信息安全漏洞周报（2024年第28期 ）

点击蓝字 关注我们

根据国家信息安全漏洞库（CNNVD）统计，本周新增安全漏洞450个，漏洞新增数量有所下降。从厂商分布来看WordPress基金会新增漏洞最多，有58个；从漏洞类型来看，跨站脚本类的安全漏洞占比最大，达到3.56%。新增漏洞中，超危漏洞22个，高危漏洞63个，中危漏洞356个，低危漏洞9个。

图1 近五周漏洞新增数量统计图

从厂商分布来看，WordPress基金会新增漏洞最多，有58个。各厂商漏洞数量分布如表1所示。

本周国内厂商漏洞46个，千视公司漏洞数量最多，有8个。国内厂商漏洞整体修复率为65.22%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。

从漏洞类型来看, 跨站脚本类的安全漏洞占比最大，达到3.56%。漏洞类型统计如表2所示。

本周共发布超危漏洞22个，高危漏洞63个，中危漏洞356个，低危漏洞9个。相应修复率分别为63.64%、92.06%、74.16%和88.89%。根据补丁信息统计，合计344个漏洞已有修复补丁发布，整体修复率为76.44%。详细情况如表3所示。

本周重要漏洞实例如表4所示。

Apache CloudStack是美国阿帕奇（Apache）基金会的一套基础架构即服务（IaaS）云计算平台，该平台主要用于部署和管理大型虚拟机网络。

Apache CloudStack 4.0.0版本至4.18.2.1之前版本、4.19.0.0版本至4.19.0.2之前版本存在代码注入漏洞，该漏洞源于9090端口被滥用以运行任意命令。攻击者利用该漏洞可以执行任意代码。

https://lists.apache.org/thread/6l51r00csrct61plkyd3qg3fj99215d1

SAMSUNG Mobile devices是韩国三星（SAMSUNG）公司的一系列的三星移动设备，包括手机、平板等。

SAMSUNG Mobile devices SMR Jul-2024 Release 1存在安全漏洞，该漏洞源于访问控制不当。攻击者利用该漏洞可以启动特权活动。

https://security.samsungmobile.com/securityUpdate.smsb?year=2024&month=07

WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。

WordPress plugin IMGspider 2.3.10版本及之前版本存在安全漏洞，该漏洞源于upload_img_file函数缺少文件类型验证。攻击者利用该漏洞可以上传任意文件。

https://www.wordfence.com/threat-intel/vulnerabilities/id/306f00e4-9a70-48be-a91e-e396643a8129?source=cve

本周CNNVD接收漏洞平台推送漏洞23237个。

本周CNNVD接报漏洞271个，其中信息技术产品漏洞（通用型漏洞）194个，网络信息系统漏洞（事件型漏洞）77个。

本周CNNVD收录漏洞通报129份。

近日，国家信息安全漏洞库（CNNVD）收到关于OpenSSH安全漏洞（CNNVD-202407-017、CVE-2024-6387）情况的报送。攻击者可以利用该漏洞在无需认证的情况下，通过竞争条件远程执行任意代码并获得系统控制权。OpenSSH多个版本受该漏洞影响。目前，OpenSSH官方已发布新版本修复了该漏洞，建议用户及时确认产品版本，尽快采取修补措施。

1.漏洞介绍

OpenSSH是加拿大OpenBSD计划组的一套用于安全访问远程计算机的连接工具。该工具是SSH协议的开源实现，支持对所有的传输进行加密，可有效阻止窃听、连接劫持以及其他网络级的攻击。该漏洞源于信号处理程序中存在竞争条件，攻击者利用该漏洞可以在无需认证的情况下远程执行任意代码并获得系统控制权。

2.危害影响

OpenSSH 8.5p1版本至9.8p1之前版本均受该漏洞影响。

3.修复建议

https://www.openssh.com/txt/release-9.8

原文始发于微信公众号（CNNVD安全动态）：信息安全漏洞周报（2024年第28期 ）