信息安全漏洞周报（2021年第22期）

公开漏洞情况

  本周CNNVD采集安全漏洞446个，与上周（301个）相比增加了48.17%。

接报漏洞情况

  本周CNNVD接报漏洞1584个，其中信息技术产品漏洞（通用型漏洞）76个，网络信息系统漏洞（事件型漏洞）1508个。

一、公开漏洞情况

根据国家信息安全漏洞库（CNNVD）统计，本周新增安全漏洞446个，漏洞新增数量有所上升。从厂商分布来看苹果公司新增漏洞最多，有71个；从漏洞类型来看，缓冲区错误类的安全漏洞占比最大，达到13.23%。新增漏洞中，超危漏洞38个，高危漏洞107个，中危漏洞270个，低危漏洞31个。相应修复率分别为60.53%、81.31%、76.30%和90.32%。根据补丁信息统计，合计344个漏洞已有修复补丁发布，整体修复率为77.13%。

  本周CNNVD采集安全漏洞446个与上周（301个）相比增加了48.17%。

图1 近五周漏洞新增数量统计图

从厂商分布来看，苹果公司新增漏洞最多，有71个。各厂商漏洞数量分布如表1所示。

表1 新增安全漏洞排名前五厂商统计表

  本周国内厂商漏洞9个，华为公司漏洞数量最多，有2个。国内厂商漏洞整体修复率为50.00%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。

  从漏洞类型来看, 缓冲区错误类的安全漏洞占比最大，达到13.23%。漏洞类型统计如表2所示。

    表2 漏洞类型统计表

  本周共发布超危漏洞38个，高危漏洞107个，中危漏洞270个，低危漏洞31个。相应修复率分别为60.53%、81.31%、76.30%和90.32%。根据补丁信息统计，合计344个漏洞已有修复补丁发布，整体修复率为77.13%。详细情况如表3所示。

表3 漏洞危害等级与修复情况

    本期重要漏洞实例如表4所示。

表4 本期重要漏洞实例

1. IBM Cognos Analytics授权问题漏洞（CNNVD-202105-1939）

IBM Cognos Analytics是美国IBM公司的一套商业智能软件。该软件包括报表、仪表板和记分卡等，并可通过分析关键因素与关键人等内容，协助企业调整决策。

IBM Cognos Analytics 存在授权问题漏洞，该漏洞源于DQM API会在未经身份验证的会话中提交所有控制请求。攻击者可利用该漏洞向Cognos Analytics系统读写文件。

目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：

https://www.ibm.com/support/pages/node/6451705

2. WordPress代码注入漏洞（CNNVD-202105-1473）

WordPress是WordPress基金会的一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress插件是WordPress开源的一个应用插件。

WordPress插件 All in One SEO Pack 4.1.0.2及之前版本存在代码注入漏洞，该漏洞允许经过身份验证的攻击者使用“aioseo_tools_settings”的权限在底层主机上执行任意代码。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://wpscan.com/vulnerability/ab2c94d2-f6c4-418b-bd14-711ed164bcf1

3. Vmware vSphere Client 输入验证错误漏洞（CNNVD-202105-1686）

  VmwarevSphere Client是美国威睿（Vmware）公司的一个应用软件。提供虚拟化管理。

  vSphereClient存在安全漏洞，该漏洞由于vCenterServer默认启用的虚拟SAN健康检查插件缺乏输入验证，导致攻击者可以在底层操作系统上以不受限制的权限执行命令。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://www.vmware.com/security/advisories/VMSA-2021-0010.html

二、接报漏洞情况

本周CNNVD接报漏洞1584个，其中信息技术产品漏洞（通用型漏洞）76个，网络信息系统漏洞（事件型漏洞）1508个。

表5 本周漏洞报送情况

三、接报漏洞预警情况

    本周CNNVD接报漏洞预警75份。

本文始发于微信公众号（CNNVD安全动态）：信息安全漏洞周报（2021年第22期）