当前位置:病毒专区 \ 安全预警
CNVD漏洞周报2018年第47期
新闻来源:国家互联网应急中心CNCERT
发布人:计算机安全协会
点击率:38
发布日期:2018.12.05

 2018年11月19日-2018年11月25日

国家信息安全漏洞.jpg

本周漏洞态势研判情况

本周信息安全漏洞威胁整体评价级别为中。

国家信息安全漏洞共享平台(以下简称CNVD)本周共收集、整理信息安全漏洞153个,其中高危漏洞61个、中危漏洞82个、低危漏洞10个。漏洞平均分值为6.27。本周收录的漏洞中,涉及0day漏洞38个(占25%),其中互联网上出现“WordPress TemplateOne Themes Dubicars Database Backup信息泄露漏洞、Budabot拒绝服务漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数1352个,与上周(1289个)环比增长5%。

1.jpg

图1 CNVD收录漏洞近10周平均分值分布图

2.jpg

图2 CNVD 0day漏洞总数按周统计

本周漏洞事件处置情况

本周,CNVD向基础电信企业通报漏洞事件3起,向银行、证券、保险、能源等重要行业单位通报漏洞事件27起,协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件179起,协调教育行业应急组织验证和处置高校科研院所系统漏洞事件66起,向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件20起。

3.jpg

图3 CNVD各行业漏洞处置情况按周统计

4.jpg

 图4 CNCERT各分中心处置情况按周统计

5.jpg

图5 CNVD教育行业应急组织处置情况按周统计

此外,CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞,具体处置单位情况如下所示:

金山软件股份有限公司、杭州雄迈信息技术有限公司、长沙米拓信息技术有限公司、北京海腾时代科技有限公司、北京江民新科技术有限公司、深圳市图美电子技术有限公司、福州网钛软件科技有限公司、东莞市东域信息技术有限公司、南京同享网络科技有限公司、随州博强网络科技有限公司、深圳市中网互联网络科技开发有限公司、上海商创网络科技有限公司、大聪网络科技公司、杭州精英在线教育科技股份有限公司、上海智休信息科技有限公司、沧州市凡诺广告传媒有限公司、成都蜀美网络技术有限公司、金华市宁志网络科技有限公司、北京五指互联科技有限公司、青岛易软天创网络科技有限公司、中控太科(上海)电子科技有限公司、镇江市云优网络科技有限公司、联想集团、石家庄博士德软件科技开发有限公司、深圳市锟铻科技有限公司、济南华阳久泰信息技术有限公司、GNOME、微赞CMS、Phpcms、老班CMS。

本周漏洞报送情况统计

本周报送情况如表1所示。其中,哈尔滨安天科技股份有限公司、华为技术有限公司、北京天融信网络安全技术有限公司、新华三技术有限公司、中国电信集团系统集成有限责任公司等单位报送公开收集的漏洞数量较多。山东云天安全技术有限公司、远江盛邦(北京)网络安全科技股份有限公司、北京圣博润高新技术股份有限公司、北京信联科汇科技有限公司、中新网络信息安全股份有限公司、安徽锋刃信息科技有限公司、北京国舜科技股份有限公司、广州竞远安全技术股份有限公司、河南信安世纪科技有限公司、山石网科通信技术有限公司及其他个人白帽子向CNVD提交了1352个以事件型漏洞为主的原创漏洞,其中包括360网神(补天平台)和漏洞盒子向CNVD共享的白帽子报送的910条原创漏洞信息。

表1 漏洞报送情况统计表

b1.jpg

本周漏洞按类型和厂商统计

本周,CNVD收录了153个漏洞。应用程序漏洞119个,网络设备漏洞18个,WEB应用漏洞11个,操作系统漏洞4个,数据库漏洞1个。

表2 漏洞按影响类型统计表

b2.jpg

6.jpg

图6 本周漏洞按影响类型分布

CNVD整理和发布的漏洞涉及IBM、Foxit、Google等多家厂商的产品,部分漏洞数量按厂商统计如表3所示。

表3 漏洞产品涉及厂商分布统计表

b3.jpg

本周行业漏洞收录情况

本周,CNVD收录了9个电信行业漏洞,11个移动互联网行业漏洞,1个工控行业漏洞(如下图所示)。其中,“Novell NetWare栈缓冲区溢出漏洞、Cisco NX-OS拒绝服务漏洞(CNVD-2018-23894)、TP-Link TL-R600VPN HTTP Server缓冲区溢出漏洞、Open-Xchange OX App Suite readerengine组件目录遍历漏洞、Siemens SIMATIC S7-400输入验证漏洞”等漏洞的综合评级为“高危”。相关厂商已经发布了上述漏洞的修补程序,请参照CNVD相关行业漏洞库链接。

电信行业漏洞链接:http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接:http://mi.cnvd.org.cn/

工控系统行业漏洞链接:http://ics.cnvd.org.cn/

7.jpg

图7 电信行业漏洞统计

8.jpg

图8 移动互联网行业漏洞统计

9.jpg

图9 工控系统行业漏洞统计

本周重要漏洞安全告警

本周,CNVD整理和发布以下重要安全漏洞信息。

1、IBM产品安全漏洞

IBM API Connect(又名APIConnect)是一套用于管理API生命周期的集成解决方案。IBM WebSphere MQ是一款消息传递中间件产品。IBM WebSphere Portal是构建和管理Web门户的企业软件。其提供对Web内容和应用程序的访问,同时为用户提供个性化体验。IBM Rational Engineering Lifecycle Manager可视化、分析及组织工程生命周期数据和数据关系。IBM Security Key Lifecycle Manager使加密密钥管理流程集中化、简化和自动化,帮助最大限度降低加密密钥管理的风险和运营成本。IBM OpenPages GRC Platform是一套用于管理企业风险和合规性的平台。IBM Cloud Private是一套企业私有云解决方案。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,执行恶意的命令,发起拒绝服务攻击等。

CNVD收录的相关漏洞包括:IBM API Connect CSV注入漏洞、IBM WebSphere MQ拒绝服务漏洞(CNVD-2018-23884)、IBM WebSphere Portal开放重定向漏洞(CNVD-2018-23906)、IBM Rational Engineering Lifecycle Manager XML外部实体注入漏洞、IBM Security Key Lifecycle Manager认证缺失漏洞、IBM Security Key Lifecycle Manager不当认证漏洞、IBM OpenPages GRC Platform信息泄露漏洞(CNVD-2018-23915)、IBM Cloud Private信息泄露漏洞。其中,除“IBM WebSphere MQ拒绝服务漏洞(CNVD-2018-23884)、IBM OpenPages GRC Platform信息泄露漏洞(CNVD-2018-23915)”外,其余漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23883

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23884

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23906

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23908

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23911

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23912

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23915

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23916

2、Foxit产品安全漏洞

Foxit Reader for Windows是一款基于Windows平台的PDF文档阅读器。Foxit PhantomPDF for Windows是它的商业版。本周,上述产品被披露存在内存错误引用漏洞,攻击者可利用漏洞在当前进程的上下文中执行代码。

CNVD收录的相关漏洞包括:Foxit Reader和Foxit PhantomPDF for Windows内存错误引用漏洞(CNVD-2018-23724、CNVD-2018-23722、CNVD-2018-23723、CNVD-2018-23725、CNVD-2018-23726、CNVD-2018-23727、CNVD-2018-23729、CNVD-2018-23730)。上述漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23724

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23722

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23723

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23725

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23726

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23727

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23729

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23730

3、Google产品安全漏洞

Google Chrome是一款Web浏览器。Android是美国谷歌(Google)公司和开放手持设备联盟(简称OHA)共同开发的一套以Linux为基础的开源操作系统。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,提升权限,执行任意代码或发起拒绝服务攻击等。

CNVD收录的相关漏洞包括:Google Android wcd_cpe_core内存错误引用漏洞、Google Android MDSS驱动程序拒绝服务漏洞、Google Android Kernel拒绝服务漏洞、Google Chrome GPU拒绝服务漏洞、Google gVisor权限提升漏洞、Google Monorail跨站点搜索漏洞(CNVD-2018-23925、CNVD-2018-23926、CNVD-2018-23927)。其中,“IBM Rational Quality Manager权限提升漏洞”的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23866

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23874

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23875

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23910

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23920

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23925

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23926

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23927

4、Microsoft产品安全漏洞

Microsoft Excel是一款电子表格处理软件。Microsoft Team Foundation Server是一套应用程序生命周期管理(ALM)工具套件中的源代码管理、项目管理和团队协作平台。Microsoft Outlook是一款Office套件中所捆绑的电子邮件客户端软件。Microsoft Word是一款文字处理软件。Microsoft Windows 7 SP1是一套个人电脑使用的操作系统。Windows Server 2008 R2 SP1是一套服务器操作系统。Internet Explorer(IE)是其中的一款Windows系统附带的浏览器。Bing Places for Business是一个Bing门户网站,让本地企业主在Bing上为他们的业务添加一个列表。本周,该产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,执行任意代码,破坏内存等。

CNVD收录的相关漏洞包括:Microsoft BingPlaces - TrackEmailOpen (url)开放重定向漏洞、Microsoft Excel远程代码执行漏洞(CNVD-2018-23749)、Microsoft Team Foundation Server跨站脚本漏洞、Microsoft Word远程代码执行漏洞(CNVD-2018-23753)、Microsoft Outlook信息泄露漏洞(CNVD-2018-23750、CNVD-2018-23751)、Microsoft Internet Explorer信息泄露漏洞(CNVD-2018-23919)、Microsoft Internet Explorer远程内存破坏漏洞(CNVD-2018-23924)。其中,“Microsoft Excel远程代码执行漏洞(CNVD-2018-23749)、Microsoft Word远程代码执行漏洞(CNVD-2018-23753)、Microsoft Internet Explorer远程内存破坏漏洞(CNVD-2018-23924)”的综合评级为“高危”。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23623

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23749

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23752

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23753

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23750

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23751

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23919

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23924

5、Dell EMC ESRS Policy Manager远程代码执行漏洞

Dell EMC ESRS是戴尔公司一款安全远程支持服务程序,Policy Manager可以为客户端管理的设备设置权限。本周,Dell EMC ESRS Policy Manager被披露存在远程代码执行漏洞。攻击者可利用该漏洞在受影响应用程序中执行任意代码,失败的攻击会造成拒绝服务。CNVD提醒广大用户随时关注厂商主页,以获取最新版本。

参考链接:http://www.cnvd.org.cn/flaw/show/CNVD-2018-23922

更多高危漏洞可根据CNVD编号,在CNVD官网进行查询。参考链接:

http://www.cnvd.org.cn/flaw/list.htm

小结:本周,IBM被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,执行恶意的命令,发起拒绝服务攻击等。此外,Foxit、Google、Microsoft等多款产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,提升权限,执行任意代码,破坏内存或发起拒绝服务攻击等。另外,Dell EMC ESRS Policy Manager被披露存在远程代码执行漏洞。攻击者可利用该漏洞在受影响应用程序中执行任意代码,失败的攻击会造成拒绝服务。建议相关用户随时关注上述厂商主页,及时获取修复补丁或解决方案。

本周重要漏洞攻击验证情况

本周,CNVD建议注意防范以下已公开漏洞攻击验证情况。

1、WordPress TemplateOne Themes Dubicars Database Backup信息泄露漏洞

验证描述

WordPress是WordPress软件基金会的一套使用PHP语言开发的博客平台,该平台支持在PHP和MySQL的服务器上架设个人博客网站。

WordPress TemplateOne Themes Dubicars Database Backup存在信息泄露漏洞。攻击者可利用漏洞获敏感信息。

验证信息

POC链接:

https://www.exploitalert.com/view-details.html?id=31482

参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2018-23625

信息提供者

CNVD工作组

 

 

 

上一篇:每周移动恶意程序传播渠道安全监测报告 (2018年11月26日—12月02日)
下一篇:网络安全信息与动态周报2018年第47期(11月19日—11月25日)
【打印此页】【返回顶部】【关闭本页】
宁波市计算机信息网络安全协会   版权所有 2011-2016   ICP备案号:浙ICP备06028402号   网站维护商:宁波公众
联系电话:0574-87815766/87815706    传真:0574-87815706
EMAIL:nbaqxh@163.com