(2022年07月25日-2022年07月31日)
本周漏洞態(tài)勢研判情況
本周信息安全漏洞威脅整體評價級別為中。
國家信息安全漏洞共享平臺(以下簡稱CNVD)本周共收集、整理信息安全漏洞622個，其中高危漏洞181個、中危漏洞243個、低危漏洞198個。漏洞平均分值為5.14。本周收錄的漏洞中，涉及0day漏洞470個(占76%)，其中互聯(lián)網(wǎng)上出現(xiàn)“Rescue Dispatch Management System SQL注入漏洞(CNVD-2022-53913)、TOTOLINK EX1200T命令注入漏洞”等零日代碼攻擊漏洞。本周CNVD接到的涉及黨政機關(guān)和企事業(yè)單位的事件型漏洞總數(shù)7660個，與上周(10876個)環(huán)比減少30%。
圖1 CNVD收錄漏洞近10周平均分值分布圖
本周漏洞事件處置情況
本周，CNVD向銀行、保險、能源等重要行業(yè)單位通報漏洞事件28起，向基礎(chǔ)電信企業(yè)通報漏洞事件8起，協(xié)調(diào)CNCERT各分中心驗證和處置涉及地方重要部門漏洞事件311起，協(xié)調(diào)教育行業(yè)應(yīng)急組織驗證和處置高?？蒲性核到y(tǒng)漏洞事件70起，向國家上級信息安全協(xié)調(diào)機構(gòu)上報涉及部委門戶、子站或直屬單位信息系統(tǒng)漏洞事件50起。
此外，CNVD通過已建立的聯(lián)系機制或涉事單位公開聯(lián)系渠道向以下單位通報了其信息系統(tǒng)或軟硬件產(chǎn)品存在的漏洞，具體處置單位情況如下所示：（略）
本周漏洞報送情況統(tǒng)計
本周報送情況如表1所示。其中，新華三技術(shù)有限公司、深信服科技股份有限公司、北京啟明星辰信息安全技術(shù)有限公司、安天科技集團股份有限公司、恒安嘉新(北京)科技股份公司等單位報送公開收集的漏洞數(shù)量較多。北京華順信安科技有限公司、杭州默安科技有限公司、山東新潮信息技術(shù)有限公司、河南東方云盾信息技術(shù)有限公司、山石網(wǎng)科通信技術(shù)股份有限公司、河南信安世紀科技有限公司、河南靈創(chuàng)電子科技有限公司、北京冠程科技有限公司、西安交大捷普網(wǎng)絡(luò)科技有限公司、蘇州棱鏡七彩信息科技有限公司、北京安帝科技有限公司、重慶都會信息科技有限公司、長春嘉誠信息技術(shù)股份有限公司、廣州易東信息安全技術(shù)有限公司、中國煙草總公司湖北省公司、湖北珞格科技發(fā)展有限公司、任子行網(wǎng)絡(luò)技術(shù)股份有限公司、北京安盟信息技術(shù)股份有限公司、貴州泰若數(shù)字科技有限公司、廣州安億信軟件科技有限公司、墨菲未來科技(北京)有限公司、北京山石網(wǎng)科信息技術(shù)有限公司、博智安全科技股份有限公司、南瑞集團公司(國網(wǎng)電力科學(xué)研究院)、江蘇國泰新點軟件有限公司、北京賽博網(wǎng)安科技有限責(zé)任公司、上海紐盾科技股份有限公司、奇安星城網(wǎng)絡(luò)安全運營服務(wù)(長沙)有限公司、中國銀行及其他個人白帽子向CNVD提交了7660個以事件型漏洞為主的原創(chuàng)漏洞，其中包括奇安信網(wǎng)神(補天平臺)、斗象科技(漏洞盒子)、三六零數(shù)字安全科技集團有限公司和上海交大向CNVD共享的白帽子報送的6091條原創(chuàng)漏洞信息。
表1 漏洞報送情況統(tǒng)計表（略）
本周漏洞按類型和廠商統(tǒng)計
本周，CNVD收錄了622個漏洞。應(yīng)用程序234個，WEB應(yīng)用230個，網(wǎng)絡(luò)設(shè)備(交換機、路由器等網(wǎng)絡(luò)端設(shè)備)86個，操作系統(tǒng)49個，數(shù)據(jù)庫14個，安全產(chǎn)品5個，智能設(shè)備(物聯(lián)網(wǎng)終端設(shè)備)4個。
表2 漏洞按影響類型統(tǒng)計表
圖2 本周漏洞按影響類型分布
CNVD整理和發(fā)布的漏洞涉及Carlo Montero、Google、TOTOLINK等多家廠商的產(chǎn)品，部分漏洞數(shù)量按廠商統(tǒng)計如表3所示。
表3 漏洞產(chǎn)品涉及廠商分布統(tǒng)計表
本周行業(yè)漏洞收錄情況
本周，CNVD收錄了63個電信行業(yè)漏洞，55個移動互聯(lián)網(wǎng)行業(yè)漏洞，3個工控行業(yè)漏洞(如下圖所示)。其中，“Google Android緩沖區(qū)溢出漏洞(CNVD-2022-53367)、TOTOLINK N600R命令注入漏洞(CNVD-2022-53559)”等漏洞的綜合評級為“高?！薄Ｏ嚓P(guān)廠商已經(jīng)發(fā)布了漏洞的修補程序，請參照CNVD相關(guān)行業(yè)漏洞庫鏈接。
電信行業(yè)漏洞鏈接：http://telecom.cnvd.org.cn/
移動互聯(lián)網(wǎng)行業(yè)漏洞鏈接：http://mi.cnvd.org.cn/
工控系統(tǒng)行業(yè)漏洞鏈接：http://ics.cnvd.org.cn/
圖3 電信行業(yè)漏洞統(tǒng)計
圖4 移動互聯(lián)網(wǎng)行業(yè)漏洞統(tǒng)計
圖5 工控系統(tǒng)行業(yè)漏洞統(tǒng)計
本周重要漏洞安全告警
本周，CNVD整理和發(fā)布以下重要安全漏洞信息。
1、Google產(chǎn)品安全漏洞
Google Android是美國谷歌(Google)公司的一套以Linux為基礎(chǔ)的開源操作系統(tǒng)。本周，上述產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞獲取敏感信息，使用解析代碼中的錯誤來遠程使調(diào)制解調(diào)器崩潰，導(dǎo)致遠程權(quán)限提升等。
CNVD收錄的相關(guān)漏洞包括：Google Android越界讀取漏洞(CNVD-2022-53368、CNVD-2022-53384)、Google Android緩沖區(qū)溢出漏洞(CNVD-2022-53367)、Google Android越界寫入漏洞(CNVD-2022-53369、CNVD-2022-53385)、Google Android信息泄露漏洞(CNVD-2022-53372、CNVD-2022-53381、CNVD-2022-53380)。其中， “Google Android越界讀取漏洞(CNVD-2022-53368)、Google Android緩沖區(qū)溢出漏洞(CNVD-2022-53367)、Google Android越界寫入漏洞(CNVD-2022-53369、CNVD-2022-53385)”的綜合評級為“高危”。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補程序。CNVD提醒用戶及時下載補丁更新，避免引發(fā)漏洞相關(guān)的網(wǎng)絡(luò)安全事件。
參考鏈接：
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53368
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53367
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53369
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53372
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53381
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53380
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53384
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53385
2、Cybozu產(chǎn)品安全漏洞
Cybozu Garoon是日本才望子(Cybozu)公司的一套門戶型OA辦公系統(tǒng)。該系統(tǒng)提供門戶、E-mail、書簽、日程安排、公告欄、文件管理等功能。本周，上述產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞獲取敏感信息，禁用添加類別，更改數(shù)據(jù)，并在用戶瀏覽器中在易受攻擊的網(wǎng)站上下文中執(zhí)行任意HTML和腳本代碼等。
CNVD收錄的相關(guān)漏洞包括：Cybozu Garoon授權(quán)問題漏洞(CNVD-2022-53804、CNVD-2022-54300、CNVD-2022-54304)、Cybozu Garoon輸入驗證錯誤漏洞(CNVD-2022-53806、CNVD-2022-54301、CNVD-2022-54303)、Cybozu Garoon操作限制繞過漏洞(CNVD-2022-54299)、Cybozu Garoon跨站腳本漏洞(CNVD-2022-54343)。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補程序。CNVD提醒用戶及時下載補丁更新，避免引發(fā)漏洞相關(guān)的網(wǎng)絡(luò)安全事件。
參考鏈接：
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53804
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53806
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54299
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54301
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54300
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54303
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54304
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54343
3、Huawei產(chǎn)品安全漏洞
Huawei HarmonyOS是中國華為(Huawei)公司的一個操作系統(tǒng)。提供一個基于微內(nèi)核的全場景分布式操作系統(tǒng)。Huawei Emui是中國Huawei公司的一款基于Android開發(fā)的移動端操作系統(tǒng)。Honor Magic Ui是中國Honor公司的一款基于Android開發(fā)的移動端操作系統(tǒng)。本周，上述產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞提交特殊的請求，越界訪問，進行拒絕服務(wù)攻擊等。
CNVD收錄的相關(guān)漏洞包括：Huawei HarmonyOS拒絕服務(wù)漏洞(CNVD-2022-53575、CNVD-2022-53574)、Huawei HarmonyOS資源管理錯誤漏洞(CNVD-2022-53578、CNVD-2022-53579)、Huawei HarmonyOS權(quán)限控制錯誤漏洞、Huawei HarmonyOS拒絕服務(wù)漏洞(CNVD-2022-53576)、Huawei Emui和Honor Magic Ui緩沖區(qū)溢出漏洞、Huawei EMUI輸入驗證拒絕服務(wù)漏洞。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補程序。CNVD提醒用戶及時下載補丁更新，避免引發(fā)漏洞相關(guān)的網(wǎng)絡(luò)安全事件。
參考鏈接：
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53575
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53574
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53578
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53577
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53576
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53581
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53580
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53579
4、Oracle產(chǎn)品安全漏洞
Oracle MySQL Server是美國甲骨文(Oracle)公司的一款關(guān)系型數(shù)據(jù)庫。本周，上述產(chǎn)品被披露存在拒絕服務(wù)漏洞，攻擊者可利用漏洞通過多種協(xié)議訪問網(wǎng)絡(luò)破壞MySQL Server，進而導(dǎo)致MySQL Server掛起或頻繁重復(fù)崩潰(完全拒絕服務(wù))。
CNVD收錄的相關(guān)漏洞包括：Oracle MySQL Server拒絕服務(wù)漏洞(CNVD-2022-54312、CNVD-2022-54311、CNVD-2022-54310、CNVD-2022-54313、CNVD-2022-54315、CNVD-2022-54314、CNVD-2022-54317、CNVD-2022-54316)。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補程序。CNVD提醒用戶及時下載補丁更新，避免引發(fā)漏洞相關(guān)的網(wǎng)絡(luò)安全事件。
參考鏈接：
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54312
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54311
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54310
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54313
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54315
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54314
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54317
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54316
5、Apache HTTP Server輸入驗證錯誤漏洞
Apache HTTP Server是美國阿帕奇(Apache)基金會的一款開源網(wǎng)頁服務(wù)器。該服務(wù)器具有快速、可靠且可通過簡單的API進行擴充的特點。本周，Apache HTTP Server被披露存在輸入驗證錯誤漏洞，該漏洞源于對調(diào)用r：parsebody(0)的lua腳本的惡意請求輸入未能限制，攻擊者利用該漏洞導(dǎo)致拒絕服務(wù)。目前，廠商尚未發(fā)布上述漏洞的修補程序。CNVD提醒廣大用戶隨時關(guān)注廠商主頁，以獲取最新版本。
參考鏈接：
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53584
更多高危漏洞如表4所示，詳細信息可根據(jù)CNVD編號，在CNVD官網(wǎng)進行查詢。參考鏈接：http://www.cnvd.org.cn/flaw/list.htm
表4 部分重要高危漏洞列表
小結(jié)：本周，Google產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞獲取敏感信息，使用解析代碼中的錯誤來遠程使調(diào)制解調(diào)器崩潰，導(dǎo)致遠程權(quán)限提升等。此外，Cybozu、Huawei、Oracle等多款產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞獲取敏感信息，禁用添加類別，更改數(shù)據(jù)，并在用戶瀏覽器中在易受攻擊的網(wǎng)站上下文中執(zhí)行任意HTML和腳本代碼，進行拒絕服務(wù)攻擊等。另外，Apache HTTP Server被披露存在輸入驗證錯誤漏洞，攻擊者利用該漏洞導(dǎo)致拒絕服務(wù)。建議相關(guān)用戶隨時關(guān)注上述廠商主頁，及時獲取修復(fù)補丁或解決方案。
(編輯：CNVD)
來源：國家信息安全漏洞共享平臺
