三匯信息工程有限公司、杭州三匯數(shù)字信息技術(shù)有限公司、桂林崇勝網(wǎng)絡(luò)科技有限公司、廣州中望龍騰軟件股份有限公司、廣州圖創(chuàng)計算機軟件開發(fā)有限公司、廣州酷狗計算機科技有限公司、廣州鼎成信息科技有限公司、廣聯(lián)達科技股份有限公司、烽火通信科技股份有限公司、德國倍福自動化有限公司、鄲城縣新翔軟件科技有限公司、暢捷通信息技術(shù)股份有限公司、北京中遠麒麟科技有限公司、北京中創(chuàng)視訊科技有限公司、北京云中融信網(wǎng)絡(luò)科技有限公司、北京亞控科技發(fā)展有限公司、北京星網(wǎng)銳捷網(wǎng)絡(luò)技術(shù)有限公司、北京數(shù)科網(wǎng)維技術(shù)有限責任公司、北京瑞星網(wǎng)安技術(shù)股份有限公司、北京九思協(xié)同軟件有限公司、北京國棟科技有限公司、北京辰信領(lǐng)創(chuàng)信息技術(shù)有限公司、北京寶蘭德軟件股份有限公司、北京百卓網(wǎng)絡(luò)技術(shù)有限公司、北京百度網(wǎng)訊科技有限公司、安徽省科大奧銳科技有限公司、中保科技集團、易迅軟件工作室、美團安全應(yīng)急響應(yīng)中心、萬通CMS、狂雨小說cms、華夏ERP、WordPress、WAVLINK、The Apache Software Foundation、Nginx、Linksys、JFinalOA、ImageMagick Studio LLC、Glyph & Cog, LLC、Emerson和Adobe。

本周漏洞報送情況統(tǒng)計

本周報送情況如表1所示。其中，深信服科技股份有限公司、北京神州綠盟科技有限公司、新華三技術(shù)有限公司、杭州安恒信息技術(shù)股份有限公司、北京數(shù)字觀星科技有限公司等單位報送公開收集的漏洞數(shù)量較多。上海紐盾科技股份有限公司、奇安星城網(wǎng)絡(luò)安全運營服務(wù)(長沙)有限公司、杭州默安科技有限公司、山東新潮信息技術(shù)有限公司、河南東方云盾信息技術(shù)有限公司、河南信安世紀科技有限公司、江蘇省信息安全測評中心、杭州海康威視數(shù)字技術(shù)股份有限公司、河南靈創(chuàng)電子科技有限公司、北京山石網(wǎng)科信息技術(shù)有限公司、北京云科安信科技有限公司(Seraph安全實驗室)、重慶都會信息科技、廣州安億信軟件科技有限公司、江蘇國泰新點軟件有限公司、廣州百蘊啟辰科技有限公司、山石網(wǎng)科通信技術(shù)股份有限公司、智網(wǎng)安云(武漢)信息技術(shù)有限公司、浙江木鏈物聯(lián)網(wǎng)科技有限公司、貴州泰若數(shù)字科技有限公司、思而聽網(wǎng)絡(luò)科技有限公司、北京機沃科技有限公司、江蘇耘和計算機系統(tǒng)工程有限公司及其他個人白帽子向CNVD提交了6721個以事件型漏洞為主的原創(chuàng)漏洞，其中包括斗象科技(漏洞盒子)、上海交大和奇安信網(wǎng)神(補天平臺)向CNVD共享的白帽子報送的4900條原創(chuàng)漏洞信息。

表1 漏洞報送情況統(tǒng)計表（略）

本周漏洞按類型和廠商統(tǒng)計

本周，CNVD收錄了439個漏洞。WEB應(yīng)用243個，應(yīng)用程序67個，網(wǎng)絡(luò)設(shè)備(交換機、路由器等網(wǎng)絡(luò)端設(shè)備)66個，操作系統(tǒng)39個，智能設(shè)備(物聯(lián)網(wǎng)終端設(shè)備)17個，安全產(chǎn)品5個，數(shù)據(jù)庫2個。

表2 漏洞按影響類型統(tǒng)計表

金瀚信安：2022年CNVD漏洞周報第26期表2

金瀚信安：2022年CNVD漏洞周報第26期圖2

圖2 本周漏洞按影響類型分布

CNVD整理和發(fā)布的漏洞涉及WordPress、SourceCodester、Huawei等多家廠商的產(chǎn)品，部分漏洞數(shù)量按廠商統(tǒng)計如表3所示。

