信息安全漏洞周报(2024年第34期 )

admin 2024年8月20日21:20:02信息安全漏洞周报(2024年第34期 )已关闭评论97 views字数 5680阅读18分56秒阅读模式

信息安全漏洞周报(2024年第34期 )

信息安全漏洞周报(2024年第34期 )
点击蓝字 关注我们

信息安全漏洞周报(2024年第34期 )

漏洞情况

根据国家信息安全漏洞库(CNNVD)统计,本周(2024年8月12日至2024年8月18日)安全漏洞情况如下:

公开漏洞情况

本周CNNVD采集安全漏洞1057个。

接报漏洞情况

本周CNNVD接报漏洞34287个,其中信息技术产品漏洞(通用型漏洞)283个,网络信息系统漏洞(事件型漏洞)53个,漏洞平台推送漏洞33951个。

公开漏洞情况

根据国家信息安全漏洞库(CNNVD)统计,本周新增安全漏洞1057个,漏洞新增数量有所上升。从厂商分布来看WordPress基金会新增漏洞最多,有176个;从漏洞类型来看,跨站脚本类的安全漏洞占比最大,达到9.37%。新增漏洞中,超危漏洞33个,高危漏洞233个,中危漏洞781个,低危漏洞10个。

(一) 安全漏洞增长数量情况

本周CNNVD采集安全漏洞1057个。

信息安全漏洞周报(2024年第34期 )

图1 近五周漏洞新增数量统计图

(二) 安全漏洞分布情况

厂商分布来看,WordPress基金会新增漏洞最多,有176个。各厂商漏洞数量分布如表1所示。

表1 新增安全漏洞排名前五厂商统计表
序号
厂商名称
漏洞数量(个)
所占比例
1
WordPress基金会
176
16.65%
2
Linux基金会
112
10.60%
3
微软
84
7.95%
4
Adobe
74
7.00%
5
英特尔
59
5.58%

本周国内厂商漏洞121个,腾达公司漏洞数量最多,有37个。国内厂商漏洞整体修复率为51.24%。请受影响用户关注厂商修复情况,及时下载补丁修复漏洞。

从漏洞类型来看, 跨站脚本类的安全漏洞占比最大,达到9.37%。漏洞类型统计如表2所示。

表2 漏洞类型统计表
序号
漏洞类型
漏洞数量(个)
所占比例
1
跨站脚本
99
9.37%
2
缓冲区错误
45
4.26%
3
SQL注入
39
3.69%
4
代码问题
31
2.93%
5
资源管理错误
21
1.99%
6
输入验证错误
15
1.42%
7
操作系统命令注入
13
1.23%
8
路径遍历
13
1.23%
9
访问控制错误
12
1.14%
10
信息泄露
11
1.04%
11
命令注入
8
0.76%
12
跨站请求伪造
7
0.66%
13
授权问题
3
0.28%
14
代码注入
3
0.28%
15
后置链接
2
0.19%
16
加密问题
2
0.19%
17
数据伪造问题
2
0.19%
18
安全特征问题
2
0.19%
19
日志信息泄露
1
0.09%
20
竞争条件问题
1
0.09%
21
信任管理问题
1
0.09%
22
数字错误
1
0.09%
23
其他
725
68.59%

(三) 安全漏洞危害等级与修复情况

本周共发布超危漏洞33个,高危漏洞233个,中危漏洞781个,低危漏洞10个。相应修复率分别为78.79%、89.70%、75.67%和90.00%。根据补丁信息统计,合计835个漏洞已有修复补丁发布,整体修复率为79.00%。详细情况如表3所示。

表3 漏洞危害等级与修复情况
序号
危害等级
漏洞数量(个)
修复数量(个)
修复率
1
超危
33
26
78.79%
2
高危
233
209
89.70%
3
中危
781
591
75.67%
4
低危
10
9
90.00%
合计
1057
835
79.00%

(四) 本周重要漏洞实例

本周重要漏洞实例如表4所示。

表4 本期重要漏洞实例
序号
漏洞编号
危害等级
1
CNNVD-202408-1061
超危
2
CNNVD-202408-1230
高危
3
CNNVD-202408-1672
高危

1.Microsoft Line Printer Daemon Service 资源管理错误漏洞(CNNVD-202408-1061)

Microsoft Line Printer Daemon Service是美国微软(Microsoft)公司的一项网络打印服务。

Microsoft Line Printer Daemon Service存在资源管理错误漏洞,该漏洞源于内存释放后重用。攻击者利用该漏洞可以远程执行代码。以下产品和版本受到影响:Windows 10 Version 1809 for 32-bit Systems,Windows 10 Version 1809 for x64-based Systems,Windows 10 Version 1809 for ARM64-based Systems,Windows Server 2019,Windows Server 2019 (Server Core installation),Windows Server 2022,Windows Server 2022 (Server Core installation),Windows 11 version 21H2 for x64-based Systems,Windows 11 version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for 32-bit Systems,Windows 10 Version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for x64-based Systems,Windows 11 Version 22H2 for ARM64-based Systems,Windows 11 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for ARM64-based Systems,Windows 10 Version 22H2 for 32-bit Systems,Windows 11 Version 23H2 for x64-based Systems,Windows Server 2022, 23H2 Edition (Server Core installation),Windows 11 Version 24H2 for ARM64-based Systems,Windows 11 Version 24H2 for x64-based Systems,Windows 10 for 32-bit Systems,Windows 10 for x64-based Systems,Windows 10 Version 1607 for 32-bit Systems,Windows 10 Version 1607 for x64-based Systems,Windows Server 2016,Windows Server 2016 (Server Core installation),Windows Server 2008 for 32-bit Systems Service Pack 2,Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation),Windows Server 2008 for x64-based Systems Service Pack 2,Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation),Windows Server 2008 R2 for x64-based Systems Service Pack 1,Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation),Windows Server 2012,Windows Server 2012 (Server Core installation),Windows Server 2012 R2,Windows Server 2012 R2 (Server Core installation),Windows 11 Version 23H2 for ARM64-based Systems。

目前厂商已发布升级补丁以修复漏洞,参考链接:

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38199

2.Adobe Acrobat Reader 缓冲区错误漏洞(CNNVD-202408-1230)

Adobe Acrobat Reader是美国奥多比(Adobe)公司的一款PDF查看器,该软件用于打印、签名和注释PDF。

Adobe Acrobat Reader存在缓冲区错误漏洞,该漏洞源于允许内存越界写入。攻击者利用该漏洞可以在当前用户的环境中执行任意代码。

目前厂商已发布升级补丁以修复漏洞,参考链接:

https://helpx.adobe.com/security/products/acrobat/apsb24-57.html

3.WordPress plugin tagDiv Opt-In Builder 安全漏洞(CNNVD-202408-1672)

WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。

WordPress plugin tagDiv Opt-In Builder 1.4.4版本及之前版本存在安全漏洞,该漏洞源于对用户提供的参数转义不足以及对现有SQL查询缺乏充分的准备。攻击者利用该漏洞可以执行SQL注入攻击。

目前厂商已发布升级补丁以修复漏洞,参考链接:

https://www.wordfence.com/threat-intel/vulnerabilities/id/7659ac9b-fa4e-4cb7-9887-38aa65b6d1c3?source=cve


漏洞平台推送情况

本周CNNVD接收漏洞平台推送漏洞33951个。

表5 本周漏洞平台推送情况
序号
漏洞平台
漏洞总量
1
漏洞盒子
19935
2
补天平台
12938
3
360漏洞云
1078
推送总计
33951

接报漏洞情况

本周CNNVD接报漏洞336个,其中信息技术产品漏洞(通用型漏洞)283个,网络信息系统漏洞(事件型漏洞)53个。

表6 本周漏洞报送情况
序号
报送单位
漏洞总量
1
个人
41
2
华为技术有限公司
27
3
江西神舟信息安全评估中心有限公司
25
4
深信服科技股份有限公司
20
5
星云博创科技有限公司
20
6
北京国科数安科技有限公司
15
7
广州纬安科技有限公司
13
8
中资网络信息安全科技有限公司
12
9
云盾智慧安全科技有限公司
11
10
北京知道创宇信息技术股份有限公司
10
11
北京金睛云华科技有限公司
9
12
宁波和利时信息安全研究院有限公司
9
13
南方电网数字电网集团信息通信科技有限公司
8
14
广州锦行网络科技有限公司
7
15
北京启明星辰信息安全技术有限公司
6
16
山西轩辕信息安全技术有限公司
6
17
零日信安(武汉市)技术有限责任公司
5
18
途耀信息技术(上海)有限公司
5
19
北京天融信网络安全技术有限公司
4
20
北京微步在线科技有限公司
4
21
广州竞远安全技术股份有限公司
4
22
清远职业技术学院
4
23
上海巨耕信息技术有限公司
4
24
深圳开源互联网安全技术有限公司
4
25
北京锦岳智慧科技有限公司
3
26
北京五一嘉峪科技有限公司
3
27
河南东方云盾信息技术有限公司
3
28
河南灵创电子科技有限公司
3
29
上海上讯信息技术股份有限公司
3
30
云海和光(北京)数字科技有限公司
3
31
证通股份有限公司
3
32
中孚安全技术有限公司
3
33
北京有略安全技术有限公司
2
34
道普信息技术有限公司
2
35
贵州蓝天创新科技有限公司
2
36
国网青海省电力公司电力科学研究院
2
37
杭州安恒信息技术股份有限公司
2
38
河北华测信息技术有限公司
2
39
三六零数字安全科技集团有限公司
2
40
山东数悦信息技术有限公司
2
41
腾讯云计算(北京)有限责任公司
2
42
远江盛邦(北京)网络安全科技股份有限公司
2
43
中国电信股份有限公司网络安全产品运营中心
2
44
北京华云安信息技术有限公司
1
45
北京镕瑞科技有限公司
1
46
北京山石网科信息技术有限公司
1
47
北京天地和兴科技有限公司
1
48
北京云科安信科技有限公司
1
49
贵州泰若数字科技有限公司
1
50
江西渝融云安全科技有限公司
1
51
龙岩市鲸之云盾互联网服务有限公司
1
52
马鞍山书拓安全科技有限公司
1
53
内蒙古数字安全科技有限公司
1
54
赛尔网络有限公司
1
55
山东鼎夏智能科技有限公司
1
56
苏州如意云网络科技有限公司
1
57
苏州市莫张信息科技有限责任公司
1
58
维安(山东)数字技术有限公司
1
59
浙江齐安信息科技有限公司
1
60
重庆嘉天琪科技有限公司
1
报送总计
336


收录漏洞通报情况

本周CNNVD收录漏洞通报86份。

表7本周漏洞通报情况
序号
报送单位
通报总量
1
中孚安全技术有限公司
14
2
科来网络技术股份有限公司
9
3
华为技术有限公司
5
4
云盾智慧安全科技有限公司
5
5
杭州迪普科技股份有限公司
4
6
甘肃赛飞安全科技有限公司
3
7
三六零数字安全科技集团有限公司
3
8
安恒愿景(成都)信息科技有限公司
2
9
北京神州绿盟科技有限公司
2
10
北京知其安科技有限公司
2
11
博智安全科技股份有限公司
2
12
广州纬安科技有限公司
2
13
杭州安恒信息技术股份有限公司
2
14
零日信安(武汉市)技术有限责任公司
2
15
锐捷网络股份有限公司
2
16
上海谋乐网络科技有限公司
2
17
腾讯云计算(北京)有限责任公司
2
18
西藏熙安信息技术有限责任公司
2
19
中国信息安全测评中心华中测评中心(湖南省信息安全测评中心)
2
20
北京安天网络安全技术有限公司
1
21
北京启明星辰信息安全技术有限公司
1
22
北京山石网科信息技术有限公司
1
23
北京天融信网络安全技术有限公司
1
24
北京五一嘉峪科技有限公司
1
25
广东省信息安全测评中心
1
26
河北华测信息技术有限公司
1
27
河南东方云盾信息技术有限公司
1
28
湖南中测网安信息技术有限公司
1
29
江苏灵盾信息安全科技有限公司
1
30
浪潮电子信息产业股份有限公司
1
31
奇安信网神信息技术(北京)股份有限公司
1
32
上海斗象信息科技有限公司
1
33
深信服科技股份有限公司
1
34
深圳市网安计算机安全检测技术有限公司
1
35
西安交大捷普网络科技有限公司
1
36
远江盛邦(北京)网络安全科技股份有限公司
1
37
云海和光(北京)数字科技有限公司
1
38
郑州云智信安安全技术有限公司
1
收录总计
86

信息安全漏洞周报(2024年第34期 )

免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年8月20日21:20:02
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   信息安全漏洞周报(2024年第34期 )https://cn-sec.com/archives/3082616.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉.