CNVD漏洞周报2021年第21期

2021年5月24日-2021年5月30日

本周漏洞态势研判情况

本周信息安全漏洞威胁整体评价级别为中。

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞604个，其中高危漏洞143个、中危漏洞379个、低危漏洞82个。漏洞平均分值为5.52。本周收录的漏洞中，涉及0day漏洞223个（占37%），其中互联网上出现“Multilaser Router AC1200跨站请求伪造漏洞、MyLittleAdmin输入验证错误漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数2984个，与上周（3079个）环比减少3%。

图1 CNVD收录漏洞近10周平均分值分布图

图2 CNVD 0day漏洞总数按周统计

本周漏洞事件处置情况

本周，CNVD向银行、保险、能源等重要行业单位通报漏洞事件19起，向基础电信企业通报漏洞事件16起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件490起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件43起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件29起。

图3 CNVD各行业漏洞处置情况按周统计

图4 CNCERT各分中心处置情况按周统计

图5 CNVD教育行业应急组织处置情况按周统计

此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：

淄博闪灵网络科技有限公司、郑州微厦计算机科技有限公司、正方软件股份有限公司、运城市盘石网络科技有限公司、友讯电子设备（上海）有限公司、优酷信息技术（北京）有限公司、用友网络科技股份有限公司、西门子（中国）有限公司、武汉中地数码科技有限公司、武汉玖玖珈网络科技有限公司、无锡信捷电气股份有限公司、维沃移动通信（深圳）有限公司、唯智信息技术（上海）股份有限公司、微宏软件技术（杭州）有限公司、天信仪表集团有限公司、天津黑核科技有限公司、泰安梦泰尔软件有限公司、四平市九州易通科技有限公司、四创科技有限公司、四川易泊时捷智能科技有限公司、四川迅游网络科技股份有限公司、四川五佳网络科技有限公司、四川方法数码科技有限公司、石家庄和嘉科技有限公司、深圳维盟科技股份有限公司、深圳搜豹网络有限公司、深圳市中科网威科技有限公司、深圳市英威腾电气股份有限公司、深圳市鑫星空软件有限公司、深圳市微耕实业有限公司、深圳市网域科技技术有限公司、深圳市万网博通投资管理有限合伙企业、深圳市硕赢互动信息技术有限公司、深圳市明源云科技有限公司、深圳市利谱信息技术有限公司、深圳市惠尔顿信息技术有限公司、深圳市大世同舟信息科技有限公司、深圳市百为通达科技有限公司、深圳警翼智能科技股份有限公司、上海迅饶自动化科技有限公司、上海斐讯数据通信技术有限公司、上海泛微网络科技股份有限公司、上海顶想信息科技有限公司、上海艾泰科技有限公司、熵基科技股份有限公司、山东科德电子有限公司、山东康网网络技术有限公司、山东聚恒网络技术有限公司、厦门市灵鹿谷科技有限公司、三盟科技股份有限公司、睿易教育科技股份有限公司、任子行网络技术股份有限公司、普联技术有限公司、宁波互明科技有限公司、雷神科技有限公司、浪潮集团有限公司、廊坊市极致网络科技有限公司、江苏易索电子科技股份有限公司、江苏三希科技股份有限公司、淮南市讯网信息技术有限公司、华硕电脑（上海）有限公司、湖南聚匠科技有限公司、湖南翱云网络科技有限公司、洪湖尔创网联信息技术有限公司、河南青否网络科技有限公司、杭州海康威视系统技术有限公司、杭州海康威视数字技术股份有限公司、汉王科技股份有限公司、桂林崇胜网络科技有限公司、广州图创计算机软件开发有限公司、广州安网通信技术有限公司、广西唐宋软件有限公司、广西日报传媒集团有限公司、福建智度科技有限公司、福建博思软件股份有限公司、佛山云迈电子商务有限公司、帆软软件有限公司、东华软件股份公司、盯盯拍（深圳）技术股份有限公司、成都星锐蓝海网络科技有限公司、成都新线加科技有限公司、成都市智蜂网科技有限责任公司、成都德芯数字科技股份有限公司、北京卓导科技有限公司、北京中科网威信息技术有限公司、北京中创视讯科技有限公司、北京原创先锋网络科技发展有限公司、北京亿赛通科技发展有限责任公司、北京星网锐捷网络技术有限公司、北京网康科技有限公司、北京搜狐互联网信息服务有限公司、北京硕人时代科技股份有限公司、北京世纪长秋科技有限公司、北京齐鲁泓霖科技有限公司、北京领英信息技术有限公司、北京猎豹网络科技有限公司、北京朗新天霁软件技术有限公司、北京火绒网络科技有限公司、北京火木科技有限公司、北京宏景世纪软件有限公司、北京和利时集团、北京百卓网络技术有限公司、北京奥泰瑞格科技有限公司、安美世纪（北京）科技有限公司、上海荃路软件开发工作室、联想全球安全实验室、帝国软件、百度安全应急响应中心、狂雨小说cms、鱼跃CMS、若依、zzzcms、zzcms、yycms、YFCMF、xhcms2、XHCMS、semcms、KiteCMS、Joomla、Google、EacooPHP、Dreamer CMS、BEESCMS、Axis Communications、Belkin International,Inc和Adobe。

本周，CNVD发布了《关于VMware vCenter Server存在远程代码执行漏洞的安全公告》。详情参见CNVD网站公告内容。

https://www.cnvd.org.cn/webinfo/show/6461

本周漏洞报送情况统计

本周报送情况如表1所示。其中，北京神州绿盟科技有限公司、新华三技术有限公司、北京数字观星科技有限公司、深信服科技股份有限公司、华为技术有限公司等单位报送公开收集的漏洞数量较多。南京众智维信息科技有限公司、北京信联科汇科技有限公司、新疆海狼科技有限公司、安徽长泰信息安全服务有限公司、河南信安世纪科技有限公司、江西省掌控者信息安全技术有限公司、北京山石网科信息技术有限公司、河南灵创电子科技有限公司、北京安帝科技有限公司、北京天地和兴科技有限公司、山东云天安全技术有限公司、上海纽盾科技股份有限公司、杭州木链物联网科技有限公司、四川哨兵信息科技有限公司、福建省海峡信息技术有限公司、联想全球安全实验室、广州安亿信软件科技有限公司、浙江大学控制科学与工程学院、上海市信息安全测评认证中心、武汉绿色网络信息服务有限责任公司、武汉明嘉信信息安全检测评估有限公司、新疆天山智汇信息科技有限公司、浙江东安检测技术有限公司、浙江御安信息技术有限公司、中移（杭州）信息技术有限公司、北京机沃科技有限公司及其他个人白帽子向CNVD提交了2984个以事件型漏洞为主的原创漏洞，其中包括奇安信网神（补天平台）、斗象科技（漏洞盒子）和上海交大向CNVD共享的白帽子报送的1867条原创漏洞信息。

表1 漏洞报送情况统计表

本周漏洞按类型和厂商统计

 

本周，CNVD收录了604个漏洞。应用程序329个，WEB应用165个，网络设备（交换机、路由器等网络端设备）65个，操作系统18个，智能设备（物联网终端设备）17个，安全产品9个，数据库1个。

表2 漏洞按影响类型统计表

图6 本周漏洞按影响类型分布

CNVD整理和发布的漏洞涉及Google、Cisco、Oracle等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。

表3 漏洞产品涉及厂商分布统计表

本周行业漏洞收录情况

本周，CNVD收录了48个电信行业漏洞，6个移动互联网行业漏洞，23个工控行业漏洞（如下图所示）。其中，“Cisco SD-WAN vEdge缓冲区溢出漏洞、Samsung Galaxy S5缓冲区溢出漏洞、3S-Smart Software Solutions CODESYS V2 Web-Server越界写入漏洞、Siemens SmartVNC内存越界访问漏洞”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序，请参照CNVD相关行业漏洞库链接。

