CNVD漏洞周报2024年第38期

admin 2024年9月24日12:48:46评论28 views字数 7814阅读26分2秒阅读模式

202409月16-202309月22

CNVD漏洞周报2024年第38期


本周信息安全漏洞威胁整体评价级别为中
国家信息安全漏洞共享平台(以下简称CNVD)本周共收集、整理信息安全漏洞253个,其中高危漏洞141个、中危漏洞108个、低危漏洞4个。漏洞平均分值为6.98。本周收录的漏洞中,涉及0day漏洞186个(占74%),其中互联网上出现“FastCMS跨站脚本漏洞(CNVD-2024-38571)、SeaCMS跨站脚本漏洞(CNVD-2024-38573)”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的漏洞总数12328个,与上周(28055个)环比减少56%。

CNVD漏洞周报2024年第38期

1CNVD10

CNVD漏洞周报2024年第38期

2CNVD0day

本周,CNVD向基础电信企业通报漏洞事件4起,协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件353起,协调教育行业应急组织验证和处置高校科研院所系统漏洞事件27起,向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件7起。

CNVD漏洞周报2024年第38期

3CNVD

CNVD漏洞周报2024年第38期

4CNCERT

CNVD漏洞周报2024年第38期

5CNVD

CNVD
紫光软件系统有限公司、重庆天知软件技术有限公司、中亿丰数字科技集团有限公司、智互联(深圳)科技有限公司、浙江大华技术股份有限公司、漳州市芗城帝兴软件开发有限公司、漳州豆壳网络科技有限公司、友讯电子设备(上海)有限公司、用友网络科技股份有限公司、兄弟(中国)商业有限公司、新天科技股份有限公司、新开普电子股份有限公司、西门子(中国)有限公司、武汉深之度科技有限公司、无锡信捷电气股份有限公司、网神信息技术(北京)股份有限公司、通州区华丽软件工作室、拓尔思信息技术股份有限公司、索尼(中国)有限公司、神州数码控股有限公司、深圳市天凯智能科技有限公司、深圳市磊科实业有限公司、深圳市吉祥腾达科技有限公司、深圳市必联电子有限公司、上海卓卓网络科技有限公司、上海甄云科技信息有限公司、上海移远通信技术股份有限公司、上海联影医疗科技股份有限公司、上海艾泰科技有限公司、山东思达特测控设备有限公司、厦门四信通信科技有限公司、三星(中国)投资有限公司、瑞斯康达科技发展股份有限公司、青岛东胜伟业软件有限公司、麒麟软件有限公司、摩莎科技(上海)有限公司、柯尼卡美能达集团、佳能(中国)有限公司、吉翁电子(深圳)有限公司、惠普贸易(上海)有限公司、华平信息技术股份有限公司、恒信汽车集团股份有限公司、合肥六出网络科技有限公司、杭州映云科技有限公司、杭州品联科技有限公司、哈尔滨新中新电子股份有限公司、哈尔滨伟成科技有限公司、广州小橘灯信息科技有限公司、广州市超易信息科技有限公司、广州巨杉软件开发有限公司、广东保伦电子股份有限公司、富士胶片商业创新(中国)有限公司、佛山市杜特软件科技有限公司、飞利达科技股份有限公司、东华软件股份公司、东莞哲霖信息科技有限公司、成都天问互联科技有限公司、成都光大网络科技有限公司、畅捷通信息技术股份有限公司、沧州市凡诺广告传媒有限公司、北京云中融信网络科技有限公司、北京亿赛通科技发展有限责任公司、北京星网锐捷网络技术有限公司、北京通达信科科技有限公司、北京天融信网络安全技术有限公司、北京数字政通科技股份有限公司、北京神州视翰科技有限公司、北京人大金仓信息技术股份有限公司、北京力创瑞和电子科技有限公司、北京京东叁佰陆拾度电子商务有限公司、北京金和网络股份有限公司、北京汉王智远科技有限公司、北京百卓网络技术有限公司、北京奥星贝斯科技有限公司、北京奥博威斯科技有限公司、安科瑞电气股份有限公司和NETGEAR。
1示。中,新华三技术有限公司、深信服科技股份有限公司、北京天融信网络安全技术有限公司、京东科技信息技术有限公司、北京启明星辰信息安全技术有限公司等单位报送公开收集的漏洞数量较多。成都卫士通信息安全技术有限公司、河南东方云盾信息技术有限公司、快页信息技术有限公司、江苏金盾检测技术股份有限公司、河北镌远网络科技有限公司、上海观安信息技术股份有限公司、淮安易云科技有限公司、北京翰慧投资咨询有限公司、安徽天行网安信息安全技术有限公司、北京卓识网安技术股份有限公司、成都久信信息技术股份有限公司、江苏晟晖信息科技有限公司、北京天下信安技术有限公司、中资网络信息安全科技有限公司、联想全球安全实验室及其他个人白帽子向CNVD提交了12328个以事件型漏洞为主的原创漏洞,其中包括斗象科技(漏洞盒子)、奇安信网神(补天平台)、三六零数字安全科技集团有限公司和上海交大向CNVD共享的白帽子报送的11126条原创漏洞信息。
1

