信息安全漏洞周报（2024年第48期）
2024-11-28 09:34:0 Author: mp.weixin.qq.com(查看原文) 阅读量:0 收藏

点击蓝字 关注我们

漏洞情况

根据国家信息安全漏洞库（CNNVD）统计，本周2024年11月18日至2024年11月24日）安全漏洞情况如下：
公开漏洞情况 
本周CNNVD采集安全漏洞1224个。
接报漏洞情况
本周CNNVD接报漏洞11584个，其中信息技术产品漏洞（通用型漏洞）281个，网络信息系统漏洞（事件型漏洞）50个，漏洞平台推送漏洞11253个。
重大漏洞通报
Palo Alto Networks PAN-OS 安全漏洞(CNNVD-202411-2328、CVE-2024-0012)：攻击者可以利用漏洞在未授权的情况下访问后台管理界面，进而获取管理员权限，控制目标设备。PAN-OS多个版本均受此漏洞影响。目前，Palo Alto Networks官方已发布新版本修复了该漏洞，建议用户及时确认产品版本，尽快采取修补措施。

一
公开漏洞情况

根据国家信息安全漏洞库（CNNVD）统计，本周新增安全漏洞1224个，漏洞新增数量有所上升。从厂商分布来看WordPress基金会新增漏洞最多，有400个；从漏洞类型来看，跨站脚本类的安全漏洞占比最大，达到21.32%。新增漏洞中，超危漏洞49个，高危漏洞296个，中危漏洞831个，低危漏洞48个。

（一） 安全漏洞增长数量情况

本周CNNVD采集安全漏洞1224个。

图1 近五周漏洞新增数量统计图

（二） 安全漏洞分布情况

从厂商分布来看，WordPress基金会新增漏洞最多，有400个。各厂商漏洞数量分布如表1所示。

表1 新增安全漏洞排名前五厂商统计表

序号
厂商名称
漏洞数量(个)
所占比例
1
WordPress基金会
400
32.68%
2
Linux基金会
99
8.09%
3
PDF-XChange
39
3.19%
4
Tungsten Automation
32
2.61%
5
谷歌
30
2.45%

本周国内厂商漏洞89个，威联通科技公司漏洞数量最多，有19个。国内厂商漏洞整体修复率为66.67%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。

从漏洞类型来看，跨站脚本类的安全漏洞占比最大，达到21.32%。漏洞类型统计如表2所示。

表2 漏洞类型统计表
序号
漏洞类型
漏洞数量(个)
所占比例
1
跨站脚本
261
21.32%
2
缓冲区错误
100
8.17%
3
跨站请求伪造
39
3.19%
4
代码问题
37
3.02%
5
资源管理错误
27
2.21%
6
路径遍历
24
1.96%
7
操作系统命令注入
23
1.88%
8
后置链接
22
1.80%
9
访问控制错误
12
0.98%
10
SQL注入
10
0.82%
11
代码注入
10
0.82%
12
信息泄露
8
0.65%
13
授权问题
7
0.57%
14
注入
6
0.49%
15
格式化字符串错误
6
0.49%
16
命令注入
6
0.49%
17
输入验证错误
5
0.41%
18
日志信息泄露
4
0.33%
19
信任管理问题
2
0.16%
20
数据伪造问题
2
0.16%
21
数字错误
1
0.08%
22
加密问题
1
0.08%
23
其他
611
49.92%

（三） 安全漏洞危害等级与修复情况

本周共发布超危漏洞49个，高危漏洞296个，中危漏洞831个，低危漏洞48个。相应修复率分别为65.31%、64.19%、58.97%和81.25%。根据补丁信息统计，合计751个漏洞已有修复补丁发布，整体修复率为61.36%。详细情况如表3所示。

表3 漏洞危害等级与修复情况
序号
危害等级
漏洞数量(个)
修复数量(个)
修复率
1
超危
49
32
65.31%
2
高危
296
190
64.19%
3
中危
831
490
58.97%
4
低危
48
39
81.25%
合计
1224
751
61.36%

（四） 本周重要漏洞实例

本周重要漏洞实例如表4所示。

表4 本期重要漏洞实例
序号
漏洞编号
危害等级
1
CNNVD-202411-3443
超危
2
CNNVD-202411-2764
高危
3
CNNVD-202411-2326
高危

1. WordPress plugin WPGYM 代码问题漏洞（CNNVD-202411-3443）

WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。

WordPress plugin WPGYM 67.1.0版本及之前版本存在代码问题漏洞，该漏洞源于MJ_gmgt_user_avatar_image_upload函数缺少文件类型验证。攻击者利用该漏洞可以远程执行代码。

目前厂商已发布升级补丁以修复漏洞，参考链接：

https://www.wordfence.com/threat-intel/vulnerabilities/

id/bae5f22d-5085-4230-a7fc-5db85aa6fbdb?source=cve

2. Google Android 安全漏洞（CNNVD-202411-2764）

Google Android是美国谷歌（Google）公司的一套以Linux为基础的开源操作系统。

Google Android存在安全漏洞，该漏洞源于缺少边界检查，允许越界读取内存。攻击者利用该漏洞可以获取敏感信息。

目前厂商已发布升级补丁以修复漏洞，参考链接：

https://source.android.com/security/bulletin/2018-07-01

3. Linux kernel 安全漏洞（CNNVD-202411-2326）

Linux kernel是美国Linux基金会的开源操作系统Linux所使用的内核。

Linux kernel存在安全漏洞，该漏洞源于缺乏对用户提供的数据的正确验证。攻击者利用该漏洞可以获取敏感信息。

目前厂商已发布升级补丁以修复漏洞，参考链接：

https://lore.kernel.org/lkml/CAH2r5mv+Sy5mrZThrQUf1na-mg-B9DiLd5fkYs9sPo97GWirCA@mail.gmail.com/

二
漏洞平台推送情况

本周CNNVD接收漏洞平台推送漏洞11253个。

表5 本周漏洞平台推送情况
序号
漏洞平台
漏洞总量
1
补天平台
8881
2
360漏洞云
1489
3
漏洞盒子
883
推送总计
11253

三
接报漏洞情况

本周CNNVD接报漏洞331个，其中信息技术产品漏洞（通用型漏洞）281个，网络信息系统漏洞（事件型漏洞）50个。

表6 本周漏洞报送情况
序号
报送单位
漏洞总量
1
个人
73
2
超聚变数字技术有限公司
34
3
京铁云智慧物流科技有限公司
20
4
北京天融信网络安全技术有限公司
12
5
北京启明星辰信息安全技术有限公司
11
6
华为技术有限公司
9
7
杭州美创科技股份有限公司
8
8
北京华云安信息技术有限公司
8
9
北京长亭科技有限公司
7
10
中国电信股份有限公司网络安全产品运营中心
7
11
杭州迪普科技股份有限公司
7
12
永信至诚科技集团股份有限公司
6
13
安恒愿景（成都）信息科技有限公司
6
14
上海雾见安全科技有限公司
6
15
奇安信网神信息技术（北京）股份有限公司
5
16
北京中睿天下信息技术有限公司
5
17
河南灵创电子科技有限公司
5
18
内蒙古数字安全科技有限公司
5
19
湖南泛联新安信息科技有限公司
5
20
上海谋乐网络科技有限公司
4
21
上海斗象信息科技有限公司
4
22
浪潮电子信息产业股份有限公司
4
23
联通数字科技有限公司
4
24
广州竞远安全技术股份有限公司
4
25
三六零数字安全科技集团有限公司
3
26
京数安（北京）科技有限公司
3
27
广西百色英晖科技有限公司
3
28
广州安道信息技术有限公司
3
29
成都安美勤信息技术股份有限公司
3
30
中科方德软件有限公司
3
31
上海纽盾科技股份有限公司
3
32
北京水木羽林科技有限公司
3
33
成都思维世纪科技有限责任公司
3
34
北京纽盾网安信息技术有限公司
3
35
宁夏凯信特信息科技有限公司
2
36
北京安华金和科技有限公司
2
37
泉州延陵信息技术有限公司
2
38
天津市兴先道科技有限公司
2
39
上海矢安科技有限公司
2
40
北京国科数安科技有限公司
2
41
江苏保旺达软件技术有限公司
2
42
北京金睛云华科技有限公司
2
43
北京时代新威信息技术有限公司
2
44
杭州安恒信息技术股份有限公司
2
45
远江盛邦(北京)网络安全科技股份有限公司
2
46
北京江南天安科技有限公司
2
47
杭州中电安科现代科技有限公司
2
48
上海安几科技有限公司
2
49
网宿科技股份有限公司
1
50
西安安迈信科科技有限公司
1
51
锐捷网络股份有限公司
1
52
北京天下信安技术有限公司
1
53
南京众智维信息科技有限公司
1
54
深圳市博通智能技术有限公司
1
55
北京安信天行科技有限公司
1
56
北京安帝科技有限公司
1
57
内蒙古旌云科技有限公司
1
58
北京寰宇天穹信息技术有限公司
1
59
长扬科技（北京）股份有限公司
1
60
江苏正信信息安全测试有限公司
1
61
贵州多彩网安科技有限公司
1
62
中资网络信息安全科技有限公司
1
报送总计
331

