CNVD漏洞周报2021年第23期

admin 2021年7月25日22:40:29评论86 views字数 8756阅读29分11秒阅读模式

2021年6月07日-2021年6月13日

CNVD漏洞周报2021年第23期

本周漏洞态势研判情况


本周信息安全漏洞威胁整体评价级别
国家信息安全漏洞共享平台(以下简称CNVD)本周共收集、整理信息安全漏洞602个,其中高危漏洞227个、中危漏洞317个、低危漏洞58个。漏洞平均分值为6.21。本周收录的漏洞中,涉及0day漏洞300个(占50%),其中互联网上出现“BloofoxCMS跨站请求伪造漏洞emlog路径遍历漏洞(CNVD-2021-39975)”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数3991个,与上周(3759个)环比增加6%

CNVD漏洞周报2021年第23期

图1 CNVD收录漏洞近10周平均分值分布图

CNVD漏洞周报2021年第23期

图2 CNVD 0day漏洞总数按周统计


本周漏洞事件处置情况

本周,CNVD向银行、保险、能源等重要行业单位通报漏洞事件31起,向基础电信企业通报漏洞事件17起,协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件211起,协调教育行业应急组织验证和处置高校科研院所系统漏洞事件40起,向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件31

CNVD漏洞周报2021年第23期

图3 CNVD各行业漏洞处置情况按周统计

CNVD漏洞周报2021年第23期

图4 CNCERT各分中心处置情况按周统计

CNVD漏洞周报2021年第23期

图5 CNVD教育行业应急组织处置情况按周统计

此外,CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞,具体处置单位情况如下所示:

珠海金山办公软件有限公司、中兴保全股份有限公司、中科富创(北京)科技有限公司、中国电信集团公司、浙江大华技术股份有限公司、长沙市云研网络科技有限公司、长沙市同迅计算机科技有限公司、长沙米拓信息技术有限公司、运城市盘石网络科技有限公司、友讯电子设备(上海)有限公司、优刻得科技股份有限公司、新天科技股份有限公司、无锡城安信息科技有限公司、天津神州浩天科技有限公司、苏州科达科技股份有限公司、松下电器(中国)有限公司、四川天健世纪科技有限公司、深圳市中科网威科技有限公司、深圳市网域科技技术有限公司、深圳市锐明技术股份有限公司、深圳市利谱信息技术有限公司、深圳市吉祥腾达科技有限公司、深圳市共济科技有限公司、深圳市奥联科技有限公司、深圳亮钻科技有限公司、深圳警翼智能科技股份有限公司、深圳华视美达信息技术有限公司、深圳奥联信息安全技术有限公司、深信服科技股份有限公司、上海纽盾科技股份有限公司、上海金慧软件有限公司、上海斐讯数据通信技术有限公司、上海泛微网络科技股份有限公司、上海二三四五移动科技有限公司、上海艾泰科技有限公司、熵基科技股份有限公司、陕西硅峰网络科技有限公司、任子行网络技术股份有限公司、欧姆龙自动化(中国)有限公司、南通润邦网络科技有限公司、南宁旭东网络科技有限公司、南宁小橙科技有限公司、理光(中国)投资有限公司、廊坊市极致网络科技有限公司、科大讯飞股份有限公司、金砖通讯科技股份有限公司、金蝶软件(中国)有限公司、江阴市领悟信息技术有限公司、江苏瑞丰信息技术股份有限公司、江苏怀业信息技术股份有限公司、江苏固德威电源科技股份有限公司、吉翁电子(深圳)有限公司、霍尼韦尔(中国)有限公司、惠普贸易(上海)有限公司、湖南畅乘科技有限公司、湖北点点点科技有限公司、洪湖尔创网联信息技术有限公司、河南礼恰网络科技有限公司、广州红帆科技有限公司、广东精工智能系统有限公司、高通公司、福建四创软件有限公司、东莞市通天星软件科技有限公司、戴尔(中国)有限公司、成都星锐蓝海网络科技有限公司、成都万江港利科技股份有限公司、成都强时科技有限公司、畅捷通信息技术股份有限公司、博威特网络技术(上海)有限公司、北京中控科技发展有限公司、北京中创视讯科技有限公司、北京智慧远景科技产业有限公司、北京原创先锋网络科技发展有限公司、北京亿赛通科技发展有限责任公司、北京星网锐捷网络技术有限公司、北京信达网安科技有限公司、北京五一视界数字孪生科技股份有限公司、北京万户网络技术有限公司、北京盛世星火教育科技有限责任公司、北京圣博润高新技术股份有限公司、北京普华智深科技有限公司、北京猎鹰安全科技有限公司、北京科蓝软件系统股份有限公司、北京金和网络股份有限公司、北京合力华彩科技有限公司、北京飞书科技有限公司、北京百卓网络技术有限公司、北京安博通科技股份有限公司、安美世纪(北京)科技有限公司、爱普生(中国)有限公司、上海程江科技中心、台达集团、商合行、柯尼卡美能达集团、狂雨小说cmszengcmsxhdcrmShirneCMSSEMCMSRPCMSosgeoKiteCMSHadSkyFulvio Ricciardi - LecceFasterXMLEacooPHPCatfishCMSBlueCMS3ComXHCMS

本周,CNVD发布了《Microsoft发布20216月安全更新》。详情参见CNVD网站公告内容。

https://www.cnvd.org.cn/webinfo/show/6516


本周漏洞报送情况统计

本周报送情况如表1所示。其中,阿里云计算有限公司、哈尔滨安天科技集团股份有限公司、华为技术有限公司、新华三技术有限公司、恒安嘉新(北京)科技股份公司等单位报送公开收集的漏洞数量较多。广州易东信息安全技术有限公司、南京众智维信息科技有限公司、北京信联科汇科技有限公司、贵州多彩宝互联网服务有限公司、北京山石网科信息技术有限公司、重庆贝特计算机系统工程有限公司、河南灵创电子科技有限公司、江西省掌控者信息安全技术有限公司、河南信安世纪科技有限公司、北京天地和兴科技有限公司、山东泽鹿安全技术有限公司、武汉明嘉信信息安全检测评估有限公司、北京安帝科技有限公司、北京远禾科技有限公司、广州安亿信软件科技有限公司、长春嘉诚信息技术股份有限公司、星云博创科技有限公司、南京树安信息技术有限公司、浙江御安信息技术有限公司、上海市信息安全测评认证中心、武汉绿色网络信息服务有限责任公司、北京君云天下科技有限公司、江苏晟晖信息科技有限公司、山东云天安全技术有限公司、湖北珞格科技发展有限公司、中移(杭州)信息技术有限公司、重庆都会信息科技有限公司、日照天錾网络科技有限公司、小安(北京)科技有限公司、中安网盾(广州)信息科技有限公司、广州铂豪万钧电子科技有限公司、广州百蕴启辰科技有限公司、江苏智慧安全可信技术研究院及其他个人白帽子向CNVD提交了3991个以事件型漏洞为主的原创漏洞,其中包括斗象科技(漏洞盒子)、奇安信网神(补天平台)和上海交大向CNVD共享的白帽子报送的2115条原创漏洞信息

表1 漏洞报送情况统计表

CNVD漏洞周报2021年第23期


本周漏洞按类型和厂商统计

 

本周,CNVD收录了602个漏洞。应用程序220个,WEB应用201个,网络设备(交换机、路由器等网络端设备)135个,安全产品16个,智能设备(物联网终端设备)16个,操作系统14

表2 漏洞按影响类型统计表

CNVD漏洞周报2021年第23期

CNVD漏洞周报2021年第23期

图6 本周漏洞按影响类型分布

CNVD整理和发布的漏洞涉及CiscoGoogle、北京星网锐捷网络技术有限公司等多家厂商的产品,部分漏洞数量按厂商统计如表3所示。

表3 漏洞产品涉及厂商分布统计表

CNVD漏洞周报2021年第23期


本周行业漏洞收录情况

周,CNVD收录了117个电信行业漏洞,15个移动互联网行业漏洞,14个工控行业漏洞(如下图所示)。其中,“GoogleAndroid权限提升漏洞(CNVD-2021-41111)、Siemens SIMATIC RFID Readers拒绝服务漏洞、Cisco RV110W/RV130/RV130W/RV215W命令注入漏洞”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序,请参照CNVD相关行业漏洞库链接。

电信行业漏洞链接:http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接:http://mi.cnvd.org.cn/

