CNVD漏洞周报2023年第29期
2023-8-7 17:29:10 Author: mp.weixin.qq.com(查看原文) 阅读量:3 收藏

202307月17-20230723



本周信息安全漏洞威胁整体评价级别为中。
国家信息安全漏洞共享平台(以下简称CNVD)本周共收集、整理信息安全漏洞422个,其中高危漏洞258个、中危漏洞137个、低危漏洞27个。漏洞平均分值为6.85。本周收录的漏洞中,涉及0day漏洞368个(占87%),其中互联网上出现“Online Piggery Management System任意文件上传漏洞、EyouCms跨站脚本漏洞(CNVD-2023-58096)”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数8721个,与上周(11081个)环比减少21%

1 CNVD10

2 CNVD 0day

 
本周,CNVD向银行、保险、能源等重要行业单位通报漏洞事件16起,向基础电信企业通报漏洞事件14起,协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件1525起,协调教育行业应急组织验证和处置高校科研院所系统漏洞事件250起,向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件59

3 CNVD

4 CNCERT

5 CNVD

CNVD

卓豪(中国)技术有限公司、珠海格力电器股份有限公司、重庆猫扑网络科技有限公司、中建商品混凝土有限公司、中电鸿信信息科技有限公司、浙江小遛信息科技有限公司、浙江施强医疗科技有限公司、浙江环鑫信息技术有限公司、浙江和达科技股份有限公司、长沙正宇软件开发有限公司、长沙宏地科技开发有限公司、云南链滴科技有限公司、友讯电子设备(上海)有限公司、用友网络科技股份有限公司、永辉超市股份有限公司、银川中房物业集团股份有限公司、研华科技(中国)有限公司、兄弟(中国)商业有限公司、西安思铂电子科技有限公司、温州市万旗信息科技有限公司、威博通科技(上海)有限公司、网易公司、统信软件技术有限公司、同程网络科技股份有限公司、天津天堰科技股份有限公司、腾讯安全应急响应中心、泰安云豹网络科技有限公司、台达电子企业管理(上海)有限公司、苏州宏云智能科技有限公司、松下电器(中国)有限公司、四川迅睿云软件开发有限公司、四川蜀信致远企业管理咨询有限公司、施耐德电气(中国)有限公司、深圳致软信息技术有限公司、深圳维盟科技股份有限公司、深圳市亚略特科技股份有限公司、深圳市科脉技术股份有限公司、深圳市吉祥腾达科技有限公司、深圳市道尔智控科技股份有限公司、深圳典阅科技有限公司、上海纵之格科技有限公司、上海正广和饮用水有限公司、上海盈翼文化传播有限公司、上海淘满家电子商务有限公司、上海瑞策软件有限公司、上海华测导航技术股份有限公司、上海富勒信息科技有限公司、上海孚盟软件有限公司、上海泛微网络科技股份有限公司、上海百胜软件股份有限公司、山东云时空信息科技有限公司、山东博硕自动化技术有限公司、厦门市灵鹿谷科技有限公司、厦门计讯物联科技有限公司、三菱电机株式会社、青岛卓尔软件开发有限公司、南京博纳睿通软件科技有限公司、梅州市青云客网络科技有限公司、轮汇(辽宁)网络科技有限公司、联想集团、九江天一科技有限公司、京瓷办公信息系统(中国)有限公司、金华迪加网络科技有限公司、脚印兄弟(北京)信息科技有限责任公司、江西铭软科技有限公司、江苏银河电子股份有限公司、佳能(中国)有限公司、吉翁电子(深圳)有限公司、慧学教育科技(北京)有限公司、华硕电脑(上海)有限公司、湖南阿必达物流配送有限公司、红门智能科技股份有限公司、杭州九麒科技有限公司、杭州海康威视数字技术股份有限公司、杭州炳炳其章网络科技有限公司、海恩斯莫里斯(上海)商业有限公司、桂林崇胜网络科技有限公司、贵阳语玩科技有限公司、广州安网通信技术有限公司、广东鑫宝软件科技有限公司、广东美胸汇网络科技有限公司、馥鴻科技股份有限公司、点都互联科技有限公司、大成方略纳税人俱乐部股份有限公司、成都友加畅捷科技有限公司、成都延华西部健康医疗信息产业研究院有限公司、北京中文万维科技有限公司、北京中科华博科技有限公司、北京中海义信信息技术有限公司、北京云中融信网络科技有限公司、北京星网锐捷网络技术有限公司、北京小熊博望科技有限公司、北京通达信科科技有限公司、北京数字政通科技股份有限公司、北京书生云科技有限公司、北京世纪超星信息技术发展有限责任公司、北京金和网络股份有限公司、北京华夏春松科技有限公司、北京华品博睿网络技术有限公司、北京瀚维特科技有限公司、北京读书人网络科技有限公司、北京道亨软件股份有限公司、北京百卓网络技术有限公司、北京奥博威斯科技有限公司、保联电脑股份有限公司、安美科技股份有限公司、爱普生(中国)有限公司、阿帕数字技术有限公司、nginxWEBUIMuYuCMS

CNVD发布了《Oracle发布20237月的安全公告》和《Microsoft发布20237月安全更新》

https://www.cnvd.org.cn/webinfo/show/9046

https://www.cnvd.org.cn/webinfo/show/9041

 
1新华三技术有限公司、深信服科技股份有限公司、安天科技集团股份有限公司、北京天融信网络安全技术有限公司、北京数字观星科技有限公司等单位报送公开收集的漏洞数量较多。内蒙古中叶信息技术有限责任公司、重庆电信系统集成有限公司、杭州美创科技有限公司、奇安星城网络安全运营服务(长沙)有限公司、河南东方云盾信息技术有限公司、联想集团、快页信息技术有限公司、河北镌远网络科技有限公司、赛尔网络有限公司、安徽锋刃信息科技有限公司、信息产业信息安全测评中心、智网安云(武汉)信息技术有限公司、河南信安世纪科技有限公司、杭州默安科技有限公司、北京微步在线科技有限公司、北京山石网科信息技术有限公司、河南省鼎信信息安全等级测评有限公司、山东九域信息技术有限公司、成都天天网安信息安全技术有限公司、南方电网数字电网集团信息通信科技有限公司、平安银河实验室、宁夏凯信特信息科技有限公司、南京深安科技有限公司、亚信科技(成都)有限公司、博智安全科技股份有限公司、浙江中控技术股份有限公司、北京惠而特科技有限公司、重庆易阅科技有限公司、中国电信股份有限公司研究院、西藏熙安信息技术有限责任公司及其他个人白帽子向CNVD提交了8721个以事件型漏洞为主的原创漏洞,其中包括斗象科技(漏洞盒子)、上海交大、奇安信网神(补天平台)和三六零数字安全科技集团有限公司向CNVD共享的白帽子报送的6818条原创漏洞信息
1



本周,CNVD收录了422个漏洞。WEB应用289个,网络设备(交换机、路由器等网络端设备)53个,应用程序50个,操作系统15个,智能设备(物联网终端设备)14个,安全产品1
2

6
CNVD涉及D-LinkLinuxTrend Micro等多家厂商的3
3

CNVD录了28个电信行业漏洞,21个移动互联网行业漏洞,15个工控行业漏洞(如下图所示)。其中,“H3C Magic R300堆栈溢出漏洞(CNVD-2023-57673)、Siemens SIMATIC MV500 Devices资源消耗失控漏洞”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序,请参照CNVD相关行业漏洞库链接。
http://telecom.cnvd.org.cn/
http://mi.cnvd.org.cn/
http://ics.cnvd.org.cn/

7

8

9
 

CNVD

1Adobe产品安全漏洞

Adobe Acrobat Reader是美国奥多比(Adobe)公司的一款PDF查看器。该软件用于打印,签名和注释PDF。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞在当前用户的上下文中执行任意代码,导致敏感内存泄露等。

CNVD收录的相关漏洞包括:Adobe Acrobat Reader访问控制错误漏洞(CNVD-2023-57681、CNVD-2023-57682)、Adobe Acrobat Reader越界读取漏洞(CNVD-2023-57683、CNVD-2023-57685)、Adobe Acrobat Reader越界写入漏洞(CNVD-2023-57687、CNVD-2023-57684、CNVD-2023-57688)、Adobe Acrobat Reader输入验证错误漏洞(CNVD-2023-57686)。其中,除“Adobe Acrobat Reader越界读取漏洞(CNVD-2023-57685)”外,其余漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2023-57681

https://www.cnvd.org.cn/flaw/show/CNVD-2023-57683

https://www.cnvd.org.cn/flaw/show/CNVD-2023-57682

https://www.cnvd.org.cn/flaw/show/CNVD-2023-57687

https://www.cnvd.org.cn/flaw/show/CNVD-2023-57686

https://www.cnvd.org.cn/flaw/show/CNVD-2023-57685

https://www.cnvd.org.cn/flaw/show/CNVD-2023-57684

https://www.cnvd.org.cn/flaw/show/CNVD-2023-57688

2、Trend Micro产品安全漏洞

Trend Micro Apex Central是美国趋势科技(Trend Micro)公司的一个基于Web的控制台。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞提交特殊的SQL请求,操作数据库,获取敏感信息或执行任意代码,注入恶意脚本或HTML代码等

CNVD收录的相关漏洞包括:Trend Micro Apex Central跨站脚本漏洞(CNVD-2023-57660、CNVD-2023-57666、CNVD-2023-57664、CNVD-2023-57663、CNVD-2023-57662、CNVD-2023-57661)、Trend Micro Apex Central SQL注入漏洞(CNVD-2023-57667、CNVD-2023-57659)。其中,“Trend Micro Apex Central SQL注入漏洞(CNVD-2023-57667、CNVD-2023-57659)”的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2023-57660

https://www.cnvd.org.cn/flaw/show/CNVD-2023-57659

https://www.cnvd.org.cn/flaw/show/CNVD-2023-57664

https://www.cnvd.org.cn/flaw/show/CNVD-2023-57663

https://www.cnvd.org.cn/flaw/show/CNVD-2023-57662

https://www.cnvd.org.cn/flaw/show/CNVD-2023-57661

https://www.cnvd.org.cn/flaw/show/CNVD-2023-57667

https://www.cnvd.org.cn/flaw/show/CNVD-2023-57666

3、Linux产品安全漏洞

Linux kernel是美国Linux基金会的开源操作系统Linux所使用的内核。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞提交特殊的请求,可使系统崩溃,造成拒绝服务攻击,导致在内核内存中执行任意读写等

CNVD收录的相关漏洞包括:Linux kernel拒绝服务漏洞(CNVD-2023-56639、CNVD-2023-56644、CNVD-2023-56638)、Linux kernel缓冲区溢出漏洞(CNVD-2023-56643、CNVD-2023-56648、CNVD-2023-56641)、Linux kernel cedrus.c资源管理错误漏洞、Linux kernel资源管理错误漏洞(CNVD-2023-56642)。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2023-56638

https://www.cnvd.org.cn/flaw/show/CNVD-2023-56641

https://www.cnvd.org.cn/flaw/show/CNVD-2023-56639

https://www.cnvd.org.cn/flaw/show/CNVD-2023-56644

https://www.cnvd.org.cn/flaw/show/CNVD-2023-56643

https://www.cnvd.org.cn/flaw/show/CNVD-2023-56642

https://www.cnvd.org.cn/flaw/show/CNVD-2023-56648

https://www.cnvd.org.cn/flaw/show/CNVD-2023-56647

4、Siemens产品安全漏洞

Siemens SiPass Integrated是德国西门子(Siemens)公司的一套门禁系统。Siemens Tecnomatix Plant Simulation是德国西门子(Siemens)公司的工控设备,利用离散事件仿真进行生产量分析和优化,进而改善制造系统性能。SIMATIC MV500产品是固定式光学读卡器,用于捕获各种不同表面上的打印、激光、钻孔、冲孔和点划线代码。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞在当前进程的上下文中执行代码,导致拒绝服务等

CNVD收录的相关漏洞包括:Siemens Tecnomatix Plant Simulation堆栈缓冲区溢出漏洞(CNVD-2023-56535、CNVD-2023-56536)、Siemens Tecnomatix Plant Simulation类型混淆漏洞、Siemens SiPass Integrated堆栈溢出漏洞、Siemens Tecnomatix Plant Simulation越界写入漏洞(CNVD-2023-56537)、Siemens SIMATIC MV500 Devices资源消耗失控漏洞(CNVD-2023-56540)、Siemens Tecnomatix Plant Simulation堆缓冲区溢出漏洞(CNVD-2023-56539、CNVD-2023-56538)。上述漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件

参考链接:

https://www.cnvd.org.cn/flaw/show/CNVD-2023-56535

https://www.cnvd.org.cn/flaw/show/CNVD-2023-56534

https://www.cnvd.org.cn/flaw/show/CNVD-2023-56533

https://www.cnvd.org.cn/flaw/show/CNVD-2023-56537

https://www.cnvd.org.cn/flaw/show/CNVD-2023-56536

https://www.cnvd.org.cn/flaw/show/CNVD-2023-56540

https://www.cnvd.org.cn/flaw/show/CNVD-2023-56539

https://www.cnvd.org.cn/flaw/show/CNVD-2023-56538

5、Tenda AC5 R7WebsSecurityHandler函数缓冲区溢出漏洞

Tenda AC5是中国腾达(Tenda)公司的一款无线路由器。本周,Tenda AC5被披露存在缓冲区溢出漏洞。攻击者可利用该漏洞使缓冲区溢出并在系统上执行任意代码。目前,厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页,以获取最新版本。


https://www.cnvd.org.cn/flaw/show/CNVD-2023-57680

本周,Adobe产品被披露存在多个漏洞,攻击者可利用漏洞在当前用户的上下文中执行任意代码,导致敏感内存泄露等。此外,Trend Micro、Linux、Siemens等多款产品被披露存在多个漏洞,攻击者可利用漏洞提交特殊的SQL请求,操作数据库,获取敏感信息或执行任意代码,注入恶意脚本或HTML代码,造成拒绝服务攻击,导致在内核内存中执行任意读写等。另外,Tenda AC5被披露存在缓冲区溢出漏洞。攻击者可利用漏洞使缓冲区溢出并在系统上执行任意代码。建议相关用户随时关注上述厂商主页,及时获取修复补丁或解决方案。

 

CNVD
1EyouCms跨站脚本漏洞(CNVD-2023-58096
EyouCms是一套基于ThinkPHP的开源内容管理系统(CMS
EyouCms存在跨站脚本漏洞,该漏洞源于Column management模块对用户提供的数据缺乏有效过滤与转义,攻击者可利用该漏洞通过精心制作的有效负载执行任意web脚本或HTML
POC
https://github.com/weng-xianhu/eyoucms/issues/46

https://www.cnvd.org.cn/flaw/show/CNVD-2023-58096
()广
CNVD
China National Vulnerability DatabaseCNVDCNCERT
CNCERT
CNCERTCNCERT/CC20029
CNCERT
www.cert.org.cn
vreport@cert.org.cn
010-82991537
CNVD

文章来源: https://mp.weixin.qq.com/s?__biz=Mzg2NjgzNjA5NQ==&mid=2247520353&idx=2&sn=bca1eb7c09f375b2242d1b33ebcdc214&chksm=ce461b71f9319267a3262f0203e6d288609486957b479200587e64796a021d20dd5b17f1eb06&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh