2021年11月22日-2021年11月28日
本周漏洞态势研判情况
国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞643个，其中高危漏洞196个、中危漏洞411个、低危漏洞36个。漏洞平均分值为6.0。本周收录的漏洞中，涉及0day漏洞426个（占66%），其中互联网上出现“PHP Event Calendar Lite Edition存在SQL注入漏洞、Hitachi VantaraPentaho访问控制错误漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的原创漏洞总数7905个，与上周（10498个）环比减少25%。
图1 CNVD收录漏洞近10周平均分值分布图
图2 CNVD 0day漏洞总数按周统计
本周漏洞事件处置情况
本周，CNVD向银行、保险、能源等重要行业单位通报漏洞事件34起，向基础电信企业通报漏洞事件41起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件548起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件98起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件62起。
图3 CNVD各行业漏洞处置情况按周统计
图4 CNCERT各分中心处置情况按周统计
图5 CNVD教育行业应急组织处置情况按周统计
此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：
淄博闪灵网络科技有限公司、中科博华信息科技有限公司、中国电信集团有限公司、友讯电子设备（上海）有限公司、用友网络科技股份有限公司、研华科技（中国）有限公司、兄弟（中国）商业有限公司、西安三才科技实业有限公司、微软（中国）有限公司、网通宽带网络有限责任公司、网件（北京）网络技术有限公司、台达电子企业管理(上海)有限公司、苏州思迪信息技术有限公司、松下电器（中国）有限公司、四创科技有限公司、世邦通信股份有限公司、深圳维盟科技股份有限公司、深圳市异度信息产业有限公司、深圳市微客互动有限公司、深圳市万网博通科技有限公司、深圳市磊科实业有限公司、深圳市捷视飞通科技股份有限公司、深圳市吉祥腾达科技有限公司、深圳市惠尔顿信息技术有限公司、深圳市宏电技术股份有限公司、深圳市皓峰通讯技术有限公司、深圳市得伯乐科技有限公司、深圳市朝恒辉网络科技有限公司、深圳市必联电子有限公司、上海卓卓网络科技有限公司、上海小蚁科技有限公司、上海万户信息技术有限公司、上海七十迈数字科技有限公司、上海迈瑞电子科技有限公司、上海华测导航技术股份有限公司、上海斐讯数据通信技术有限公司、上海泛微网络科技股份有限公司、上海伯俊软件科技有限公司、上海宝创网络科技有限公司、上海安达通信息安全技术股份有限公司、熵基科技股份有限公司、山西企凝信息科技有限公司、山东思达特测控设备有限公司、厦门石头科技有限公司、三菱电机（中国）有限公司、青岛东软载波科技股份有限公司、普联技术有限公司、鹏博士电信传媒集团股份有限公司、欧普康视科技股份有限公司、欧姆龙自动化（中国）有限公司、南京拓展科技有限公司、南京南软科技有限公司、摩莎科技（上海）有限公司、六安校无忧信息科技有限公司、京瓷办公信息系统(中国)有限公司、金蝶软件（中国）有限公司、杰蛙科技（北京）有限公司、江西铭软科技有限公司、甲骨文股份有限公司、吉翁电子（深圳）有限公司、淮南市银泰软件科技有限公司、湖南建研信息技术股份有限公司、湖南翱云网络科技有限公司、杭州中宝科技有限公司、杭州伊柯夫科技有限公司、杭州海康威视数字技术股份有限公司、杭州恩软信息技术有限公司、海南有趣科技有限公司、海尔集团电子商务有限公司、哈尔滨新中新电子股份有限公司、桂林崇胜网络科技有限公司、贵州觅新科技有限公司、广州市乐天科技有限公司、广州市保伦电子有限公司、广州迈可硕数据系统有限公司、广东全程云科技有限公司、大唐电信科技股份有限公司、成都青软青之软件有限公司、成都零起飞科技有限公司、成都康菲顿特网络科技有限公司、成都飞鱼星科技股份有限公司、北京中创视讯科技有限公司、北京有孚云计算科技有限公司、北京雪迪龙科技股份有限公司、北京星网锐捷网络技术有限公司、北京速通网电子商务有限公司、北京勤云科技发展有限公司、北京旷视科技有限公司、北京华医网科技股份有限公司、北京和信创天科技股份有限公司、北京国炬信息技术有限公司、北京百卓网络技术有限公司、奥琦玮信息科技（北京）有限公司、安川電機（中国）有限公司、百度安全应急响应中心、点拓科技、帝国软件、无忧网络、信呼、智睿软件、鱼跃cms、zzcms、XnSoft、WAVLINK、Trendnet、TOTOLINK、The Apache Software Foundation、TaoCMS、SIKCMS、Rifatron、Handphone和Glyph & Cog, LLC。
本周漏洞报送情况统计
本周报送情况如表1所示。其中，北京神州绿盟科技有限公司、哈尔滨安天科技集团股份有限公司、北京数字观星科技有限公司、新华三技术有限公司、恒安嘉新（北京）科技股份公司等单位报送公开收集的漏洞数量较多。贵州多彩宝互联网服务有限公司、杭州迪普科技股份有限公司、山东云天安全技术有限公司、北京信联科汇科技有限公司、杭州海康威视数字技术股份有限公司、北京山石网科信息技术有限公司、河南信安世纪科技有限公司、广东蓝爵网络安全技术股份有限公司、南京树安信息技术有限公司、安徽长泰科技有限公司、长春嘉诚信息技术股份有限公司、中国电信股份有限公司网络安全产品运营中心、京东云安全、北京远禾科技有限公司、北京云科安信科技有限公司（Seraph安全实验室）、河南灵创电子科技有限公司、北京安帝科技有限公司、山东新潮信息技术有限公司、上海纽盾科技股份有限公司、内蒙古云科数据服务股份有限公司、福建省海峡信息技术有限公司、山东泽鹿安全技术有限公司、内蒙古洞明科技有限公司、重庆都会信息科技有限公司、快页信息技术有限公司、浙江木链物联网科技有限公司、中国烟草总公司湖北省公司、天津偕行科技有限公司、广州易东信息安全技术有限公司、博智安全科技股份有限公司、北京威努特技术有限公司、百度在线网络技术有限公司、苏州棱镜七彩信息科技有限公司、北京水木羽林科技有限公司、中国通信服务重庆公司、北京未来智安科技有限公司、宁波和利时信息安全研究院、北京惠而特科技有限公司及其他个人白帽子向CNVD提交了7905个以事件型漏洞为主的原创漏洞，其中包括斗象科技（漏洞盒子）、上海交大和奇安信网神（补天平台）向CNVD共享的白帽子报送的4794条原创漏洞信息。
表1 漏洞报送情况统计表
本周漏洞按类型和厂商统计
本周，CNVD收录了643个漏洞。WEB应用240个，应用程序238个，网络设备（交换机、路由器等网络端设备）111个，智能设备（物联网终端设备）27个，操作系统14个，安全产品9个，数据库4个。
表2 漏洞按影响类型统计表
图6 本周漏洞按影响类型分布
CNVD整理和发布的漏洞涉及XnSoft、哈尔滨伟成科技有限公司、新华三技术有限公司等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。
表3 漏洞产品涉及厂商分布统计表
本周，CNVD收录了72个电信行业漏洞，35个移动互联网行业漏洞，4个工控行业漏洞（如下图所示）。其中，“Xiaomi AX3600命令注入漏洞、Xiaomi AX3600缓冲区溢出漏洞”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序，请参照CNVD相关行业漏洞库链接。
电信行业漏洞链接：http://telecom.cnvd.org.cn/
移动互联网行业漏洞链接：http://mi.cnvd.org.cn/
工控系统行业漏洞链接：http://ics.cnvd.org.cn/
图3 电信行业漏洞统计
图4 移动互联网行业漏洞统计
图5 工控系统行业漏洞统计
本周重要漏洞安全告警
本周，CNVD整理和发布以下重要安全漏洞信息。
1、Microsoft产品安全漏洞
Microsoft Exchange Server是美国微软（Microsoft）公司的一套电子邮件服务程序。它提供邮件存取、储存。转发，语音邮件，邮件过滤筛选等功能。Microsoft Windows和MicrosoftWindows Server都是美国微软（Microsoft）公司的产品。Microsoft Windows是一套个人设备使用的操作系统。Microsoft Windows Server是一套服务器操作系统。本周，上述产品被披露存在多个漏洞，攻击者可利用该漏洞提升权限，执行任意代码。
CNVD收录的相关漏洞包括：Microsoft Exchange Server远程代码执行漏洞（CNVD-2021-90307）、MicrosoftWindows/Windows Server权限提升漏洞（CNVD-2021-90797、CNVD-2021-90800、CNVD-2021-90799、CNVD-2021-90798、CNVD-2021-90803、CNVD-2021-90802、CNVD-2021-90801）。其中，“Microsoft Windows/Windows Server权限提升漏洞（CNVD-2021-90800、CNVD-2021-90799、CNVD-2021-90801）”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90307
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90797
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90800
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90799
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90798
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90803
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90802
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90801
2、Advantech产品安全漏洞
Advantech R-SeeNet是中国台湾研华（Advantech）公司的一个工业监控软件。该软件基于snmp协议进行监控平台，并且适用于Linux。Windows平台。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞在数据库中执行任意SQL查询，升级系统上的权限。
CNVD收录的相关漏洞包括：Advantech R-SeeNet SQL注入漏洞（CNVD-2021-90861、CNVD-2021-90869、CNVD-2021-90860、CNVD-2021-90864、CNVD-2021-90863、CNVD-2021-90862、CNVD-2021-90868）、AdvantechR-SeeNet权限提升漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90861
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90860
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90864
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90863
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90862
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90867
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90869
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90868
3、Adobe产品安全漏洞
Adobe After Effects（简称“AE”）是Adobe公司推出的一款图形视频处理软件，适用于从事设计和视频特技的机构，包括电视台、动画制作公司，个人后期制作工作室以及多媒体工作室。本周，上述产品被披露存在多个漏洞，攻击者可利用该漏洞执行任意代码。
CNVD收录的相关漏洞包括：Adobe After Effects内存缓冲区越界访问漏洞（CNVD-2021-89928、CNVD-2021-89937、CNVD-2021-89929、CNVD-2021-89930、CNVD-2021-89931、CNVD-2021-89932、CNVD-2021-89935、CNVD-2021-89934）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2021-89928
https://www.cnvd.org.cn/flaw/show/CNVD-2021-89929
https://www.cnvd.org.cn/flaw/show/CNVD-2021-89930
https://www.cnvd.org.cn/flaw/show/CNVD-2021-89931
https://www.cnvd.org.cn/flaw/show/CNVD-2021-89932
https://www.cnvd.org.cn/flaw/show/CNVD-2021-89935
https://www.cnvd.org.cn/flaw/show/CNVD-2021-89934
https://www.cnvd.org.cn/flaw/show/CNVD-2021-89937
4、Mozilla产品安全漏洞
Mozilla Firefox是美国Mozilla基金会的一款开源Web浏览器。本周，上述产品被披露存在多个漏洞，攻击者可利用该漏洞提升权限，执行任意代码等。
CNVD收录的相关漏洞包括：Mozilla Firefox拒绝服务漏洞（CNVD-2021-89693）、MozillaFirefox缓冲区溢出漏洞（CNVD-2021-89692、CNVD-2021-90097、CNVD-2021-90096、CNVD-2021-90100、CNVD-2021-90103）、MozillaFirefox权限许可和访问控制问题漏洞（CNVD-2021-90104、CNVD-2021-90106）。其中，“Mozilla Firefox拒绝服务漏洞（CNVD-2021-89693）、MozillaFirefox权限许可和访问控制问题漏洞（CNVD-2021-90104）”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2021-89693
https://www.cnvd.org.cn/flaw/show/CNVD-2021-89692
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90097
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90096
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90100
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90104
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90103
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90106
5、Amazon AWS SDK信息泄露漏洞
Amazon AWS SDK for Android是美国亚马逊（Amazon）公司的一款基于Andorid平台的用于Amazon Web Services（AWS）的软件开发工具包。本周，Amazon AWS SDK 1.7.22及之前版本被披露存在信息泄露漏洞。攻击者可利用该漏洞通过读取程序中以明文形式存储的凭据访问AWS S3开发人员文件导致信息泄露。目前，厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2021-91630
小结：本周，Microsoft产品被披露存在多个漏洞，攻击者可利用该漏洞提升权限，执行任意代码。此外，Advantech，Adobe，Mozilla等多款产品被披露存在多个漏洞，攻击者可利用漏洞在数据库中执行任意SQL查询，提升权限，执行任意代码等。另外，Amazon AWS SDK 1.7.22及之前版本被披露存在信息泄露漏洞。攻击者可利用该漏洞通过读取程序中以明文形式存储的凭据访问AWS S3开发人员文件导致信息泄露。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。
本周重要漏洞攻击验证情况
本周，CNVD建议注意防范以下已公开漏洞攻击验证情况。
1、Hitachi Vantara Pentaho访问控制错误漏洞
验证描述
Hitachi Vantara Pentaho是日本Hitachi公司的一款用于大数据环境中对数据进行存储和管理的服务。
Hitachi Vantara Pentaho存在访问控制错误漏洞，攻击者可利用该漏洞列出Jackrabbit存储库中存在的所有应用程序用户名。
验证信息
POC链接：
https://packetstormsecurity.com/files/164787/Pentaho-Business-Analytics-Pentaho-Business-Server-9.1-User-Enumeration.html
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2021-90770
信息提供者
恒安嘉新(北京)科技股份公司
注：以上验证信息(方法)可能带有攻击性，仅供安全研究之用。请广大用户加强对漏洞的防范工作，尽快下载相关补丁。
关于CNVD
国家信息安全漏洞共享平台（China National Vulnerability Database，简称CNVD）是CNCERT联合国内重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的信息安全漏洞信息共享知识库，致力于建立国家统一的信息安全漏洞收集、发布、验证、分析等应急处理体系。
关于CNCERT
国家计算机网络应急技术处理协调中心（简称“国家互联网应急中心”，英文简称是CNCERT或CNCERT/CC），成立于2002年9月，为非政府非盈利的网络安全技术中心，是我国网络安全应急体系的核心协调机构。
作为国家级应急中心，CNCERT的主要职责是：按照“积极预防、及时发现、快速响应、力保恢复”的方针，开展互联网网络安全事件的预防、发现、预警和协调处置等工作，维护国家公共互联网安全，保障基础信息网络和重要信息系统的安全运行。
网址：www.cert.org.cn
电话：010-82991537
关注CNVD漏洞平台
原文始发于微信公众号（CNVD漏洞平台）：CNVD漏洞周报2021年第47期
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论