四
收录漏洞通报情况

本周CNNVD收录漏洞通报115份。

表7 本周漏洞通报情况
序号
报送单位
通报总量
1
中孚安全技术有限公司
16
2
奇安信网神信息技术（北京）股份有限公司
7
3
杭州迪普科技股份有限公司
5
4
安恒愿景（成都）信息科技有限公司
5
5
河南悦海数安科技有限公司
5
6
北京神州绿盟科技有限公司
4
7
网宿科技股份有限公司
3
8
京铁云智慧物流科技有限公司
3
9
浙江大华技术股份有限公司
3
10
京数安（北京）科技有限公司
3
11
广西百色英晖科技有限公司
3
12
上海纽盾科技股份有限公司
3
13
北京众安天下科技有限公司
3
14
北京纽盾网安信息技术有限公司
3
15
中科方德软件有限公司
3
16
北京知道创宇信息技术股份有限公司
2
17
长扬科技（北京）股份有限公司
2
18
杭州中电安科现代科技有限公司
2
19
博智安全科技股份有限公司
2
20
深信服科技股份有限公司
2
21
国威（北京）信息安全技术有限公司
2
22
杭州海康威视数字技术股份有限公司
2
23
华为技术有限公司
2
24
新华三技术有限公司
2
25
北京时代新威信息技术有限公司
2
26
上海云盾信息技术有限公司
2
27
广西网信信息技术有限公司
1
28
北京安天网络安全技术有限公司
1
29
云上广济（贵州）信息技术有限公司
1
30
广州非凡信息安全技术有限公司
1
31
河南灵创电子科技有限公司
1
32
杭州美创科技股份有限公司
1
33
上海谋乐网络科技有限公司
1
34
北京安帝科技有限公司
1
35
北京华云安信息技术有限公司
1
36
数字新时代（山东）数据科技服务有限公司
1
37
深圳市深信服信息安全有限公司
1
38
天地伟业技术有限公司
1
39
苏州棱镜七彩信息科技有限公司
1
40
北京山石网科信息技术有限公司
1
41
北京安信天行科技有限公司
1
42
塞讯信息技术（上海）有限公司
1
43
浪潮电子信息产业股份有限公司
1
44
郑州埃文科技有限公司
1
45
北京水木羽林科技有限公司
1
46
西安交大捷普网络科技有限公司
1
47
宁波和利时信息安全研究院有限公司
1
48
杭州安恒信息技术股份有限公司
1
49
北京华顺信安信息技术有限公司
1
50
华易数安科技(吉林省)有限公司
1
收录总计
115

五
重大漏洞通报

CNNVD关于Palo Alto Networks PAN-OS

 安全漏洞的通报

近日，国家信息安全漏洞库（CNNVD）收到关于Palo Alto Networks PAN-OS 安全漏洞(CNNVD-202411-2328、CVE-2024-0012)情况的报送。攻击者可以利用漏洞在未授权的情况下访问后台管理界面，进而获取管理员权限，控制目标设备。PAN-OS多个版本均受此漏洞影响。目前，Palo Alto Networks官方已发布新版本修复了该漏洞，建议用户及时确认产品版本，尽快采取修补措施。

1.漏洞介绍

Palo Alto Networks PAN-OS是美国Palo Alto Networks公司的一套为其防火墙设备开发的操作系统。Palo Alto Networks PAN-OS存在安全漏洞，该漏洞源于设备存在身份验证绕过问题，攻击者利用漏洞可以在未授权的情况下登录后台管理界面，进而获取管理员权限，控制目标设备。

2.危害影响

PAN-OS 10.2-10.2.12-h之前版本、PAN-OS 11.0-11.0.6-h之前版本、PAN-OS 11.1-11.1.5-h之前版本、PAN-OS 11.2-11.2.4-h1之前版本均受此漏洞影响。

3.修复建议

目前，Palo Alto Networks官方已发布新版本修复了该漏洞，建议用户及时确认产品版本，尽快采取修补措施。官方参考链接：

https://security.paloaltonetworks.com/CVE-2024-0012


文章来源: https://mp.weixin.qq.com/s?__biz=MzAxODY1OTM5OQ==&mid=2651461677&idx=1&sn=62fa971338a579f75e9efa7bdad3e5d7&chksm=802c5905b75bd01382b600cdd0e88a14aba6727b685c01c9b5c740c4ef9963d609f08a8e390c&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh