(2022年06月13日-2022年06月19日)

本周漏洞态势研判情况

本周信息安全漏洞威胁整体评价级别为中。

国家信息安全漏洞共享平台(以下简称CNVD)本周共收集、整理信息安全漏洞474个，其中高危漏洞146个、中危漏洞284个、低危漏洞44个。漏洞平均分值为5.93。本周收录的漏洞中，涉及0day漏洞361个(占76%)，其中互联网上出现“CSCMS Music Portal System SQL注入漏洞、Badminton Center Management System SQL注入漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数9231个，与上周(42217个)环比减少78%。

图1 CNVD收录漏洞近10周平均分值分布图

本周漏洞事件处置情况

本周，CNVD向银行、保险、能源等重要行业单位通报漏洞事件28起，向基础电信企业通报漏洞事件33起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件449起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件83起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件115起。

此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：

紫光软件系统有限公司、珠海金山办公软件有限公司、中信科移动通信技术股份有限公司、中科方德软件有限公司、浙江禾匠信息科技有限公司、友讯电子设备(上海)有限公司、用友网络科技股份有限公司、兄弟(中国)商业有限公司、西门子(中国)有限公司、无锡锐泰节能系统科学有限公司、微软(中国)有限公司、天维尔信息科技股份有限公司、天津神州浩天科技有限公司、四平市九州易通科技有限公司、思科系统(中国)网络技术有限公司、深圳搜豹网络有限公司、深圳市图美电子技术有限公司、深圳市金蝶天燕云计算股份有限公司、深圳市吉祥腾达科技有限公司、深信服科技股份有限公司、上海卓卓网络科技有限公司、上海喜马拉雅科技有限公司、上海肯特仪表股份有限公司、上海黄豆网络科技有限公司、上海泛微网络科技股份有限公司、上海二三四五网络科技有限公司、上海贝锐信息科技股份有限公司、山东金钟科技集团股份有限公司、厦门三五互联科技股份有限公司、青岛东软载波智能电子有限公司、普联技术有限公司、南京康尼机电股份有限公司、明腾网络股份有限公司、昆明云涛科技有限公司、康吉诺(北京)科技有限公司、江西铭软科技有限公司、吉翁电子(深圳)有限公司、湖南省思派电子科技有限公司、湖南创星科技股份有限公司、湖南翱云网络科技有限公司、恒锋信息科技股份有限公司、杭州易软共创网络科技有限公司、汉王科技股份有限公司、海南有趣科技有限公司、广州图创计算机软件开发有限公司、广州南方卫星导航仪器有限公司、广州好象科技有限公司、广东精工智能系统有限公司、富士胶片商业创新(中国)有限公司、烽火通信科技股份有限公司、东莞市东城飞飞网络科技经营部、北京中创视讯科技有限公司、北京值得买科技股份有限公司、北京星网锐捷网络技术有限公司、北京欣泉科技有限公司、北京网康科技有限公司、北京天融信科技有限公司、北京数科网维技术有限责任公司、北京神州绿盟科技有限公司、北京巧巧时代网络科技有限公司、北京灵州网络技术有限公司、北京良精志诚科技有限责任公司、北京九思协同软件有限公司、北京汉邦高科数字技术股份有限公司、北京宝兰德软件股份有限公司、北京爱奇艺科技有限公司、三菱电机株式会社、众山小读书APP、狂雨小说cms、WordPress、VMware, Inc.、UCMS、StarDot Technologies、SparkPost、osCommerce、NETGEAR、Moddable、JreCms、JPress、jfinal cms、J2eeFAST、AxonIQ和Axis Communications AB。

本周，CNVD发布了《Microsoft发布2022年6月安全更新》。详情参见CNVD网站公告内容。

https://www.cnvd.org.cn/webinfo/show/7801

本周漏洞报送情况统计

本周报送情况如表1所示。其中，新华三技术有限公司、深信服科技股份有限公司、杭州安恒信息技术股份有限公司、北京神州绿盟科技有限公司、安天科技集团股份有限公司等单位报送公开收集的漏洞数量较多。北京华顺信安科技有限公司、贵州泰若数字科技有限公司、上海纽盾科技股份有限公司、重庆都会信息科技有限公司、河南东方云盾信息技术有限公司、北京安帝科技有限公司、北京云科安信科技有限公司(Seraph安全实验室)、浙江木链物联网科技有限公司、山谷网安科技股份有限公司、中科汇能科技有限公司、武汉安域信息安全技术有限公司、西安交大捷普网络科技有限公司、平安银河实验室、河南灵创电子科技有限公司、中国烟草总公司湖北省公司、广东唯顶信息科技股份有限公司、山石网科通信技术股份有限公司、北京六方云信息技术有限公司、网宿科技股份有限公司、广州百蕴启辰科技有限公司、北京墨云科技有限公司、北京机沃科技有限公司、上海嘉韦思信息技术有限公司、江苏保旺达软件技术有限公司、北京升鑫网络科技有限公司、南京凯茜数字科技有限公司及其他个人白帽子向CNVD提交了9231个以事件型漏洞为主的原创漏洞，其中包括奇安信网神(补天平台)、斗象科技(漏洞盒子)、三六零数字安全科技集团有限公司和上海交大向CNVD共享的白帽子报送的7011条原创漏洞信息。

