2020年12月21日-2020年12月27日
本周漏洞态势研判情况
国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞298个，其中高危漏洞117个、中危漏洞128个、低危漏洞53个。漏洞平均分值为5.88。本周收录的漏洞中，涉及0day漏洞165个（占55%），其中互联网上出现“Mitel ShoreTel conferencing component跨站脚本漏洞、CloudBees Jenkins Dependency Graph Viewer插件跨站脚本漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数11489个，与上周（12185个）环比减少6%。
图2 CNVD 0day漏洞总数按周统计
本周，CNVD向银行、保险、能源等重要行业单位通报漏洞事件25起，向基础电信企业通报漏洞事件5起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件415起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件75起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件33起。
图3 CNVD各行业漏洞处置情况按周统计
图4 CNCERT各分中心处置情况按周统计
图5 CNVD教育行业应急组织处置情况按周统计
此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：
杭州伊柯夫科技有限公司、北京爱迪科森教育科技股份有限公司、上海亿速网络科技有限公司、四川清和科技有限公司、罗克韦尔自动化（中国）有限公司、南京酷奇信息科技有限公司、上海格诗网络科技有限公司、北京猎豹网络科技有限公司、四川万博教育软件股份有限公司、上海讯有信息科技有限公司、常州文庭软件有限公司、深圳点猫科技有限公司、益盟股份有限公司、广东大比特资讯广告发展有限公司、北京多点在线科技有限公司、北京神奇像素科技有限公司、天津时光印记文化传播有限公司、深圳昱途网络科技有限公司、北京坤豆科技有限公司、华安证券股份有限公司、武汉华中数控股份有限公司、广州红帆科技有限公司、深圳维盟科技股份有限公司、北京江伟时代科技有限公司、北京欧倍尔软件技术开发有限公司、杭州默安科技有限公司、北京致远互联软件股份有限公司、金蝶软件（中国）有限公司、上海纵之格科技有限公司、淄博闪灵网络科技有限公司、宿州市涛盛网络科技有限公司、世纪星网络信息服务有限公司、深圳市蓝凌软件股份有限公司、中科软股教育科技（北京）股份有限公司、湖南翱云网络科技有限公司、苏州汇川技术有限公司、广州易城网络科技股份有限公司、帆软软件有限公司、广州市国万电子科技有限公司、广州联雅网络科技有限公司、北京网易有道计算机系统有限公司、南京科远自动化集团股份有限公司、山西龙采科技有限公司阳泉分公司、北京瑞星网安技术股份有限公司、深圳市常青藤软件科技有限公司、金蝶国际软件集团有限公司、上海商派网络科技有限公司、小船出海教育科技（北京）有限公司、广州中望龙腾软件股份有限公司、中电鸿信信息科技有限公司、深圳市爱思软件技术有限公司、成都飞鱼星科技股份有限公司、浙江大华技术股份有限公司、安徽小皮教育科技有限公司、南京千目信息科技有限公司、广州图创计算机软件开发有限公司、南京大众书网图书文化有限公司、北京百合小两口信息技术有限公司上海分公司、河北白晶环境科技有限公司、厦门科拓通讯技术股份有限公司、广州网易计算机系统有限公司、深圳市爱德数智科技股份有限公司、四川思途智旅软件有限公司、北京世纪飞育软件有限责任公司、北京猿力教育科技有限公司、安徽康海时代科技股份有限公司、武汉木仓科技股份有限公司、施耐德电气、米酷资源网、北京引领盛世网络科技发展中心、若依、Python软件基金会、、DedeBIZ、MayiCMS、UQCMS、Catfishcms、UCMS、Check Point Software Technologies、zzzcms、Hancom。
本周报送情况如表1所示。其中，北京天融信网络安全技术有限公司、哈尔滨安天科技集团股份有限公司、厦门服云信息科技有限公司、北京神州绿盟科技有限公司、中国电信集团系统集成有限责任公司等单位报送公开收集的漏洞数量较多。国瑞数码零点实验室、北京山石网科信息技术有限公司、南京众智维信息科技有限公司、北京天地和兴科技有限公司、新疆海狼科技有限公司、河南灵创电子科技有限公司 、山东华鲁科技发展股份有限公司、内蒙古奥创科技有限公司、河南信安世纪科技有限公司、杭州迪普科技股份有限公司、山东云天安全技术有限公司、长扬科技（北京）有限公司、北京赛克艾威科技有限公司、山东新潮信息技术有限公司、北京网御星云信息技术有限公司、北京云科安信科技有限公司（Seraph安全实验室）、北京机沃科技有限公司、远江盛邦（北京）网络安全科技股份有限公司、上海观安信息技术股份有限公司、广州市蓝爵计算机科技有限公司、北京惠而特科技有限公司、北京零零信安科技有限公司、京东云安全、山东道普测评技术有限公司、工业信息安全(四川)创新中心有限公司、湖南省金盾信息安全等级保护评估中心有限公司、江苏茴香豆网络科技有限公司、星云博创科技有限公司、钉钉科技有限公司、浙江安腾信息技术有限公司、北京智游网安科技有限公司、杭州漠坦尼科技有限公司、上海市信息安全测评认证中心、湖南长城信息金融设备有限责任公司及其他个人白帽子向CNVD提交了11489个以事件型漏洞为主的原创漏洞，其中包括奇安信网神（补天平台）、斗象科技（漏洞盒子）和上海交大向CNVD共享的白帽子报送的9989条原创漏洞信息。
表1 漏洞报送情况统计表
本周漏洞按类型和厂商统计
本周，CNVD收录了298个漏洞。应用程序121个，WEB应用96个，操作系统32个，安全产品29个，网络设备（交换机、路由器等网络端设备）15个，智能设备（物联网终端设备）3个，数据库2个。
表2 漏洞按影响类型统计表
图6 本周漏洞按影响类型分布
CNVD整理和发布的漏洞涉及Google、Trend Micro、IBM等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。
表3 漏洞产品涉及厂商分布统计表
本周行业漏洞收录情况
本周，CNVD收录了12个电信行业漏洞，39个移动互联网行业漏洞，2个工控行业漏洞（如下图所示）。其中，“D-Link DSL-2888A操作系统命令执行漏洞、SolarWinds Orion Network Performance Monitor权限许可和访问控制问题漏洞、IBM Loopback注入漏洞”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序，请参照CNVD相关行业漏洞库链接。
电信行业漏洞链接：http://telecom.cnvd.org.cn/
移动互联网行业漏洞链接：http://mi.cnvd.org.cn/
工控系统行业漏洞链接：http://ics.cnvd.org.cn/
图7 电信行业漏洞统计
IBM Connect：Direct for UNIX是美国IBM公司的一个点对点的可支持多平台之间传输数据的工具软件。IBM Domino是美国IBM公司的一套企业级应用程序开发平台。IBM AIX是美国IBM公司的一款为IBM Power体系架构开发的一种基于开放标准的UNIX操作系统。IBM VIOS是一款虚拟IO服务器。IBM Loopback是美国IBM公司的一个基于NodeJs的API框架。IBM Security Key Lifecycle Manager（前称Tivoli Key Lifecycle Manager）是美国IBM公司的一套密钥生命周期管理软件。IBM Financial Transaction Manager for SWIFT Services for Multiplatforms是美国IBM公司的一款金融事务管理器产品。IBM Financial Transaction Manager for SWIFT Services是美国IBM公司的一款金融事务管理器产品。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞访问经过认证的CLI会话，破坏服务器或向系统注入代码，ksu用户命令可获得root特权等。
CNVD收录的相关漏洞包括：IBM Connect:Direct for UNIX授权问题漏洞、IBM Domino缓冲区溢出漏洞（CNVD-2020-73021）、IBM AIX和VIOS授权问题漏洞、IBM Loopback注入漏洞、IBM Security Key Lifecycle Manager信息泄露漏洞（CNVD-2020-73012）、IBM Financial Transaction Manager for SWIFT Services for Multiplatforms信息泄露漏洞（CNVD-2020-73014、CNVD-2020-73018）、IBM Financial Transaction Manager for SWIFT Services for Multiplatforms跨站请求伪造漏洞。其中，“IBM Connect:Direct for UNIX授权问题漏洞、IBM Domino缓冲区溢出漏洞（CNVD-2020-73021）、IBM AIX和VIOS授权问题漏洞、IBM Loopback注入漏洞”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73022
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73021
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73019
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73497
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73012
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73014
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73013
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73018
2、Google产品安全漏洞
Google Android是美国谷歌（Google）和开放手持设备联盟（简称oha）的一套以Linux为基础的开源操作系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，造成拒绝服务等。
CNVD收录的相关漏洞包括：Google Android信息泄露漏洞（CNVD-2020-73454、CNVD-2020-73442、CNVD-2020-73440）、Google Android输入验证错误漏洞、Google Android缓冲区溢出漏洞（CNVD-2020-73452、CNVD-2020-73447、CNVD-2020-73446）、Google Android Pixel拒绝服务漏洞。上述漏洞的综合评级为“中危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73454
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73442
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73440
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73430
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73452
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73447
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73446
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73453
3、Microsoft产品安全漏洞
Microsoft Windows和Microsoft Windows Server都是美国微软（Microsoft）公司的产品。Microsoft Windows是一套个人设备使用的操作系统。Microsoft Windows Server是一套服务器操作系统。Microsoft Excel是Microsoft公司的办公软件Microsoft office的组件之一，是一款电子表格程序。Microsoft Azure Sphere是美国微软（Microsoft）公司的一个应用于云环境提供安全防护的设备。SharePoint是一款与Microsoft Office集成的基于Web的协作平台。Microsoft Exchange Server是Microsoft开发的邮件服务器和日历服务器。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞实现远程代码执行，执行使用PACKET_MMAP触发漏洞的shellcode等。
CNVD收录的相关漏洞包括：Microsoft Windows/Windows Server Hyper-V远程代码执行漏洞、Microsoft Excel远程代码执行漏洞（CNVD-2020-73769）、Microsoft Azure Sphere代码执行漏洞、Microsoft SharePoint远程代码执行漏洞（CNVD-2020-73768）、Microsoft SharePoint权限提升漏洞（CNVD-2020-73766）、Microsoft Exchange Server远程代码执行漏洞（CNVD-2020-73749、CNVD-2020-73748、CNVD-2020-73747）。其中，“Microsoft Windows/Windows Server Hyper-V远程代码执行漏洞、Microsoft Excel远程代码执行漏洞（CNVD-2020-73769）、Microsoft Azure Sphere代码执行漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73767
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73769
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73758
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73768
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73766
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73749
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73748
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73747
4、Trend Micro产品安全漏洞
Trend Micro Security 2020是美国趋势科技（Trend Micro）公司的一套计算机安全防护软件。Trend Micro InterScan Web Security Virtual Appliance（IWSVA）是美国趋势科技（Trend Micro）公司的一款针对基于Web方式的威胁为企业网络提供动态的、集成式的安全保护的Web安全网关。Trend Micro Worry-Free Business Security是美国趋势科技（Trend Micro）公司的一套企业级信息安全防护解决方案。该产品提供反垃圾邮件、防病毒、网络安全和电子邮件保护等功能。Trend Micro Trend Micro Serverprotect for Linux是美国Trend Micro公司的一个用于企业环境的防毒软件。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞通过本地目录中放置一个恶意的DLL来利用，该DLL可以导致在安装产品期间获得管理特权，执行某些命令，修改或删除任意文件等。
CNVD收录的相关漏洞包括：Trend Micro Security 2020本地权限提升漏洞（CNVD-2020-73786、CNVD-2020-73785、CNVD-2020-73788）、Trend Micro InterScan Web Security Virtual Appliance命令注入漏洞（CNVD-2020-73777、CNVD-2020-73791、CNVD-2020-73776）、Trend Micro Worry-Free Business Security路径遍历任意远程文件删除漏洞、Trend Micro Serverprotect for Linux缓冲区溢出漏洞。除 “Trend Micro Worry-Free Business Security路径遍历任意远程文件删除漏洞、Trend Micro Serverprotect for Linux缓冲区溢出漏洞”外，其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73786
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73785
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73788
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73777
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73791
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73776
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73789
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73784
5、TerraMaster TOS远程代码执行漏洞
TerraMaster TOS是为TerraMaster云存储NAS服务器开发的基于Linux平台的操作系统。TerraMaster TOS 4.2.06及更早版本存在远程代码执行漏洞。攻击者可在CSV创建期间通过include/makecvs.php中的Event参数中的shell元字符利用该漏洞未经认证执行命令。目前，厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73754
小结：本周，IBM产品被披露存在多个漏洞，攻击者可利用漏洞提升本地权限获取敏感信息，造成拒绝服务等。此外，Google、Microsoft、Trend Micro等多款产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，造成拒绝服务，远程代码执行等。另外，TerraMaster TOS被披露存在远程代码执行漏洞。攻击者可利用漏洞在CSV创建期间通过include/makecvs.php中的Event参数中的shell元字符未经认证执行命令。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。
本周重要漏洞攻击验证情况
本周，CNVD建议注意防范以下已公开漏洞攻击验证情况。
1、Mitel ShoreTel conferencing component跨站脚本漏洞
验证描述
Mitel Connect（Mitel ShoreTel）是加拿大敏迪（Mitel）公司的一款用于办公沟通的软件。该软件可访问企业联系人、支持选择联系人开启会议、支持界面管理通话和语音邮件。
Mitel ShoreTel 19.46.1802.0版本 conferencing component 存在跨站脚本漏洞，该漏洞源于HOME MEETING＆页面上对时区对象的验证不足。攻击者可利用该漏洞进行反射跨站点脚本攻击(通过路径信息到index.php)。
验证信息
POC链接：
https://www.exploit-db.com/exploits/49026
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2020-73771
信息提供者
深信服科技股份有限公司
注：以上验证信息(方法)可能带有攻击性，仅供安全研究之用。请广大用户加强对漏洞的防范工作，尽快下载相关补丁。
关于CNVD
国家信息安全漏洞共享平台（China National Vulnerability Database，简称CNVD）是CNCERT联合国内重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的信息安全漏洞信息共享知识库，致力于建立国家统一的信息安全漏洞收集、发布、验证、分析等应急处理体系。
关于CNCERT
国家计算机网络应急技术处理协调中心（简称“国家互联网应急中心”，英文简称是CNCERT或CNCERT/CC），成立于2002年9月，为非政府非盈利的网络安全技术中心，是我国网络安全应急体系的核心协调机构。
作为国家级应急中心，CNCERT的主要职责是：按照“积极预防、及时发现、快速响应、力保恢复”的方针，开展互联网网络安全事件的预防、发现、预警和协调处置等工作，维护国家公共互联网安全，保障基础信息网络和重要信息系统的安全运行。
网址：www.cert.org.cn
电话：010-82991537
关注CNVD漏洞平台
本文始发于微信公众号（CNVD漏洞平台）：CNVD漏洞周报2020年第52期
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论