2023年04月10日-2023年04月16日
本周漏洞态势研判情况
本周信息安全漏洞威胁整体评价级别为中。
国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞446个，其中高危漏洞243个、中危漏洞173个、低危漏洞30个。漏洞平均分值为6.53。本周收录的漏洞中，涉及0day漏洞391个（占88%），其中互联网上出现“Tenda RX9 Pro setIPv6Status缓冲区溢出漏洞、Bento4拒绝服务漏洞（CNVD-2023-27653）”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的漏洞总数9435个，与上周（15177个）环比减少38%。
图1 CNVD收录漏洞近10周平均分值分布图
图2 CNVD 0day漏洞总数按周统计
本周，CNVD向银行、保险、能源等重要行业单位通报漏洞事件21起，向基础电信企业通报漏洞事件41起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件595起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件169起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件68起。
珠海派诺科技股份有限公司、珠海金山办公软件有限公司、重庆森鑫炬科技有限公司、中科数字通（北京）科技有限公司、中科美络科技股份有限公司、郑州天迈科技股份有限公司、浙江花田网络有限公司、云知声智能科技股份有限公司、云宏信息科技股份有限公司、阳光智园科技有限公司、熊猫智慧水务有限公司、西安卓立科技实业有限公司、武汉慧谷通信技术有限公司、卫宁健康科技集团股份有限公司、宿迁鑫潮信息技术有限公司、苏州汇川技术有限公司、数篷科技（深圳）有限公司、石家庄威大特测控工程有限公司、深圳友联科技有限公司、深圳拓安信物联股份有限公司、深圳搜豹网络有限公司、深圳市锐明技术股份有限公司、深圳市酷开网络科技股份有限公司、深圳市吉祥腾达科技有限公司、深圳市和为顺网络技术有限公司、深圳市道尔智控科技股份有限公司、深圳市丛文科技有限公司、深圳市必联电子有限公司、深圳市百为通达科技有限公司、上海卓卓网络科技有限公司、上海威派格智慧水务股份有限公司、上海梦创双杨数据科技股份有限公司、上海联泰基金销售有限公司、上海斐讯数据通信技术有限公司、上海顶想信息科技有限公司、上海楚果信息技术有限公司、上海博达数据通信有限公司、商丘芝麻开门网络科技有限公司、山东中维世纪科技股份有限公司、山东金钟科技集团股份有限公司、力软信息技术（苏州）有限公司、江苏卓易信息科技股份有限公司、江苏安科瑞电器制造有限公司、吉翁电子（深圳）有限公司、湖南乔伦科技有限公司、湖北泰跃卫星技术发展股份有限公司、河南云智互联科技有限公司、杭州易软共创网络科技有限公司、杭州新中大科技股份有限公司、杭州西软信息技术有限公司、杭州海康威视数字技术股份有限公司、杭州藏茗山科技有限公司、国泰新点软件股份有限公司、桂林零与壹软件有限公司、广州市领课网络科技有限公司、广州市和丰自动化科技有限公司、广州红帆科技有限公司、广州高新兴机器人有限公司、广州德生智能信息技术有限公司、广联达科技股份有限公司、广东中硕能源科技有限公司、广东凯格科技有限公司、广东飞企互联科技股份有限公司、福州联迅信息科技有限公司、东莞市虹华软件科技有限公司、鼎捷软件股份有限公司、大连久鹏电子系统工程有限公司、畅捷通信息技术股份有限公司、北京中软国际教育科技股份有限公司、北京用友政务软件股份有限公司、北京亿赛通科技发展有限责任公司、北京星网锐捷网络技术有限公司、北京心海导航教育科技股份有限公司、北京通达信科科技有限公司、北京胜能能源科技有限公司、北京山石网科信息技术有限公司、北京润乾信息系统技术有限公司、北京墨云科技有限公司、北京六方云信息技术有限公司、北京灵州网络技术有限公司、北京蓝卫通科技有限公司、北京旷视科技有限公司、北京九思协同软件有限公司、北京金和网络股份有限公司、北京瀚维特科技有限公司、北京国炬信息技术有限公司、北京东方通科技股份有限公司、北京碧海威科技有限公司、北京百卓网络技术有限公司、半月谈新媒体科技有限公司、安徽旭帆信息科技有限公司、WAVLINK、POLYCOM通讯系统（北京）有限公司、PHPCMS和《中国学术期刊（光盘版）》电子杂志社有限公司。
本周，CNVD发布了《Microsoft发布2023年4月安全更新》。详情参见CNVD网站公告内容。
https://www.cnvd.org.cn/webinfo/show/8756
本周漏洞按类型和厂商统计
本周，CNVD收录了446个漏洞。WEB应用290个，应用程序73个，网络设备（交换机、路由器等网络端设备）52个，操作系统12个，智能设备（物联网终端设备）10个，安全产品4个，区块链3个，数据库2个。
表2 漏洞按影响类型统计表
本周行业漏洞收录情况
