信息安全漏洞周报（2022年第30期）

  根据国家信息安全漏洞库（CNNVD）统计，本周（2022年7月18日至2022年7月24日）安全漏洞情况如下：

公开漏洞情况

  本周CNNVD采集安全漏洞533个。

接报漏洞情况

  本周CNNVD接报漏洞3462个，其中信息技术产品漏洞（通用型漏洞）59个，网络信息系统漏洞（事件型漏洞）94个，漏洞平台推送漏洞3309个。

一、公开漏洞情况

  根据国家信息安全漏洞库（CNNVD）统计，本周新增安全漏洞533个，漏洞新增数量有所下降。从厂商分布来看Oracle公司新增漏洞最多，有82个；从漏洞类型来看，输入验证错误类的安全漏洞占比最大，达到15.20%。新增漏洞中，超危漏洞39个，高危漏洞146个，中危漏洞307个，低危漏洞41个。相应修复率分别为48.72%、87.67%、88.27%和92.68%。根据补丁信息统计，合计456个漏洞已有修复补丁发布，整体修复率为85.55%。

  本周CNNVD采集安全漏洞533个。

图1 近五周漏洞新增数量统计图

  从厂商分布来看，Oracle公司新增漏洞最多，有82个。各厂商漏洞数量分布如表1所示。

表1 新增安全漏洞排名前五厂商统计表

  本周国内厂商漏洞52个，中国福昕公司漏洞数量最多，有18个。国内厂商漏洞整体修复率为55.36%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。

  从漏洞类型来看, 输入验证错误类的安全漏洞占比最大，达到15.20%。漏洞类型统计如表3所示。

表2 漏洞类型统计表

  本周共发布超危漏洞39个，高危漏洞146个，中危漏洞307个，低危漏洞41个。相应修复率分别为48.72%、87.67%、88.27%和92.68%。根据补丁信息统计，合计456个漏洞已有修复补丁发布，整体修复率为85.55%。详细情况如表3所示。

表3 漏洞危害等级与修复情况

  本周重要漏洞实例如表4所示。

表4 本期重要漏洞实例

1.Apache CloudStack 安全漏洞（CNNVD-202207-1492）

  Apache CloudStack是美国阿帕奇（Apache）基金会的一套基础架构即服务（IaaS）云计算平台。该平台主要用于部署和管理大型虚拟机网络。

  Apache CloudStack 4.5.0 及更高版本存在安全漏洞。攻击者利用该漏洞可进行XML外部实体(XXE)注入攻击。

  目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

 https://lists.apache.org/thread/hwhxvtwp1d5dsm156bsf1cnyvtmrfv3f

2. Cisco Nexus Dashboard 安全漏洞（CNNVD-202207-2120）

  Cisco Nexus Dashboard是美国思科（Cisco）公司的一个单一控制台，能够简化数据中心网络的运营和管理。

  Cisco Nexus Dashboard 存在安全漏洞。未经身份验证的远程攻击者利用该漏洞可以对受影响的设备进行跨站点请求伪造 (CSRF) 攻击。

  目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

 https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ndb-mhcvuln-vpsBPJ9y

3. Oracle Fusion Middleware 输入验证错误漏洞（CNNVD-202207-1598）

  Oracle Fusion Middleware（Oracle融合中间件）是美国甲骨文（Oracle）公司的一套面向企业和云环境的业务创新平台。该平台提供了中间件、软件集合等功能。

  Oracle SOA Suite(component: Fabric Layer) 12.2.1.3.0版本和12.2.1.4.0版本存在输入验证错误漏洞，攻击者利用该漏洞可通过HTTP访问网络，从而获取关键数据，并对其进行创建、删除或修改操作。

  目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

  https://www.oracle.com/security-alerts/cpujul2022.html

二、漏洞平台推送情况

    本周漏洞平台推送漏洞3309个。

三、接报漏洞情况

  本周CNNVD接报漏洞153个，其中信息技术产品漏洞（通用型漏洞）59个，网络信息系统漏洞（事件型漏洞）94个。

四、接报漏洞通报情况

  本周CNNVD接报漏洞通报118份。

原文始发于微信公众号（CNNVD安全动态）：信息安全漏洞周报（2022年第30期）