2024年11月11日-2024年11月17日
重庆朗奕迪实业有限公司、中科方德软件有限公司、郑州金鼓通信技术有限公司、浙江网盛生意宝股份有限公司、用友网络科技股份有限公司、信呼、西门子(中国)有限公司、西安紫云羚网络科技有限责任公司、武汉金同方科技有限公司、无锡信捷电气股份有限公司、同方知网(北京)技术有限公司、师创教育软件研究院(江苏)有限公司、深圳誉龙数字技术有限公司、深圳市有为信息技术发展有限公司、深圳市思迅软件股份有限公司、深圳市瑞驰信息技术有限公司、深圳市锐明技术股份有限公司、深圳市玛威尔显控科技有限公司、深圳市蓝凌软件股份有限公司、深圳市吉祥腾达科技有限公司、深圳市道尔智控科技股份有限公司、深圳市必联电子有限公司、深圳勤杰软件有限公司、熵基科技股份有限公司、厦门四信通信科技有限公司、厦门四联信息技术有限公司、厦门科拓通讯技术股份有限公司、厦门傲博教育科技有限公司、润申标准化技术服务(上海)有限公司、瑞斯康达科技发展股份有限公司、青岛东软载波科技股份有限公司、麒麟软件有限公司、力合科技(湖南)股份有限公司、蓝网科技股份有限公司、科亚医疗科技股份有限公司、江苏中安联科信息技术有限公司、吉翁电子(深圳)有限公司、吉林省启承网络科技有限公司、湖南众合百易信息技术有限公司、河南航天金穗电子有限公司、杭州云谷科技股份有限公司、杭州映云科技有限公司、杭州立方控股股份有限公司、汉王科技股份有限公司、海通安恒科技股份有限公司、广州云新信息技术有限公司、广州图创计算机软件开发有限公司、广州青鹿教育科技有限公司、广东飞企互联科技股份有限公司、广东保伦电子股份有限公司、泛微网络科技股份有限公司、东芝(中国)有限公司、点都互联科技有限公司、成都零起飞科技有限公司、畅捷通信息技术股份有限公司、北京紫荆云视科技有限公司、北京致远互联软件股份有限公司、北京英华在线科技有限公司、北京易普行科技有限公司、北京亿赛通科技发展有限责任公司、北京星网锐捷网络技术有限公司、北京网动网络科技股份有限公司、北京神州视翰科技有限公司、北京勤云科技发展有限公司、北京凯特伟业科技有限公司、北京金和网络股份有限公司、北京宏景世纪软件股份有限公司、北京弘文恒瑞文化传播有限公司、北京北大方正电子有限公司、安科瑞电气股份有限公司和Axis Communications AB。
本周,CNVD发布了《关于新增快页信息技术有限公司等八家单位为CNVD支撑单位的公告》,详情参见CNVD网站公告内容(https://www.cnvd.org.cn/webinfo/show/10651)。
1、Microsoft产品安全漏洞
Microsoft Outlook是美国微软(Microsoft)公司的一套电子邮件应用程序。Microsoft Visual Studio是一款开发工具套件系列产品,也是一个基本完整的开发工具集,它包括了整个软件生命周期中所需要的大部分工具。Microsoft .NET是一个致力于敏捷软件开发、快速应用开发、平台无关性和网络透明化的软件框架。Microsoft Azure Command Line Integration(CLI)是美国微软(Microsoft)公司的一个跨平台的命令行工具,可连接到Azure并对Azure资源执行管理命令。Microsoft Azure Monitor Agent是一个轻量级代理程序,可安装在Azure或本地环境中的服务器或虚拟机上。Microsoft DeepSpeed是美国微软(Microsoft)公司的一款易于使用的深度学习优化软件套件,可为DL训练和推理提供前所未有的规模和速度。Microsoft OpenSSH是美国微软(Microsoft)公司的一套用于安全访问远程计算机的连接工具。Microsoft SharePoint是美国微软(Microsoft)公司的一套企业业务协作平台。该平台用于对业务信息进行整合,并能够共享工作、与他人协同工作、组织项目和工作组、搜索人员和信息。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞进行权限绕过,在系统上执行任意代码,获得更高的权限等。
CNVD收录的相关漏洞包括:Microsoft Outlook for macOS安全绕过漏洞、Microsoft .NET和Visual Studio远程代码执行漏洞、Microsoft .NET和Visual Studio拒绝服务漏洞、Microsoft Azure Command Line Integration(CLI)权限提升漏洞、Microsoft Azure Monitor Agent权限提升漏洞、Microsoft DeepSpeed远程代码执行漏洞、Microsoft OpenSSH for Windows远程代码执行漏洞、Microsoft SharePoint权限提升漏洞(CNVD-2024-44526)。其中,除“Microsoft Outlook for macOS安全绕过漏洞、Microsoft Azure Monitor Agent权限提升漏洞、Microsoft SharePoint权限提升漏洞(CNVD-2024-44526)”外,其余漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。
参考链接:
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44516
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44520
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44521
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44522
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44523
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44524
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44525
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44526
2、Google产品安全漏洞
Google Chrome是美国谷歌(Google)公司的一款Web浏览器。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞通过特制的HTML页面执行越界内存访问,导致堆损坏,执行任意代码等。
CNVD收录的相关漏洞包括:Google Chrome越界写入漏洞(CNVD-2024-44477)、Google Chrome释放后重用漏洞(CNVD-2024-44480、CNVD-2024-44478、CNVD-2024-44482、CNVD-2024-44481、CNVD-2024-44542)、Google Chrome类型混淆漏洞(CNVD-2024-44540、CNVD-2024-44539)。上述漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。
参考链接:
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44477
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44480
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44478
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44482
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44481
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44540
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44539
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44542
3、Cisco产品安全漏洞
Cisco Firepower Threat Defense(FTD)是美国思科(Cisco)公司的一套提供下一代防火墙服务的统一软件。Cisco Secure Firewall Management Center(FMC)是一个全面、集中化的管理平台,用于Cisco的网络安全解决方案。它提供了对防火墙、应用控制、入侵防御、URL过滤和高级恶意软件防护的统一管理。Cisco Adaptive Security Appliance (ASA) 是思科公司开发的一款综合性网络安全设备,提供防火墙、VPN、IPS等安全功能。它支持物理和虚拟部署,能够适应不同规模网络的安全需求。Cisco Expressway Series是美国思科(Cisco)公司的一款用于防火墙外访问设备的软件。该软件为防火墙外的用户提供了简单、高度安全的访问功能,帮助远程办公人员在他们选择的设备上更有效地工作。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞绕过访问控制策略,使用静态凭据访问受影响的系统,在底层操作系统上执行任意命令等。
CNVD收录的相关漏洞包括:Cisco Firepower Threat Defense代码问题漏洞(CNVD-2024-44487)、Cisco Secure Firewall Management Center命令执行漏洞、Cisco Secure Firewall Management Center服务器端请求伪造漏洞、Cisco Firepower Threat Defense信任管理问题漏洞、Cisco Secure Firewall Management Center SQL注入漏洞、Cisco Adaptive Security Appliance SSH远程命令注入漏洞、Cisco Secure Firewall Management Center命令注入漏洞、Cisco Expressway Series命令注入漏洞。其中,除“Cisco Firepower Threat Defense代码问题漏洞(CNVD-2024-44487)、Cisco Secure Firewall Management Center服务器端请求伪造漏洞、Cisco Expressway Series命令注入漏洞”外其余漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。
参考链接:
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44487
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44490
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44489
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44488
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44495
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44494
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44493
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44496
4、Adobe产品安全漏洞
Adobe Acrobat Reader是美国奥多比(Adobe)公司的一款PDF查看器。该软件用于打印,签名和注释PDF。Adobe Commerce是美国奥多比(Adobe)公司的一种面向商家和品牌的全球领先的数字商务解决方案。本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞在当前用户的环境中执行任意代码。
CNVD收录的相关漏洞包括:Adobe Acrobat Reader缓冲区溢出漏洞(CNVD-2024-44499、CNVD-2024-44498)、Adobe Commerce操作系统命令注入漏洞(CNVD-2024-44502)、Adobe Acrobat Reader资源管理错误漏洞(CNVD-2024-44501、CNVD-2024-44500、CNVD-2024-44505)、Adobe Acrobat Reader输入验证错误漏洞(CNVD-2024-44504)、Adobe Commerce文件上传漏洞(CNVD-2024-44503)。上述漏洞的综合评级为“高危”。目前,厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件。
参考链接:
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44499
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44498
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44502
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44501
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44500
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44504
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44503
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44505
5、TOTOLINK X18命令注入漏洞
TOTOLINK X18是中国吉翁电子(TOTOLINK)公司的一个网状路由器系统。本周,TOTOLINK X18被披露存在命令注入漏洞。攻击者可利用该漏洞导致任意命令执行。目前,厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页,以获取最新版本。
参考链接:
https://www.cnvd.org.cn/flaw/show/CNVD-2024-44851
小结:本周,Microsoft产品被披露存在多个漏洞,攻击者可利用漏洞进行权限绕过,在系统上执行任意代码,获得更高的权限等。此外,Google、Cisco、Adobe等多款产品被披露存在多个漏洞,攻击者可利用漏洞通过特制的HTML页面执行越界内存访问,导致堆损坏,执行任意代码,绕过访问控制策略,使用静态凭据访问受影响的系统,在底层操作系统上执行任意命令等。另外,TOTOLINK X18被披露存在命令注入漏洞。攻击者可利用漏洞导致任意命令执行。建议相关用户随时关注上述厂商主页,及时获取修复补丁或解决方案。
SimpCMS是一个基于PureEdit的易于使用的CMS。
SimpCMS 0.1版本存在跨站脚本漏洞,该漏洞源于应用对用户提供的数据缺乏有效过滤与转义,攻击者可利用该漏洞通过注入到/admin.php的标题字段的精心设计的有效负载执行任意Web脚本或HTML。