电信行业漏洞链接：http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接：http://mi.cnvd.org.cn/

工控系统行业漏洞链接：http://ics.cnvd.org.cn/

图7 电信行业漏洞统计

图8 移动互联网行业漏洞统计

图9 工控系统行业漏洞统计

本周重要漏洞安全告警

本周，CNVD整理和发布以下重要安全漏洞信息。

1、Google产品安全漏洞

Google TensorFlow是美国谷歌（Google）公司的一套用于机器学习的端到端开源平台。Android是美国谷歌（Google）和开放手持设备联盟（简称OHA）的一套以Linux为基础的开源操作系统。Audio driver是其中的一个音频驱动程序。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞造成拒绝服务，导致“Conv2DBackpropFilter”中发生堆缓冲区溢出等。

CNVD收录的相关漏洞包括：Google TensorFlowRaggedBinCount拒绝服务漏洞（CNVD-2021-37606、CNVD-2021-37607）、Google TensorFlow拒绝服务漏洞（CNVD-2021-37609、CNVD-2021-37632）、Google TensorFlow QuantizedReshape拒绝服务漏洞、Google TensorFlow Conv2DBackpropFilter拒绝服务漏洞、Google TensorFlow QuantizedResizeBilinear拒绝服务漏洞、Google TensorFlow SparseDenseCwiseMul堆越界访问漏洞。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-37606

https://www.cnvd.org.cn/flaw/show/CNVD-2021-37609

https://www.cnvd.org.cn/flaw/show/CNVD-2021-37607

https://www.cnvd.org.cn/flaw/show/CNVD-2021-37614

https://www.cnvd.org.cn/flaw/show/CNVD-2021-37618

https://www.cnvd.org.cn/flaw/show/CNVD-2021-37615

https://www.cnvd.org.cn/flaw/show/CNVD-2021-37632

https://www.cnvd.org.cn/flaw/show/CNVD-2021-37640

2、Cisco产品安全漏洞

Cisco SD-WAN vManage Software是美国思科（Cisco）公司的一款用于SD-WAN（软件定义广域网络）解决方案的管理软件。Cisco DNA Spaces是美国思科（Cisco）公司的一套室内定位服务平台。Cisco SD-WAN vEdge是美国思科（Cisco）公司的是一款路由器。该设备可为思科SD-WAN解决方案提供基本WAN，安全性和多云功能。Cisco Enterprise NFVInfrastructure Software是一款轻量级虚拟化平台，将完整的VM生命周期管理、监控、设备可编程性及服务链集成在了一个可安装的软件包中。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞以root特权在底层操作系统上执行任意代码，导致缓冲区溢出，发送大量API请求导致拒绝服务等。

CNVD收录的相关漏洞包括：Cisco Finesse跨站脚本漏洞（CNVD-2021-36553）、Cisco SD-WAN vManageSoftware缓冲区溢出漏洞、Cisco DNA Spaces操作系统命令注入漏洞、Cisco DNA Spaces Connector操作系统命令注入漏洞、Cisco SD-WAN vManage拒绝服务漏洞、Cisco SD-WAN vEdge缓冲区溢出漏洞、Cisco Enterprise NFVInfrastructure Software命令注入漏洞、Cisco SD-WAN vManage授权问题漏洞。其中，除“Cisco Finesse跨站脚本漏洞（CNVD-2021-36553）”外，其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-36553

