当前位置:病毒专区 \ 安全预警
CNVD漏洞周报2018年第42期
新闻来源:国家互联网应急中心CNCERT
发布人:计算机安全协会
点击率:84
发布日期:2018.10.23

 2018年10月15日-2018年10月21日

国家信息安全漏洞.jpg

本周漏洞态势研判情况

本周信息安全漏洞威胁整体评价级别为

国家信息安全漏洞共享平台(以下简称CNVD)本周共收集、整理信息安全漏洞244个,其中高危漏洞101个、中危漏洞130个、低危漏洞13个。漏洞平均分值为6.36。本周收录的漏洞中,涉及0day漏洞75个(占31%),其中互联网上出现“WAGO 750-881 Ethernet Controller设备跨站脚本漏洞、WordPress插件tajer任意文件上传漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数739个,与上周(679个)环比增长 9%。

1.jpg

图1 CNVD收录漏洞近10周平均分值分布图

2.jpg

图2 CNVD 0day漏洞总数按周统计

本周漏洞事件处置情况 

本周,CNVD向基础电信企业通报漏洞事件5起,向银行、证券、保险、能源等重要行业单位通报漏洞事件24起,协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件204起,协调教育行业应急组织验证和处置高校科研院所系统漏洞事件34起,向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件20起。

3.jpg

图3 CNVD各行业漏洞处置情况按周统计

4.jpg

图4 CNCERT各分中心处置情况按周统计

5.jpg

图5 CNVD教育行业应急组织处置情况按周统计

此外,CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞,具体处置单位情况如下所示:

成都龙兵科技有限公司、金山软件股份有限公司、长沙德尚网络科技有限公司、天津国智恒北斗科技有限公司、北京费尔之盾科技有限公司、成都康菲顿特网络科技有限公司、沧州市凡诺广告传媒有限公司、杭州雄迈信息技术有限公司、上海亿速网络科技有限公司、淄博闪灵网络科技有限公司、中船重工鹏力(南京)智能装备系统有限公司、长沙翱云网络科技有限公司、中国新闻出版传媒集团有限公司、用友软件股份有限公司、中国中药有限公司、北京科维能动信息技术有限公司、中华税务信息网、中国财经网、IMA中国教育分会、中国电子学会、科龙伟特CMS、老班cms、先进制造技术研究所研究生管理办公室、12321网络不良与垃圾信息举报受理中心、PHPMyWind、扬子晚报、中国人民大学出版社、搜狗公司。

本周,CNVD发布了《Oracle发布2018年10月的安全公告》。详情参见CNVD网站公告内容。

http://www.cnvd.org.cn/webinfo/show/4717

本周漏洞报送情况统计

本周报送情况如表1所示。其中,新华三技术有限公司、蓝盾信息安全技术有限公司、哈尔滨安天科技股份有限公司、北京天融信网络安全技术有限公司、华为技术有限公司等单位报送公开收集的漏洞数量较多。山东云天安全技术有限公司、北京圣博润高新技术股份有限公司、任子行网络技术股份有限公司、远江盛邦(北京)网络安全科技股份有限公司、中新网络信息安全股份有限公司、河南信安世纪科技有限公司、山石网科通信技术有限公司、南京联成科技发展股份有限公司、北京明朝万达科技股份有限公司(安元实验室)、国家互联网应急中心研究所,北京同余科技有限公司及其他个人白帽子向CNVD提交了739个以事件型漏洞为主的原创漏洞,其中包括360网神(补天平台)和漏洞盒子向CNVD共享的白帽子报送的408条原创漏洞信息。

表1 漏洞报送情况统计表

11.jpg

本周漏洞按类型和厂商统计

本周,CNVD收录了244个漏洞。应用程序漏洞138个,网络设备漏洞39个,WEB应用漏洞36个,操作系统漏洞27个,安全产品漏洞2个,数据库漏洞2个。

表2 漏洞按影响类型统计表

22.jpg

6.jpg

图6 本周漏洞按影响类型分布

CNVD整理和发布的漏洞涉及Microsoft、Cisco、Adobe等多家厂商的产品,部分漏洞数量按厂商统计如表3所示。

表3 漏洞产品涉及厂商分布统计表

33.jpg

本周行业漏洞收录情况

本周,CNVD收录了30个电信行业漏洞,17个移动互联网行业漏洞,17个工控行业漏洞(如下图所示)。其中,“D-Link路由器httpd server目录遍历漏洞、Cisco SD-WAN证书验证安全绕过漏洞、多款Apple产品WebKit内存错误引用漏洞(CNVD-2018-20996)、NUUO CMS权限提升漏洞、LAquis SCADA越界读取漏洞”等漏洞的综合评级为“高危”。相关厂商已经发布了上述漏洞的修补程序,请参照CNVD相关行业漏洞库链接。

电信行业漏洞链接:http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接:http://mi.cnvd.org.cn/

工控系统行业漏洞链接:http://ics.cnvd.org.cn/

7.jpg

图7 电信行业漏洞统计

8.jpg

图8 移动互联网行业漏洞统计

9.jpg

图9 工控系统行业漏洞统计

本周重要漏洞安全告警

本周,CNVD整理和发布以下重要安全漏洞信息。

1、Microsoft产品安全漏洞

Microsoft C SDK for Azure IoT是一款基于C语言的,用于开发Azure IoT(物联网平台)应用程序的软件开发工具包。Edge是微软操作系统附带的默认浏览器。ChakraCore是使用在Edge中的一个开源的JavaScript引擎的核心部分,也可作为单独的JavaScript引擎使用。本周,上述产品被披露存在远程内存破坏漏洞,攻击者可利用漏洞执行任意代码。

CNVD收录的相关漏洞包括:Microsoft ChakraCore Scripting Engine远程内存破坏漏洞(CNVD-2018-21212、CNVD-2018-21236)、Microsoft Edge Chakra Scripting Engine远程内存破坏漏洞(CNVD-2018-21213、CNVD-2018-21216、CNVD-2018-21218、CNVD-2018-21219)、Microsoft Azure IoT Device Client SDK远程内存破坏漏洞、Microsoft Edge Chakra Scripting Engine远程内存破坏漏洞。上述漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21212

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21236

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21213

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21216

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21218

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21219

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21220

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21221

2、Cisco产品安全漏洞

Cisco Wireless LAN Controller(WLC)是一款无线局域网控制器产品。Cisco Identity Services Engine(ISE)是一款基于身份的环境感知平台(ISE身份服务引擎)。Cisco Webex Network Recording Player和Webex Player都是用于播放视频会议记录的播放器。Cisco vEdge 100 Series Routers等都是不同系列的路由器产品。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,绕过证书检测,提升权限,执行任意代码。

CNVD收录的相关漏洞包括:Cisco Wireless LAN Controller Software GUI权限提升漏洞、Cisco Wireless LAN Controller Software目录遍历漏洞、Cisco Wireless LAN Controller Software Control and Provisioning of Wireless Access Points Protocol信息泄露漏洞、Cisco SD-WAN证书验证安全绕过漏洞、Cisco Identity Services Engine WEB管理接口任意命令执行漏洞(CNVD-2018-21257、CNVD-2018-21258)、Cisco Webex Network Recording Player和Webex Player任意代码执行漏洞、Cisco Webex Network Recording Player和Webex Player远程代码执行漏洞。上述漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21192

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21195

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21194

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21254

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21257

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21258

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21328

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21329

3、Adobe产品安全漏洞

Adobe Acrobat是一套PDF文件编辑和转换工具,Adobe Reader是一套PDF文档阅读软件。本周,上述产品被披露存在任意代码执行漏洞,攻击者可利用漏洞执行任意代码(越界写入)。

CNVD收录的相关漏洞包括:Adobe Acrobat和Reader任意代码执行漏洞(CNVD-2018-21091、CNVD-2018-21092、CNVD-2018-21093、CNVD-2018-21094、CNVD-2018-21095、CNVD-2018-21096、CNVD-2018-21097、CNVD-2018-21098)。上述漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21091

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21092

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21093

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21094

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21095

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21096

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21097

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21098

4、Apple产品安全漏洞

Apple iOS是为移动设备所开发的一套操作系统;Safari是一款Web浏览器,是Mac OS X和iOS操作系统附带的默认浏览器。iTunes for Windows是一款基于Windows平台的媒体播放器应用程序。macOS Mojava是一套专为Mac计算机所开发的专用操作系统;tvOS是一套智能电视操作系统;watchOS是一套智能手表操作系统。本周,该产品被披露存在内存破坏和内存错误引用漏洞,攻击者可利用漏洞执行任意代码(内存破坏)。

CNVD收录的相关漏洞包括:多款Apple产品Kernel内存破坏漏洞(CNVD-2018-20992)、多款Apple产品WebKit内存错误引用漏洞(CNVD-2018-20995、CNVD-2018-20996、CNVD-2018-20997、CNVD-2018-20998、CNVD-2018-20999、CNVD-2018-21000、CNVD-2018-21001)。上述漏洞的综合评级为“高危”。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2018-20992

http://www.cnvd.org.cn/flaw/show/CNVD-2018-20995

http://www.cnvd.org.cn/flaw/show/CNVD-2018-20996

http://www.cnvd.org.cn/flaw/show/CNVD-2018-20997

http://www.cnvd.org.cn/flaw/show/CNVD-2018-20998

http://www.cnvd.org.cn/flaw/show/CNVD-2018-20999

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21000

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21001

5、Wecon PI Studio HMI和PI Studio缓冲区溢出漏洞

Wecon PI Studio HMI和PI Studio都是人机界面编程软件。。本周,Wecon PI Studio HMI 4.1.9和PI Studio被披露存在缓冲区溢出漏洞。远程攻击者可利用该漏洞执行代码。CNVD提醒广大用户随时关注厂商主页,以获取最新版本。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21172

更多高危漏洞可根据CNVD编号,在CNVD官网进行查询。参考链接:

http://www.cnvd.org.cn/flaw/list.htm

小结:本周,Microsoft被披露存在远程内存破坏漏洞,攻击者可利用漏洞执行任意代码。此外,Cisco、Adobe、Apple等多款产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,绕过证书检测,提升权限,执行任意代码(内存破坏)。另外,Wecon PI Studio HMI和PI Studio被披露存在缓冲区溢出漏洞。远程攻击者可利用该漏洞执行代码。建议相关用户随时关注上述厂商主页,及时获取修复补丁或解决方案。

本周重要漏洞攻击验证情况

本周,CNVD建议注意防范以下已公开漏洞攻击验证情况。

1、WAGO 750-881 Ethernet Controller设备跨站脚本漏洞

验证描述

WAGO 750-881 Ethernet Controller devices是德国WAGO公司的一款以太网控制器设备。

WAGO 750-881 Ethernet Controller设备01.09.18(13)及之前版本中的webserv/cplcfg/snmp.ssi文件的SNMP配置存在跨站脚本漏洞,远程攻击者可借助SNMP_DESC或SNMP_LOC_SNMP_CONT字段利用该漏洞注入任意的Web脚本或HTML。

验证信息

POC链接:

https://www.exploit-db.com/exploits/45581/

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2018-21245

信息提供者

恒安嘉新(北京)科技股份公司

 

上一篇:每周移动恶意程序传播渠道安全监测报告 (2018年10月15日—10月21日)
下一篇:2018年9月|我国DDoS攻击资源月度分析报告
【打印此页】【返回顶部】【关闭本页】
宁波市计算机信息网络安全协会   版权所有 2011-2016   ICP备案号:浙ICP备06028402号   网站维护商:宁波公众
联系电话:0574-87815766/87815706    传真:0574-87815706
EMAIL:nbaqxh@163.com