CNVD漏洞周报2024年第38期


本周,CNVD收录了253个漏洞。WEB应用142个,网络设备(交换机、路由器等网络端设备)44个,应用程序38个,智能设备(物联网终端设备)20个,操作系统4个,数据库3个,安全产品2个。
2

CNVD漏洞周报2024年第38期

CNVD漏洞周报2024年第38期

6
CNVD整理和发布的漏洞涉及用友网络科技股份有限公司、畅捷通信息技术股份有限公司、IBM等多家厂商的产品,部分漏洞数量按厂商统计如表3所示。
3

CNVD漏洞周报2024年第38期

本周,CNVD收录了30个电信行业漏洞,8个移动互联网行业漏洞,11个工控行业漏洞(如下图所示)。其中,“Tenda FH451命令注入漏洞、Rockwell Automation ThinManager ThinServer输入验证错误漏洞(CNVD-2024-38545)”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序,请参照CNVD相关行业漏洞库链接。
http://telecom.cnvd.org.cn/
http://mi.cnvd.org.cn/
http://ics.cnvd.org.cn/

CNVD漏洞周报2024年第38期

7

CNVD漏洞周报2024年第38期

8

CNVD漏洞周报2024年第38期

9
CNVD

1、Adobe产品安全漏洞

Adobe InDesign是美国奥多比(Adobe)公司的一套排版编辑应用程序。Adobe Acrobat Reader是一款PDF查看器。该软件用于打印,签名和注释PDF。Adobe Illustrator是一套基于向量的图像制作软件。Adobe Framemaker是一套用于编写和编辑大型或复杂文档(包括结构化文档)的页面排版软件。Adobe Animate是一套Flash动画制作软件。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,在系统上执行任意代码,导致应用程序崩溃等。

CNVD收录的相关漏洞包括:Adobe InDesign缓冲区溢出漏洞(CNVD-2024-38536)、Adobe InDesign越界读取漏洞(CNVD-2024-38535)、Adobe Acrobat Reader资源管理错误漏洞(CNVD-2024-38534)、Adobe Illustrator越界写入漏洞(CNVD-2024-38540)、Adobe Framemaker Publishing Server信息泄露漏洞、Adobe Framemaker Publishing Server身份验证错误漏洞(CNVD-2024-38538)、Adobe InDesign空指针解引用漏洞(CNVD-2024-38537)、Adobe Animate越界读取漏洞(CNVD-2024-38541)。其中,“Adobe InDesign缓冲区溢出漏洞(CNVD-2024-38536)、Adobe Illustrator越界写入漏洞(CNVD-2024-38540)、Adobe Framemaker Publishing Server信息泄露漏洞、Adobe Framemaker Publishing Server身份验证错误漏洞(CNVD-2024-38538)”漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38536

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38535

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38534

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38540

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38539

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38538

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38537

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38541

2、Dell产品安全漏洞

Dell BIOS是美国戴尔(Dell)公司的一个计算机主板上小型内存芯片上的嵌入式软件。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞修改UEFI变量,提升系统权限,导致身份验证绕过等。

CNVD收录的相关漏洞包括:Dell BIOS授权问题漏洞(CNVD-2024-38332、CNVD-2024-38333)、Dell BIOS输入验证错误漏洞(CNVD-2024-38335、CNVD-2024-38334、CNVD-2024-38338、CNVD-2024-38337、CNVD-2024-38336、CNVD-2024-38339)。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38332

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38335

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38334

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38333

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38338

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38337

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38336

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38339

3、Google产品安全漏洞

Google Chrome是美国谷歌(Google)公司的一款Web浏览器。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,使溢出缓冲区,在系统上执行任意代码或导致应用程序崩溃等。

CNVD收录的相关漏洞包括:Google Chrome Media Router内存错误引用漏洞、Google Chrome堆缓冲区溢出漏洞(CNVD-2024-38576、CNVD-2024-38577、CNVD-2024-38578)、Google Chrome代码执行漏洞(CNVD-2024-38575、CNVD-2024-38581、CNVD-2024-38582)、Google Chrome信息泄露漏洞(CNVD-2024-38583)。上述漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38574

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38575

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38576

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38577

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38578

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38581

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38582

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38583

4、IBM产品安全漏洞

IBM webMethods Integration是美国国际商业机器(IBM)公司的一个混合的企业iPaaS。IBM MQ Operator是一种用于管理 IBM MQ队列管理器生命周期的工具。IBM Aspera是一套基于IBM FASP协议构建的快速文件传输和流解决方案。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞绕过预期的访问限制并进行资源修改,上传和执行可以在底层操作系统上执行的任意文件,导致拒绝服务等。

CNVD收录的相关漏洞包括:IBM webMethods Integration权限提升漏洞、IBM webMethods Integration文件上传漏洞、IBM MQ Operator拒绝服务漏洞、IBM MQ Operator安全绕过漏洞、IBM Aspera信息泄露漏洞、IBM Aspera安全绕过漏洞(CNVD-2024-38530、CNVD-2024-38533)、IBM webMethods Integration路径遍历漏洞。其中,“IBM webMethods Integration权限提升漏洞、IBM webMethods Integration文件上传漏洞、IBM MQ Operator安全绕过漏洞”漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38528

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38527

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38525

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38524

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38531

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38530

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38529

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38533

5、Micron Crucial MX500 Series Solid State Drives缓冲区溢出漏洞

Micron Crucial MX500 Series Solid State Drives是美国美光(Micron)公司的一系列固态硬盘。本周,Micron Crucial MX500 Series Solid State Drives被披露存在缓冲区溢出漏洞。攻击者可利用该漏洞溢出缓冲区并在系统上执行任意代码。目前,厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页,以获取最新版本。

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38570

小结:本周,Adobe产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,在系统上执行任意代码,导致应用程序崩溃等。此外,Dell、Google、IBM等多款产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息,修改UEFI变量,提升系统权限,导致身份验证绕过,在系统上执行任意代码或导致应用程序崩溃等。另外,Micron Crucial MX500 Series Solid State Drives被披露存在缓冲区溢出漏洞。攻击者可利用漏洞溢出缓冲区并在系统上执行任意代码。建议相关用户随时关注上述厂商主页,及时获取修复补丁或解决方案。

CNVD
1SeaCMS跨站脚本漏洞(CNVD-2024-38573)

SeaCMS是海洋CMS(SeaCMS)公司的一套使用PHP编写的免费、开源的网站内容管理系统。该系统主要被设计用来管理视频点播资源。

SeaCMS存在跨站脚本漏洞,攻击者可利用该漏洞通过注入siteurl参数的精心制作的有效负载执行任意web脚本或HTML。

POC链接:

https://github.com/nn0nkey/nn0nkey/blob/main/CVE-2024-44920.md

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2024-38573

深信服科技股份有限公司
()广
CNVD
ChinaNationalVulnerabilityDatabaseCNVDCNCERT
CNCERT
CNCERTCNCERT/CC20029
CNCERT
www.cert.org.cn
vreport@cert.org.cn
010-82991537
CNVD
CNVD漏洞周报2024年第38期

原文始发于微信公众号(CNVD漏洞平台):CNVD漏洞周报2024年第38期

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年9月24日12:48:46
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   CNVD漏洞周报2024年第38期https://cn-sec.com/archives/3198383.html

发表评论

匿名网友 填写信息