本周，CNVD收录了41个电信行业漏洞，37个移动互联网行业漏洞，7个工控行业漏洞（如下图所示）。其中，“D-Link DIR-3040缓冲区溢出漏洞、Google Android权限提升漏洞（CNVD-2023-26074）”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序，请参照CNVD相关行业漏洞库链接。
电信行业漏洞链接：http://telecom.cnvd.org.cn/
移动互联网行业漏洞链接：http://mi.cnvd.org.cn/
工控系统行业漏洞链接：http://ics.cnvd.org.cn/
图9 工控系统行业漏洞统计
1、Adobe产品安全漏洞
Adobe Dimension是美国奥多比（Adobe）公司的是一套2D和3D合成设计工具。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞执行任意代码。
CNVD收录的相关漏洞包括：Adobe Dimension越界读取漏洞（CNVD-2023-25103、CNVD-2023-25105、CNVD-2023-25106、CNVD-2023-27689）、Adobe Dimension堆缓冲区溢出漏洞（CNVD-2023-25104、CNVD-2023-25109、CNVD-2023-25112、CNVD-2023-25111）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2023-25103
https://www.cnvd.org.cn/flaw/show/CNVD-2023-25105
https://www.cnvd.org.cn/flaw/show/CNVD-2023-25106
https://www.cnvd.org.cn/flaw/show/CNVD-2023-27689
https://www.cnvd.org.cn/flaw/show/CNVD-2023-25104
https://www.cnvd.org.cn/flaw/show/CNVD-2023-25109
https://www.cnvd.org.cn/flaw/show/CNVD-2023-25112
https://www.cnvd.org.cn/flaw/show/CNVD-2023-25111
2、Google产品安全漏洞
Google Android是美国谷歌（Google）公司的一套以Linux为基础的开源操作系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，提升权限。
https://www.cnvd.org.cn/flaw/show/CNVD-2023-26078
3、Apache产品安全漏洞
Apache OpenOffice是美国阿帕奇（Apache）基金会的一款开源的办公软件套件。该套件包含文本文档、电子表格、演示文稿、绘图、数据库等。Apache UIMA DUCC是美国阿帕奇（Apache）基金会的一套集群管理系统。该系统提供工具，管理和调度工具。Apache InLong是美国阿帕奇（Apache）基金会的一站式的海量数据集成框架。Apache Sling是美国阿帕奇（Apache）基金会的一个Java平台的开源Web框架。旨在在符合JSR-170的内容存储库（例如Apache Jackrabbi）上创建以内容为中心的应用程序。Apache Kerby是美国阿帕奇（Apache）基金会的一个Java Kerberos绑定。提供了丰富、直观和可互操作的实现、库、KDC和各种设施，可根据现代环境（如云、Hadoop 和移动）的需要集成PKI、OTP和令牌（OAuth2）。Apache Dubbo是美国阿帕奇（Apache）基金会的一款基Jav的轻量级RPC（远程过程调用）框架。该产品提供了基于接口的远程呼叫、容错和负载平衡以及自动服务注册和发现等功能。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞执行任意代码等。
5、D-Link DIR-846命令执行漏洞（CNVD-2023-27681）
D-Link DIR-846是中国友讯（D-Link）公司的一款无线路由器。本周，D-Link DIR-846被披露存在命令执行漏洞，攻击者可利用该漏洞在系统上执行任意命令。目前，厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2023-27681
小结：本周，Adobe产品被披露存在多个漏洞，攻击者可利用漏洞执行任意代码。此外，Google、Apache、Foxit等多款产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，提升权限，执行任意代码等。另外，D-Link DIR-846被披露存在命令执行漏洞，攻击者可利用该漏洞在系统上执行任意命令。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。
本周重要漏洞攻击验证情况
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论