信息安全測評中心 2022 年 7 月 24 日
根據(jù)國家信息安全漏洞庫(CNNVD)統(tǒng)計(jì)，本周(2022年7月18日至2022年7月24日)安全漏洞情況如下：
公開漏洞情況
本周CNNVD采集安全漏洞533個。
接報(bào)漏洞情況
本周CNNVD接報(bào)漏洞3462個，其中信息技術(shù)產(chǎn)品漏洞(通用型漏洞)59個，網(wǎng)絡(luò)信息系統(tǒng)漏洞(事件型漏洞)94個，漏洞平臺推送漏洞3309個。
一、公開漏洞情況
根據(jù)國家信息安全漏洞庫(CNNVD)統(tǒng)計(jì)，本周新增安全漏洞533個，漏洞新增數(shù)量有所下降。從廠商分布來看Oracle公司新增漏洞最多，有82個;從漏洞類型來看，輸入驗(yàn)證錯誤類的安全漏洞占比最大，達(dá)到15.20%。新增漏洞中，超危漏洞39個，高危漏洞146個，中危漏洞307個，低危漏洞41個。相應(yīng)修復(fù)率分別為48.72%、87.67%、88.27%和92.68%。根據(jù)補(bǔ)丁信息統(tǒng)計(jì)，合計(jì)456個漏洞已有修復(fù)補(bǔ)丁發(fā)布，整體修復(fù)率為85.55%。
(一) 安全漏洞增長數(shù)量情況
本周CNNVD采集安全漏洞533個。
圖1 近五周漏洞新增數(shù)量統(tǒng)計(jì)圖
(二) 安全漏洞分布情況
從廠商分布來看，Oracle公司新增漏洞最多，有82個。各廠商漏洞數(shù)量分布如表1所示。
表1 新增安全漏洞排名前五廠商統(tǒng)計(jì)表
本周國內(nèi)廠商漏洞52個，中國福昕公司漏洞數(shù)量最多，有18個。國內(nèi)廠商漏洞整體修復(fù)率為55.36%。請受影響用戶關(guān)注廠商修復(fù)情況，及時下載補(bǔ)丁修復(fù)漏洞。
從漏洞類型來看, 輸入驗(yàn)證錯誤類的安全漏洞占比最大，達(dá)到15.20%。漏洞類型統(tǒng)計(jì)如表3所示。
表2 漏洞類型統(tǒng)計(jì)表
(三) 安全漏洞危害等級與修復(fù)情況
本周共發(fā)布超危漏洞39個，高危漏洞146個，中危漏洞307個，低危漏洞41個。相應(yīng)修復(fù)率分別為48.72%、87.67%、88.27%和92.68%。根據(jù)補(bǔ)丁信息統(tǒng)計(jì)，合計(jì)456個漏洞已有修復(fù)補(bǔ)丁發(fā)布，整體修復(fù)率為85.55%。詳細(xì)情況如表3所示。
表3 漏洞危害等級與修復(fù)情況
(四) 本周重要漏洞實(shí)例
本周重要漏洞實(shí)例如表4所示。
表4 本期重要漏洞實(shí)例
1.Apache CloudStack 安全漏洞(CNNVD-202207-1492)
Apache CloudStack是美國阿帕奇(Apache)基金會的一套基礎(chǔ)架構(gòu)即服務(wù)(IaaS)云計(jì)算平臺。該平臺主要用于部署和管理大型虛擬機(jī)網(wǎng)絡(luò)。
Apache CloudStack 4.5.0 及更高版本存在安全漏洞。攻擊者利用該漏洞可進(jìn)行XML外部實(shí)體(XXE)注入攻擊。
目前廠商已發(fā)布升級補(bǔ)丁以修復(fù)漏洞，補(bǔ)丁獲取鏈接：
https://lists.apache.org/thread/hwhxvtwp1d5dsm156bsf1cnyvtmrfv3f
2. Cisco Nexus Dashboard 安全漏洞(CNNVD-202207-2120)
Cisco Nexus Dashboard是美國思科(Cisco)公司的一個單一控制臺，能夠簡化數(shù)據(jù)中心網(wǎng)絡(luò)的運(yùn)營和管理。
Cisco Nexus Dashboard 存在安全漏洞。未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者利用該漏洞可以對受影響的設(shè)備進(jìn)行跨站點(diǎn)請求偽造 (CSRF) 攻擊。
目前廠商已發(fā)布升級補(bǔ)丁以修復(fù)漏洞，補(bǔ)丁獲取鏈接：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ndb-mhcvuln-vpsBPJ9y
3. Oracle Fusion Middleware 輸入驗(yàn)證錯誤漏洞(CNNVD-202207-1598)
Oracle Fusion Middleware(Oracle融合中間件)是美國甲骨文(Oracle)公司的一套面向企業(yè)和云環(huán)境的業(yè)務(wù)創(chuàng)新平臺。該平臺提供了中間件、軟件集合等功能。
Oracle SOA Suite(component: Fabric Layer) 12.2.1.3.0版本和12.2.1.4.0版本存在輸入驗(yàn)證錯誤漏洞，攻擊者利用該漏洞可通過HTTP訪問網(wǎng)絡(luò)，從而獲取關(guān)鍵數(shù)據(jù)，并對其進(jìn)行創(chuàng)建、刪除或修改操作。
目前廠商已發(fā)布升級補(bǔ)丁以修復(fù)漏洞，補(bǔ)丁獲取鏈接：
https://www.oracle.com/security-alerts/cpujul2022.html
二、漏洞平臺推送情況
本周漏洞平臺推送漏洞3309個。
三、接報(bào)漏洞情況
本周CNNVD接報(bào)漏洞153個，其中信息技術(shù)產(chǎn)品漏洞(通用型漏洞)59個，網(wǎng)絡(luò)信息系統(tǒng)漏洞(事件型漏洞)94個。
表 5 本周漏洞報(bào)送情況（略）
四、接報(bào)漏洞通報(bào)情況
本周CNNVD接報(bào)漏洞通報(bào)118份。（詳情略）
來源：國家信息安全漏洞庫