https://www.cnvd.org.cn/flaw/show/CNVD-2021-37062

https://www.cnvd.org.cn/flaw/show/CNVD-2021-37123

https://www.cnvd.org.cn/flaw/show/CNVD-2021-37476

https://www.cnvd.org.cn/flaw/show/CNVD-2021-37684

https://www.cnvd.org.cn/flaw/show/CNVD-2021-37682

https://www.cnvd.org.cn/flaw/show/CNVD-2021-37688

https://www.cnvd.org.cn/flaw/show/CNVD-2021-37687

3、CloudBees产品安全漏洞

CloudBees Jenkins（Hudson Labs）是美国CloudBees公司的一套基于Java开发的持续集成工具。该产品主要用于监控持续的软件版本发布/测试项目和一些定时执行的任务。LTS是CloudBeesJenkins的一个长期支持版本。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞通过指定的凭据ID连接至指定的URL，从而获取存储在Jenkins中的凭据，通过使用指定的用户名和密码连接至其指定的Perforce服务器，获取已配置的配置文件的列表，发起跨站脚本攻击等。

CNVD收录的相关漏洞包括：CloudBees Jenkins Xray -Test Management for Jira Plugin跨站请求伪造漏洞、CloudBees Jenkins Xray -Test Management for Jira Plugin授权问题漏洞、CloudBees Jenkins P4Plugin跨站请求伪造漏洞、CloudBees Jenkins P4Plugin访问控制错误漏洞、CloudBees Jenkins S3publisher Plugin授权问题漏洞（CNVD-C-2021-118103）、CloudBees Jenkins Xcode integration Plugin XML外部实体注入漏洞、CloudBees Jenkins CloudBees CD Plugin授权问题漏洞、CloudBees Jenkins Credentials Plugin跨站脚本漏洞。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-36577

https://www.cnvd.org.cn/flaw/show/CNVD-2021-36576

https://www.cnvd.org.cn/flaw/show/CNVD-2021-36582

https://www.cnvd.org.cn/flaw/show/CNVD-2021-36581

https://www.cnvd.org.cn/flaw/show/CNVD-2021-36579

https://www.cnvd.org.cn/flaw/show/CNVD-2021-36578

https://www.cnvd.org.cn/flaw/show/CNVD-2021-36585

https://www.cnvd.org.cn/flaw/show/CNVD-2021-36584

4、SAP产品安全漏洞

SAP Process Integration 是德国SAP公司提供的一种中间件，可使SAP 与公司中的非SAP 应用程序或公司外部的系统进行无缝集成。SAP GUI是德国思爱普（SAP）公司的一个应用软件。SAP系统的图形用户界面。SAP Commerce是德国思爱普（SAP）公司的一套基于云的电子商务平台。该产品支持销售管理、营销管理、订单管理和运营管理等。SAP Netweaver是德国思爱普（SAP）公司的一套面向服务的集成化应用平台。该平台主要为SAP应用程序提供开发和运行环境。SAP NetWeaver Application Server（AS）Java是一款运行于NetWeaver中且基于Java编程语言的应用服务器。SAP NetWeaver Master Data Management（SAP MDM）是德国SAP公司的一款用于管理企业间协同合作的软件。SAP Solution Manager是德国思爱普（SAP）公司的一套集系统监控、SAP支持桌面、自助服务、ASAP实施等多个功能为一体的系统管理平台。该平台可以帮助客户建立SAP解决方案的生命周期管理，并提供系统监控、远程支持服务和SAP产品组件升级等功能。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞导致拒绝服务，可以创建恶意XML，当应用程序上载和解析该XML时，可能会由于消耗大量系统内存而导致拒绝服务情况，从而严重影响系统可用性，窃取受害者的凭据，执行ABAP报告注入恶意代码利用该漏洞访问数据、覆盖数据或导致拒绝服务等。

CNVD收录的相关漏洞包括：SAP Process Integration权限许可和访问控制问题漏洞（CNVD-2021-36675、CNVD-2021-36676）、SAP GUI输入验证错误漏洞、SAP Commerce信息泄露漏洞（CNVD-2021-36678）、SAP NetWeaver AS ABAP代码注入漏洞、SAP NetWeaver Application Server for Java访问控制错误漏洞、SAP NetWeaver Master Data Management信息泄露漏洞（CNVD-2021-36683）、SAP Solution Manager信息泄露漏洞。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-36676

https://www.cnvd.org.cn/flaw/show/CNVD-2021-36675

https://www.cnvd.org.cn/flaw/show/CNVD-2021-36674

https://www.cnvd.org.cn/flaw/show/CNVD-2021-36678

https://www.cnvd.org.cn/flaw/show/CNVD-2021-36677

https://www.cnvd.org.cn/flaw/show/CNVD-2021-36684

https://www.cnvd.org.cn/flaw/show/CNVD-2021-36683

https://www.cnvd.org.cn/flaw/show/CNVD-2021-36682

5、IBM Security Guardium命令执行漏洞

IBM Security Guardium是美国IBM公司的一套提供数据保护功能的平台。该平台包括自定义UI、报告管理和流线化的审计流程构建等功能。本周，IBMSecurity Guardium被披露存在命令执行漏洞。攻击者可利用该漏洞通过发送专门设计的请求在系统上执行任意命令。目前，厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-37119

小结：本周，Google产品被披露存在多个漏洞，攻击者可利用漏洞造成拒绝服务，导致“Conv2DBackpropFilter”中发生堆缓冲区溢出等。此外，Cisco、CloudBees、SAP等多款产品被披露存在多个漏洞，攻击者可利用漏洞以root特权在底层操作系统上执行任意代码，导致缓冲区溢出，通过指定的凭据ID连接至指定的URL，从而获取存储在Jenkins中的凭据，通过使用指定的用户名和密码连接至其指定的Perforce服务器，获取已配置的配置文件的列表，发起跨站脚本攻击等。另外，IBM Security Guardium被披露存在命令执行漏洞。攻击者可利用漏洞通过发送专门设计的请求在系统上执行任意命令。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

本周重要漏洞攻击验证情况

本周，CNVD建议注意防范以下已公开漏洞攻击验证情况。

1、Multilaser Router AC1200跨站请求伪造漏洞

验证描述

Multilaser Router AC1200是Multilaser公司的一个路由器。

Multilaser Router AC1200 V02.03.01.45_pt存在跨站请求伪造漏洞，攻击者可利用该漏洞通过配置错误的请求、条目和报头启用远程访问、更改密码和执行其他操作。

验证信息

https://packetstormsecurity.com/files/162258/Multilaser-Router-RE018-AC1200-Cross-Site-Request-Forgery.html

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-36851

信息提供者

恒安嘉新（北京）科技股份公司

注：以上验证信息(方法)可能带有攻击性，仅供安全研究之用。请广大用户加强对漏洞的防范工作，尽快下载相关补丁。

关于CNVD

国家信息安全漏洞共享平台（China National Vulnerability Database，简称CNVD）是CNCERT联合国内重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的信息安全漏洞信息共享知识库，致力于建立国家统一的信息安全漏洞收集、发布、验证、分析等应急处理体系。

关于CNCERT

国家计算机网络应急技术处理协调中心（简称“国家互联网应急中心”，英文简称是CNCERT或CNCERT/CC），成立于2002年9月，为非政府非盈利的网络安全技术中心，是我国网络安全应急体系的核心协调机构。

作为国家级应急中心，CNCERT的主要职责是：按照“积极预防、及时发现、快速响应、力保恢复”的方针，开展互联网网络安全事件的预防、发现、预警和协调处置等工作，维护国家公共互联网安全，保障基础信息网络和重要信息系统的安全运行。

网址：www.cert.org.cn

邮箱：[email protected]

电话：010-82991537

关注CNVD漏洞平台

本文始发于微信公众号（CNVD漏洞平台）：CNVD漏洞周报2021年第21期