表1 漏洞报送情况统计表（略）

本周漏洞按类型和厂商统计

本周，CNVD收录了474个漏洞。WEB应用223个，应用程序120个，网络设备(交换机、路由器等网络端设备)77个，智能设备(物联网终端设备)21个，安全产品16个，操作系统16个，数据库1个。

表2 漏洞按影响类型统计表

图2 本周漏洞按影响类型分布

CNVD整理和发布的漏洞涉及Google、WordPress、Siemens等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。

表3 漏洞产品涉及厂商分布统计表

本周行业漏洞收录情况

本周，CNVD收录了61个电信行业漏洞，15个移动互联网行业漏洞，26个工控行业漏洞(如下图所示)。其中，“H3C Magic R100缓冲区溢出漏洞、Cisco Unified CM和Unified CM SME任意文件写入漏洞、Siemens SINEMA Remote Connect Server命令注入漏洞”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序，请参照CNVD相关行业漏洞库链接。

电信行业漏洞链接：http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接：http://mi.cnvd.org.cn/

工控系统行业漏洞链接：http://ics.cnvd.org.cn/

图3 电信行业漏洞统计

图4 移动互联网行业漏洞统计

图5 工控系统行业漏洞统计

本周重要漏洞安全告警

本周，CNVD整理和发布以下重要安全漏洞信息。

1、Adobe产品安全漏洞

Adobe Acrobat是一套PDF文件编辑和转换工具。Adobe Acrobat Reader是一款PDF查看器。该软件用于打印，签名和注释PDF。Adobe InCopy是美国Adobe公司的一款用于创作的文本编辑软件。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞读取系统上的敏感信息，在目标系统上执行任意代码。

CNVD收录的相关漏洞包括：多款Adobe产品越界读取漏洞(CNVD-2022-45905、CNVD-2022-45904、CNVD-2022-45906、CNVD-2022-45908、CNVD-2022-45907、CNVD-2022-45910、CNVD-2022-45911)、Adobe InCopy越界写入漏洞(CNVD-2022-45913)。其中，“多款Adobe产品越界读取漏洞(CNVD-2022-45906)、Adobe InCopy越界写入漏洞(CNVD-2022-45913)”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-45905

https://www.cnvd.org.cn/flaw/show/CNVD-2022-45904

https://www.cnvd.org.cn/flaw/show/CNVD-2022-45906

https://www.cnvd.org.cn/flaw/show/CNVD-2022-45908

https://www.cnvd.org.cn/flaw/show/CNVD-2022-45907

https://www.cnvd.org.cn/flaw/show/CNVD-2022-45910

https://www.cnvd.org.cn/flaw/show/CNVD-2022-45911

https://www.cnvd.org.cn/flaw/show/CNVD-2022-45913

2、Google产品安全漏洞

Google Chrome是美国谷歌(Google)公司的一款Web浏览器。Google Android是美国谷歌(Google)公司的一套以Linux为基础的开源操作系统。Bootloader是其中的一个启动加载程序。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞通过精心设计的HTML页面执行沙盒逃逸，导致权限提升，造成应用拒绝服务等。

CNVD收录的相关漏洞包括：Google Chrome资源管理错误漏洞(CNVD-2022-44716、CNVD-2022-44715、CNVD-2022-44718、CNVD-2022-44717、CNVD-2022-44720、CNVD-2022-44719)、Google Android拒绝服务漏洞(CNVD-2022-45914)、Google Android权限提升漏洞(CNVD-2022-45915)。其中，“Google Android权限提升漏洞(CNVD-2022-45915)”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-44716

https://www.cnvd.org.cn/flaw/show/CNVD-2022-44715

https://www.cnvd.org.cn/flaw/show/CNVD-2022-44718

https://www.cnvd.org.cn/flaw/show/CNVD-2022-44717

https://www.cnvd.org.cn/flaw/show/CNVD-2022-44720

https://www.cnvd.org.cn/flaw/show/CNVD-2022-44719

https://www.cnvd.org.cn/flaw/show/CNVD-2022-45914

https://www.cnvd.org.cn/flaw/show/CNVD-2022-45915

3、Cisco产品安全漏洞

Cisco Firepower Threat Defense是一套提供下一代防火墙服务的统一软件。Cisco Adaptive Security Appliances Software是一套防火墙和网络安全平台。该平台提供了对数据和网络资源的高度安全的访问等功能。Cisco Unified Communications Manager是美国思科(Cisco)公司的一款统一通信系统中的呼叫处理组件。该组件提供了一种可扩展、可分布和高可用的企业IP电话呼叫处理解决方案。Unified Communications Manager Session Management Edition是Unified Communications Manager的会话管理版。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞访问底层操作系统上的敏感文件，执行任意脚本代码，造成拒绝服务条件(DoS)等。

CNVD收录的相关漏洞包括：Cisco Adaptive Security Appliance和Firepower Threat Defense信息泄露漏洞、Cisco Adaptive Security Appliance和Firepower Threat Defense拒绝服务漏洞(CNVD-2022-44686、CNVD-2022-44689)、Cisco Adaptive Security Appliance和Firepower Threat Defense权限提升漏洞、Cisco Unified CM和Unified CM SME任意文件读取漏洞、Cisco Unified CM和Unified CM SME任意文件写入漏洞、Cisco Unified CM和Unified CM SME跨站脚本漏洞、Cisco Unified CM和Unified CM SME拒绝服务漏洞。其中，“Cisco Adaptive Security Appliance和Firepower Threat Defense拒绝服务漏洞(CNVD-2022-44686、CNVD-2022-44689)、Cisco Adaptive Security Appliance和Firepower Threat Defense权限提升漏洞、Cisco Unified CM和Unified CM SME任意文件写入漏洞”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-44687

https://www.cnvd.org.cn/flaw/show/CNVD-2022-44686

https://www.cnvd.org.cn/flaw/show/CNVD-2022-44689

https://www.cnvd.org.cn/flaw/show/CNVD-2022-44688

https://www.cnvd.org.cn/flaw/show/CNVD-2022-44704

https://www.cnvd.org.cn/flaw/show/CNVD-2022-44703

https://www.cnvd.org.cn/flaw/show/CNVD-2022-44707

https://www.cnvd.org.cn/flaw/show/CNVD-2022-44706

4、Siemens产品安全漏洞

SINEMA Remote Connect是一个远程网络管理平台，可轻松管理总部、服务技术人员和已安装机器或工厂之间的隧道连接 (VPN)。Mendix SAML Module允许使用SAML对云应用程序中的用户进行身份验证。该模块可以与任何支持SAML2.0或Shibboleth的身份提供者进行通信。Xpedition Enterprise是一款PCB设计流程，提供从系统设计定义到制造执行的集成。SICAM GridEdge只需单击几下即可使您现有的IEC61850设备具有物联网功能。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞创建具有管理权限的新用户，更改用户的数据，注入任意代码并提升权限等。

CNVD收录的相关漏洞包括：Siemens SINEMA Remote Connect Server用户管理错误漏洞、Siemens SINEMA Remote Connect Server数据真实性验证错误漏洞、Siemens SINEMA Remote Connect Server身份验证错误漏洞、Siemens Mendix SAML Module跨站脚本漏洞、Siemens Xpedition Designer本地权限提升漏洞、Siemens SICAM GridEdge身份验证错误漏洞(CNVD-2022-45216)、Siemens SICAM GridEdge资源泄漏漏洞、Siemens SICAM GridEdge身份验证错误漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-45221

https://www.cnvd.org.cn/flaw/show/CNVD-2022-45227

https://www.cnvd.org.cn/flaw/show/CNVD-2022-45229

https://www.cnvd.org.cn/flaw/show/CNVD-2022-45212

https://www.cnvd.org.cn/flaw/show/CNVD-2022-45209

https://www.cnvd.org.cn/flaw/show/CNVD-2022-45216

https://www.cnvd.org.cn/flaw/show/CNVD-2022-45215

https://www.cnvd.org.cn/flaw/show/CNVD-2022-45217

5、D-Link DIR-816 A2命令注入漏洞(CNVD-2022-45933)

D-Link DIR-816 A2是中国台湾友讯(D-Link)公司的一款无线路由器。本周，D-Link DIR-816 A2被披露存在命令注入漏洞。该漏洞源于/goform/setSysAdm中的admuser和admpass参数未能正确过滤构造命令特殊字符、命令等。攻击者可利用该漏洞通过精心设计的负载将权限提升到root。目前，厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

参考链接：https://www.cnvd.org.cn/flaw/show/CNVD-2022-45933

更多高危漏洞如表4所示，详细信息可根据CNVD编号，在CNVD官网进行查询。参考链接：http://www.cnvd.org.cn/flaw/list.htm

表4 部分重要高危漏洞列表

小结：本周，Adobe产品被披露存在多个漏洞，攻击者可利用漏洞读取系统上的敏感信息，在目标系统上执行任意代码。此外，Google、Cisco、Siemens等多款产品被披露存在多个漏洞，攻击者可利用漏洞访问底层操作系统上的敏感文件，创建具有管理权限的新用户，更改用户的数据，执行任意脚本代码，导致权限提升，造成拒绝服务条件(DoS)等。另外，D-Link DIR-816 A2被披露存在命令注入漏洞。攻击者可利用该漏洞通过精心设计的负载将权限提升到root。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

来源：国家信息安全漏洞共享平台