CNNVD信息安全漏洞周报(2023年第1期)
根据国家信息安全漏洞库(CNNVD)统计，本周(2023年1月2日至2023年1月8日)安全漏洞情况如下：
公开漏洞情况
本周CNNVD采集安全漏洞492个。
接报漏洞情况
本周CNNVD接报漏洞10969，其中信息技术产品漏洞(通用型漏洞)126个，网络信息系统漏洞(事件型漏洞)2229个，漏洞平台推送漏洞8614个。
一、公开漏洞情况
根据国家信息安全漏洞库(CNNVD)统计，本周新增安全漏洞492个，漏洞新增数量有所上升。从厂商分布来看谷歌公司新增漏洞最多，有69个;从漏洞类型来看，SQL注入类的安全漏洞占比最大，达到14.63%。新增漏洞中，超危漏洞19个，高危漏洞94个，中危漏洞367个，低危漏洞12个。相应修复率分别为84.21%、86.17%、90.19%和83.33%。根据补丁信息统计，合计438个漏洞已有修复补丁发布，整体修复率为89.02%。
(一) 安全漏洞增长数量情况
本周CNNVD采集安全漏洞492个。
图1 近五周漏洞新增数量统计图
(二) 安全漏洞分布情况
从厂商分布来看，谷歌公司新增漏洞最多，有69个。各厂商漏洞数量分布如表1所示。
表1 新增安全漏洞排名前五厂商统计表
本周国内厂商漏洞75个，联发科公司漏洞数量最多，有23个。国内厂商漏洞整体修复率为96.10%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。
从漏洞类型来看, SQL注入类的安全漏洞占比最大，达到14.63%。漏洞类型统计如表2所示。
表2 漏洞类型统计表
(三) 安全漏洞危害等级与修复情况
本周共发布超危漏洞19个，高危漏洞94个，中危漏洞367个，低危漏洞12个。相应修复率分别为84.21%、86.17%、90.19%和83.33%。根据补丁信息统计，合计438个漏洞已有修复补丁发布，整体修复率为89.02%。详细情况如表3所示。
表3 漏洞危害等级与修复情况
(四) 本周重要漏洞实例
本周重要漏洞实例如表4所示。
表4 本期重要漏洞实例
1.WordPress plugin User Post Gallery 命令注入漏洞(CNNVD-202301-127)
WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。
WordPress plugin User Post Gallery 2.19版本及之前版本存在命令注入漏洞。攻击者利用该漏洞可以调用任意PHP函数，从而升级权限，将自己账号升级为管理员权限。
目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：
https://wordpress.org/support/plugin/wp-upg/
2. Fuji Electric Monitouch V-SFT和TELLUS 安全漏洞(CNNVD-202301-103)
Fuji Electric Monitouch V-SFT和Fuji Electric TELLUS都是日本富士电机(Fuji Electric)公司的产品。Fuji Electric Monitouch V-SFT是一个屏幕配置软件。Fuji Electric TELLUS是一款高级功能、用户友好性和远程控制专用软件。
Fuji Electric V-SFT v6.1.7.0版本及之前版本、TELLUS v4.0.12.0版本及之前版本存在安全漏洞，该漏洞源于存在内存越界读取问题。攻击者利用该漏洞通过让用户打开特制的图像文件来获取信息，并可以执行任意代码。
目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：
https://monitouch.fujielectric.com/site/download-e/09vsft6_inf/index.php
3. Fortinet FortiADC 安全漏洞(CNNVD-202301-132)
Fortinet FortiADC是美国飞塔(Fortinet)公司的一款应用交付控制器。
Fortinet FortiADC存在安全漏洞，该漏洞源于对系统命令中使用的特殊元素进行了不正确的清理。攻击者可利用该漏洞通过专门设计的HTTP请求，执行未经授权的代码或命令。以下版本受到影响：7.0.0至7.0.2版本、6.2.0至6.2.3版本、6.1.0至6.1.6版本、6.0.0至6.0.4版本、5.4.0至5.4.5版本。
目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：
https://www.fortinet.com
二、漏洞平台推送情况
本周漏洞平台推送漏洞8614个。
三、接报漏洞情况
本周CNNVD接报漏洞2355个，其中信息技术产品漏洞(通用型漏洞)126个，网络信息系统漏洞(事件型漏洞)2229个。
（详情略）
四、收录漏洞通报情况
本周CNNVD收录漏洞通报19份。
（详情略）
来源：CNNVD安全动态