表3 漏洞產(chǎn)品涉及廠商分布統(tǒng)計表

金瀚信安：2022年CNVD漏洞周報第26期表3

本周行業(yè)漏洞收錄情況

本周，CNVD收錄了48個電信行業(yè)漏洞，32個移動互聯(lián)網(wǎng)行業(yè)漏洞，1個工控行業(yè)漏洞(如下圖所示)。其中，“多款TotoLink產(chǎn)品命令注入漏洞(CNVD-2022-47968)、Google Android資源管理錯誤漏洞(CNVD-2022-47681)”等漏洞的綜合評級為“高?！薄Ｏ嚓P(guān)廠商已經(jīng)發(fā)布了漏洞的修補程序，請參照CNVD相關(guān)行業(yè)漏洞庫鏈接。

電信行業(yè)漏洞鏈接：http://telecom.cnvd.org.cn/

移動互聯(lián)網(wǎng)行業(yè)漏洞鏈接：http://mi.cnvd.org.cn/

工控系統(tǒng)行業(yè)漏洞鏈接：http://ics.cnvd.org.cn/

金瀚信安：2022年CNVD漏洞周報第26期圖3

圖3 電信行業(yè)漏洞統(tǒng)計

金瀚信安：2022年CNVD漏洞周報第26期圖4

圖4 移動互聯(lián)網(wǎng)行業(yè)漏洞統(tǒng)計

金瀚信安：2022年CNVD漏洞周報第26期圖5

圖5 工控系統(tǒng)行業(yè)漏洞統(tǒng)計

本周重要漏洞安全告警

本周，CNVD整理和發(fā)布以下重要安全漏洞信息。

1、Huawei產(chǎn)品安全漏洞

Huawei CV81-WDM FW是中國華為(Huawei)公司的一款激光多功能打印機。 HUAWEI HarmonyOS是中國華為(HUAWEI)公司的一個操作系統(tǒng)。提供一個基于微內(nèi)核的全場景分布式操作系統(tǒng)。HUAWEI EMUI and Magic UI是中國華為(HUAWEI)公司的一款基于Android開發(fā)的移動端操作系統(tǒng)。Huawei FLMG-10是中國華為(Huawei)公司的一款高端藍牙遙控音箱。本周，上述產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞獲取系統(tǒng)機密，導致拒絕服務(wù)，權(quán)限提升等。

CNVD收錄的相關(guān)漏洞包括：Huawei CV81-WDM FW拒絕服務(wù)漏洞、HUAWEI HarmonyOS代碼問題漏洞(CNVD-2022-47648、CNVD-2022-47651)、HUAWEI EMUI and Magic UI信息泄露漏洞、HUAWEI HarmonyOS資源管理錯誤漏洞(CNVD-2022-47652)、HUAWEI HarmonyOS緩沖區(qū)溢出漏洞(CNVD-2022-47650)、Huawei FLMG-10授權(quán)問題漏洞、Huawei CV81-WDM FW緩沖區(qū)溢出漏洞。其中，除“HUAWEI HarmonyOS代碼問題漏洞(CNVD-2022-47648、CNVD-2022-47651)、HUAWEI EMUI and Magic UI信息泄露漏洞”外其余漏洞的綜合評級為“高?！?。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補程序。CNVD提醒用戶及時下載補丁更新，避免引發(fā)漏洞相關(guān)的網(wǎng)絡(luò)安全事件。

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47649

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47648

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47647

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47652

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47651

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47650

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47655

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47654

2、Google產(chǎn)品安全漏洞

Google Android是美國谷歌(Google)公司的一套以Linux為基礎(chǔ)的開源操作系統(tǒng)。本周，上述產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞導致本地權(quán)限升級。

CNVD收錄的相關(guān)漏洞包括：Google Android緩沖區(qū)溢出漏洞(CNVD-2022-47668、CNVD-2022-47674、CNVD-2022-47673、CNVD-2022-47675)、Google Android權(quán)限提升漏洞(CNVD-2022-47670、CNVD-2022-47672、CNVD-2022-47680)、Google Android權(quán)限許可和訪問控制問題漏洞(CNVD-2022-47677)。上述漏洞的綜合評級為“高?！?。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補程序。CNVD提醒用戶及時下載補丁更新，避免引發(fā)漏洞相關(guān)的網(wǎng)絡(luò)安全事件。

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47668

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47670

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47674

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47673

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47672

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47677

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47675

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47680

3、Adobe產(chǎn)品安全漏洞

Adobe InDesign是美國奧多比(Adobe)公司的一套排版編輯應(yīng)用程序。Adobe Bridge是美國奧多比(Adobe)公司的一款文件查看器。本周，上述產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞在當前用戶的上下文中執(zhí)行任意代碼。

CNVD收錄的相關(guān)漏洞包括：Adobe InDesign越界寫入漏洞(CNVD-2022-48769、CNVD-2022-48767、CNVD-2022-48770、CNVD-2022-48781、CNVD-2022-48780)、Adobe InDesign堆緩沖區(qū)溢出漏洞、Adobe Bridge越界寫入漏洞(CNVD-2022-48774、CNVD-2022-48778)。上述漏洞的綜合評級為“高危”。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補程序。CNVD提醒用戶及時下載補丁更新，避免引發(fā)漏洞相關(guān)的網(wǎng)絡(luò)安全事件。

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-48769

https://www.cnvd.org.cn/flaw/show/CNVD-2022-48768

https://www.cnvd.org.cn/flaw/show/CNVD-2022-48767

https://www.cnvd.org.cn/flaw/show/CNVD-2022-48770

https://www.cnvd.org.cn/flaw/show/CNVD-2022-48774

https://www.cnvd.org.cn/flaw/show/CNVD-2022-48778

https://www.cnvd.org.cn/flaw/show/CNVD-2022-48781

https://www.cnvd.org.cn/flaw/show/CNVD-2022-48780

4、Fortinet產(chǎn)品安全漏洞

Fortinet FortiEDR是美國Fortinet公司的一個從頭開始構(gòu)建的端點安全解決方案。Fortinet FortiWan是美國Fortinet公司的一個網(wǎng)絡(luò)設(shè)備。用于在不同網(wǎng)絡(luò)之間執(zhí)行負載平衡和容錯。Fortinet FortiClient是美國Fortinet公司的一種結(jié)構(gòu)代理。用于在單個模塊化輕量級客戶端中提供保護、合規(guī)性和安全訪問。Fortinet FortiManager是一套集中化網(wǎng)絡(luò)安全管理平臺。Fortinet FortiAnalyzer是一套集中式網(wǎng)絡(luò)安全報告解決方案。Fortinet FortiPortal是FortiGate、FortiWiFi和FortiAP產(chǎn)品線的高級、功能豐富的托管安全分析和管理支持工具，可作為虛擬機供MSP使用。本周，上述產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞偽裝和偽造來自其他收集器的消息，從同一部署中的端點禁用和卸載收集器，借助特制的HTTP請求執(zhí)行未經(jīng)授權(quán)的代碼或命令等。

CNVD收錄的相關(guān)漏洞包括：Fortinet FortiEDR信任管理問題漏洞(CNVD-2022-47976、CNVD-2022-47977)、Fortinet FortiWAN SQL注入漏洞、Fortinet FortiWAN加密問題漏洞、Fortinet FortiClient for Linux信息泄露漏洞、Fortinet多款產(chǎn)品操作系統(tǒng)命令注入漏洞、Fortinet FortiWAN操作系統(tǒng)命令注入漏洞、Fortinet FortiWAN緩沖區(qū)溢出漏洞。其中，“Fortinet FortiWAN SQL注入漏洞、Fortinet多款產(chǎn)品操作系統(tǒng)命令注入漏洞、Fortinet FortiWAN操作系統(tǒng)命令注入漏洞、Fortinet FortiWAN緩沖區(qū)溢出漏洞”漏洞的綜合評級為“高?！?。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補程序。CNVD提醒用戶及時下載補丁更新，避免引發(fā)漏洞相關(guān)的網(wǎng)絡(luò)安全事件。

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47977

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47976

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47981

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47980

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47979

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47985

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47983

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47982

5、多款TotoLink產(chǎn)品命令注入漏洞(CNVD-2022-47973)

Totolink A830R/A3100R/A950RG/A800R/A3000RU/A810R等產(chǎn)品都是中國Totolink公司的路由器。本周，多款TotoLink產(chǎn)品被披露存在命令注入漏洞。攻擊者可利用該漏洞通過精心制作的請求執(zhí)行任意命令。目前，廠商尚未發(fā)布上述漏洞的修補程序。CNVD提醒廣大用戶隨時關(guān)注廠商主頁，以獲取最新版本。

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-47973

更多高危漏洞如表4所示，詳細信息可根據(jù)CNVD編號，在CNVD官網(wǎng)進行查詢。參考鏈接：http://www.cnvd.org.cn/flaw/list.htm

表4 部分重要高危漏洞列表

金瀚信安：2022年CNVD漏洞周報第26期表4

小結(jié)：本周，Huawei產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞獲取系統(tǒng)機密，導致拒絕服務(wù)，權(quán)限提升等。此外，Google、Adobe、Fortinet等多款產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞導致本地權(quán)限升級，偽裝和偽造來自其他收集器的消息，從同一部署中的端點禁用和卸載收集器，借助特制的HTTP請求執(zhí)行未經(jīng)授權(quán)的代碼或命令等。另外，多款TotoLink產(chǎn)品被披露存在命令注入漏洞。攻擊者可利用漏洞通過精心制作的請求執(zhí)行任意命令。建議相關(guān)用戶隨時關(guān)注上述廠商主頁，及時獲取修復補丁或解決方案。

來源：國家信息安全漏洞共享平臺

您所在的位置： 首頁 > 安全研究 > 安全通告 > 2022年CNVD漏洞周報第26期

您所在的位置：首頁 > 安全研究 > 安全通告 > 2022年CNVD漏洞周報第26期