工控系统行业漏洞链接:http://ics.cnvd.org.cn/

CNVD漏洞周报2021年第23期

图7 电信行业漏洞统计

CNVD漏洞周报2021年第23期

图8 移动互联网行业漏洞统计

CNVD漏洞周报2021年第23期

图9 工控系统行业漏洞统计

本周重要漏洞安全告警

本周,CNVD整理和发布以下重要安全漏洞信息。

1、Adobe产品安全漏洞

Adobe Photoshop,简称“PS”,是由Adobe公司开发和发行的图像处理软件。Adobe After Effects(简称“AE”)是Adobe公司推出的一款图形视频处理软件,适用于从事设计和视频特技的机构,包括电视台、动画制作公司、个人后期制作工作室以及多媒体工作室。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞执行任意代码。

CNVD收录的相关漏洞包括:Adobe Photoshop缓冲区溢出漏洞(CNVD-2021-41059)、AdobeAfter Effects缓冲区溢出漏洞(CNVD-2021-41071、CNVD-2021-41070、CNVD-2021-41072)、Adobe After Effects堆缓冲区溢出漏洞(CNVD-2021-41067、CNVD-2021-41066、CNVD-2021-41069、CNVD-2021-41068)。上述漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41059

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41067

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41066

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41071

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41070

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41069

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41068

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41072

2、Siemens产品安全漏洞

Siemens Solid Edge是德国Siemens公司的一款三维CAD软件。MendixSAML Module允许使用SAML对云应用程序中的用户进行身份验证。该模块可以与任何支持SAML2.0或Shibboleth的身份提供者进行通信。Siemens Jt2go是德国Siemens公司的一款JT文件查看器。SiemensTeamcenter Visualization是一个可为设计2D、3D场景提供团队协作功能的软件。SIMATICRF185C、RF186C/CI和RF188C/CI是用于将图像识别系统直接连接到PROFINET IO/以太网和OPC UA的通信模块。SIMATICRF300R是一款紧凑型RFID读卡器。Simcenter Femap是一种高级仿真应用程序,用于创建、编辑和检查复杂产品或系统的有限元模型。Siemens SmartVNC是德国西门子(Siemens)公司的一个工控设备。提供一个访问HMI中的smartserver功能。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞提升权限,在当前进程的上下文中执行代码,造成拒绝服务情况。

CNVD收录的相关漏洞包括:Siemens Solid Edge越界写入漏洞(CNVD-2021-40500)、SiemensMendix SAML Module权限提升漏洞、SiemensJT2Go和Teamcenter Visualization越界写入漏洞(CNVD-2021-40498)、SiemensSIMATIC RFID Readers拒绝服务漏洞、SiemensSimcenter Femap越界写入漏洞(CNVD-2021-40502)、Siemens Solid Edge越界写入漏洞(CNVD-2021-40501)、SiemensSimcenter Femap越界写入漏洞、Siemens SmartVNC越界内存访问漏洞。其中,除“Siemens SmartVNC越界内存访问漏洞”外,其余漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2021-40500

https://www.cnvd.org.cn/flaw/show/CNVD-2021-40499

https://www.cnvd.org.cn/flaw/show/CNVD-2021-40498

https://www.cnvd.org.cn/flaw/show/CNVD-2021-40497

https://www.cnvd.org.cn/flaw/show/CNVD-2021-40502

https://www.cnvd.org.cn/flaw/show/CNVD-2021-40501

https://www.cnvd.org.cn/flaw/show/CNVD-2021-40503

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41246

3、Google产品安全漏洞

Google Android是一款以Linux为基础的开源操作系统。Chrome是由Google开发的一款Web浏览工具。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞通过精心制作的HTML页面利用堆损坏,进行特权升级

CNVD收录的相关漏洞包括:Google Android权限提升漏洞(CNVD-2021-41110、CNVD-2021-41113、CNVD-2021-41112、CNVD-2021-41111、CNVD-2021-41115)、GoogleAndroid输入验证错误漏洞(CNVD-2021-41116)、Google Chrome释放后重用漏洞(CNVD-2021-41140、CNVD-2021-41139)。其中,“Google Android权限提升漏洞(CNVD-2021-41110、CNVD-2021-41111)、Google Android输入验证错误漏洞(CNVD-2021-41116)”的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41110

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41113

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41112

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41111

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41116

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41115

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41140

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41139

4、Microsoft产品安全漏洞

Microsoft SharePoint是美国微软(Microsoft)公司的一套企业业务协作平台。该平台用于对业务信息进行整合,并能够共享工作、与他人协同工作、组织项目和工作组、搜索人员和信息。Paint 3D是Windows10免费附带的创意应用程序,支持用户使用2D和3D工具创建创意项目。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞在目标主机上执行代码,欺骗内容并诱导用户相信该网站的合法性,同时结合网页服务中的其他漏洞发起攻击。

CNVD收录的相关漏洞包括:Microsoft SharePoint Server远程代码执行漏洞(CNVD-2021-41120、CNVD-C-2021-142456、CNVD-2021-41118)、MicrosoftSharePoint Server欺骗漏洞(CNVD-2021-41122)、Microsoft SharePoint Server信息泄露漏洞(CNVD-2021-41121)、MicrosoftPaint 3D远程代码执行漏洞(CNVD-2021-41127、CNVD-2021-41126、CNVD-2021-41125)。其中,“Google Android权限提升漏洞(CNVD-2021-41110、CNVD-2021-41111)、Google Android输入验证错误漏洞(CNVD-2021-41116)”的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41120

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41119

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41118

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41122

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41121

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41127

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41126

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41125

5、D-Link DIR-868L信息泄露漏洞

D-Link DIR-868L是一款无线AC1750双频千兆云路由器。本周,D-LinkDIR-868L被披露存在信息泄露漏洞。攻击者可通过反编译固件利用该漏洞访问固件并提取敏感数据。目前,厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页,以获取最新版本。

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41077

小结:本周,Adobe产品被披露存在多个漏洞,攻击者可利用漏洞执行任意代码。此外,Siemens、Google、Microsoft等多款产品被披露存在多个漏洞,攻击者可利用漏洞通过精心制作的HTML页面利用堆损坏,进行特权升级,在当前进程的上下文中执行代码,造成拒绝服务情况等。另外,D-Link DIR-868L被披露存在信息泄露漏洞。攻击者可通过反编译固件利用该漏洞访问固件并提取敏感数据。建议相关用户随时关注上述厂商主页,及时获取修复补丁或解决方案。


本周重要漏洞攻击验证情况


本周,CNVD建议注意防范以下已公开漏洞攻击验证情况。

1、BloofoxCMS跨站请求伪造漏洞

验证描述

BloofoxCMS是一款基于PHP + MySQL的免费开源Web内容管理系统

BloofoxCMS 0.5.2.1版存在跨站请求伪造漏洞。攻击者可通过mode=settings&page=editor利用该漏洞更改任意文件内容

验证信息

POC链接:

https://muteb.io/2020/12/29/BloofoxCMS-Multiple-Vulnerabilities.html

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41074

信息提供者

华为技术有限公司


注:以上验证信息(方法)可能带有攻击性,仅供安全研究之用。请广大用户加强对漏洞的防范工作,尽快下载相关补丁。


关于CNVD

国家信息安全漏洞共享平台(China National Vulnerability Database,简称CNVD)是CNCERT联合国内重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的信息安全漏洞信息共享知识库,致力于建立国家统一的信息安全漏洞收集、发布、验证、分析等应急处理体系。

关于CNCERT

国家计算机网络应急技术处理协调中心(简称“国家互联网应急中心”,英文简称是CNCERT或CNCERT/CC),成立于2002年9月,为非政府非盈利的网络安全技术中心,是我国网络安全应急体系的核心协调机构。

作为国家级应急中心,CNCERT的主要职责是:按照“积极预防、及时发现、快速响应、力保恢复”的方针,开展互联网网络安全事件的预防、发现、预警和协调处置等工作,维护国家公共互联网安全,保障基础信息网络和重要信息系统的安全运行。

网址:www.cert.org.cn

邮箱:[email protected]

电话:010-82991537


关注CNVD漏洞平台

CNVD漏洞周报2021年第23期


本文始发于微信公众号(CNVD漏洞平台):CNVD漏洞周报2021年第23期

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年7月25日22:40:29
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   CNVD漏洞周报2021年第23期https://cn-sec.com/archives/398580.html

发表评论

匿名网友 填写信息