您所在的位置: 首页 >
安全研究 >
安全通告 >
信息安全漏洞月报2023年7月
漏洞态势
根据国家信息安全漏洞库(CNNVD)统计,2023年7月份采集安全漏洞共2280个。
本月接报漏洞29856个,其中信息技术产品漏洞(通用型漏洞)632个,网络信息系统漏洞(事件型漏洞)29224个,其中漏洞平台推送漏洞28884个。
重大漏洞通报
FortiOS/FortiProxy安全漏洞(CNNVD-202307-1285/CVE-2023-33308)情况的报送。成功利用漏洞的攻击者,可在目标系统执行任意代码。FortiOS 7.2.0,7.2.3、FortiOS 7.0.0,7.0.10、FortiProxy 7.2.0,7.2.2、FortiProxy 7.0.0,7.0.9等版本均受此漏洞影响。目前,美国飞塔(Fortinet)官方已发布新版本修复了该漏洞,建议用户及时确认产品版本,尽快采取修补措施。
漏洞态势
一、公开漏洞情况
根据国家信息安全漏洞库(CNNVD)统计,2023年7月新增安全漏洞共2280个,从厂商分布来看,WordPress基金会漏洞数量最多,共发布281个;从漏洞类型来看,跨站脚本类的漏洞占比最大,达到14.30%。本月新增漏洞中,超危漏洞301个、高危漏洞879个、中危漏洞1035个、低危漏洞65个,相应修复率分别为68.11%、81.57%、81.35%以及87.69%。合计1821个漏洞已有修复补丁发布,本月整体修复率79.87%。
截至2023年7月31日,CNNVD采集漏洞总量已达215654个。
1.1 漏洞增长概况
2023年7月新增安全漏洞2280个,与上月(2227个)相比增加了2.38%。根据近6个月来漏洞新增数量统计图,平均每月漏洞数量达到2310个。
图1 2023年2月至2023年7月漏洞新增数量统计图
1.2 漏洞分布情况
1.2.1 漏洞厂商分布
2023年7月厂商漏洞数量分布情况如表1所示,WordPress基金会漏洞达到281个,占本月漏洞总量的12.32%。
1.2.2 漏洞产品分布
2023年7月主流操作系统的漏洞统计情况如表2所示。本月Windows系列操作系统漏洞数量共105个,Windows Server 2022漏洞数量最多,共98个,占主流操作系统漏洞总量的12.52%,排名第一。
1.2.3 漏洞类型分布
2023年7月发布的漏洞类型分布如表3所示,其中跨站脚本类漏洞所占比例最大,约为14.30%。
1.2.4 漏洞危害等级分布
根据漏洞的影响范围、利用方式、攻击后果等情况,从高到低可将其分为四个危害等级,即超危、高危、中危和低危级别。2023年7月漏洞危害等级分布如图2所示,其中超危漏洞301条,占本月漏洞总数的13.20%。
图2 2023年7月漏洞危害等级分布
1.3漏洞修复情况
1.3.1 整体修复情况
2023年7月漏洞修复情况按危害等级进行统计见图3。其中低危漏洞修复率最高,达到87.69%,超危漏洞修复率最低,比例为68.11%。
总体来看,本月整体修复率由上月的79.79%上升至本月的79.87%。
图3 2023年7月漏洞修复数量统计
1.3.2 厂商修复情况
2023年7月漏洞修复情况按漏洞数量前十厂商进行统计,其中WordPress基金会、Microsoft、Apple等十个厂商共746条漏洞,占本月漏洞总数的32.72%,漏洞修复率为98.93%,详细情况见表4。多数知名厂商对产品安全高度重视,产品漏洞修复比较及时,其中Microsoft、Apple、Oracle、Google、IBM、Samsung、Siemens、Adobe等公司本月漏洞修复率均为100%,共738条漏洞已全部修复。
1.4 重要漏洞实例
1.4.1 超危漏洞实例
2023年7月超危漏洞共301个,其中重要漏洞实例如表5所示。
表5 2023年7月超危漏洞实例(略)
1、PrestaShop SQL注入漏洞(CNNVD-202307-790)
PrestaShop是美国PrestaShop公司的一套开源的电子商务解决方案。该方案提供多种支付方式、短消息提醒和商品图片缩放等功能。
PrestaShop vivawallet v.1.7.10 及之前版本存在SQL注入漏洞,该漏洞源于远程攻击者通过 vivawallet() 模块获取权限。
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://github.com/VivaPayments/API/commit/c1169680508c6e144d3e102ebdb257612e4cd84a
2、Fortinet FortiOS 代码问题漏洞(CNNVD-202307-789)
Fortinet FortiOS是美国飞塔(Fortinet)公司的一套专用于FortiGate网络安全平台上的安全操作系统。该系统为用户提供防火墙、防病毒、IPSec/SSLVPN、Web内容过滤和反垃圾邮件等多种安全功能。
FortiOS存在安全漏洞,该漏洞源于存在会话过期不足,允许攻击者通过在REST API中重用已删除用户的会话来执行未经授权的代码或命令。
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://fortiguard.com/psirt/FG-IR-23-028
3、Johnson Controls iSTAR Ultra 授权问题漏洞(CNNVD-202307-960)
Johnson Controls iSTAR Ultra是美国江森自控(Johnson Controls)公司的一款门控制器。提供网络弹性和更快的处理速度。
Johnson Controls iSTAR Ultra、iSTAR Ultra LT、iSTAR Ultra G2 和 iSTAR Edge G2 存在安全漏洞,该漏洞源于未经身份验证的用户可以使用管理员权限登录。
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://www.johnsoncontrols.com/-/media/jci/cyber-solutions/product-security-advisories/2023/jci-psa-2023-05.pdf?la=en&hash=C5E02BC753922BE0EE64194F44CFE8C981D2E428
4、vm2 操作系统命令注入漏洞(CNNVD-202307-1842)
vm2是捷克Patrik Simek个人开发者的一个 Node.js 的高级虚拟机/沙盒。以使用列入白名单的 Node 内置模块运行不受信任的代码。
vm2 3.9.19及之前版本存在操作系统命令注入漏洞,该漏洞源于自定义检查功能允许攻击者逃离沙箱并运行任意代码,这可能会导致远程执行代码。
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://github.com/patriksimek/vm2/security/advisories/GHSA-g644-9gfx-q4q4
5、Google Android OS 缓冲区错误漏洞(CNNVD-202307-406)
Google Android是美国谷歌(Google)公司的一套以Linux为基础的开源操作系统。
Google Android OS存在安全漏洞,该漏洞源于在 gatt_utils.cc 的 gatt_end_operation 中,缺少边界检查,可能存在越界写入。
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://source.android.com/docs/security/bulletin/2023-07-01?hl=zh-cn
6、Kratos NGC Indoor Unit 访问控制错误漏洞(CNNVD-202307-1554)
Kratos Defense Kratos NGC Indoor Unit是Kratos Defense公司的一种先进的天线控制系统。
Kratos NGC Indoor Unit (IDU) 11.4 之前版本存在安全漏洞,该漏洞源于关键功能缺少身份验证,导致远程攻击者能够获得对 IDU/ODU 系统的任意控制。
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://www.kratosdefense.com/vulnerability-advisories/cve-2023-36669
7、SciPy 资源管理错误漏洞(CNNVD-202307-454)
SciPy是Scipy社区的所开发的一个开源的Python算法库和数学、科学、工程计算包,它包含了线性代数、积分、特殊函数等计算模块。
SciPy 1.8.0之前版本存在安全漏洞,该漏洞源于Py_FindObjects()函数存在内存释放后重用问题。
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://github.com/scipy/scipy/pull/15013
8、Apache Airflow 输入验证错误漏洞(CNNVD-202307-066)
Apache Airflow是美国阿帕奇(Apache)基金会的一套用于创建、管理和监控工作流程的开源平台。该平台具有可扩展和动态监控等特点。
Apache Airflow Hive Provider 6.1.1 之前版本存在输入验证错误漏洞,该漏洞源于可以绕过 RCE 安全检查。
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://lists.apache.org/thread/30y19ok07fw52x5hnkbhwqo3ho0wwc1y
1.4.2 高危漏洞实例
2023年7月高危漏洞共879个,其中重要漏洞实例如表6所示。
表6 2023年7月高危漏洞实例(略)
二、漏洞平台推送情况
2023年7月漏洞平台推送漏洞28884个。
三、接报漏洞情况
2023年7月接报漏洞972个,其中信息技术产品漏洞(通用型漏洞)632个,网络信息系统漏洞(事件型漏洞)340个。
表8 2023年7月接报漏洞情况表(略)
四、重大漏洞通报
FortiOS/FortiProxy安全漏洞的通报
近日,国家信息安全漏洞库(CNNVD)收到关于FortiOS/FortiProxy安全漏洞(CNNVD-202307-1285/CVE-2023-33308)情况的报送。成功利用漏洞的攻击者,可在目标系统执行任意代码。FortiOS 7.2.0,7.2.3、FortiOS 7.0.0,7.0.10、FortiProxy 7.2.0,7.2.2、FortiProxy 7.0.0,7.0.9等版本均受此漏洞影响。目前,美国飞塔(Fortinet)官方已发布新版本修复了该漏洞,建议用户及时确认产品版本,尽快采取修补措施。
. 漏洞介绍
FortiOS是美国飞塔(Fortinet)公司的一套专用于FortiGate网络安全平台上的操作系统。FortiProxy是美国飞塔(Fortinet)公司的一款高性能代理。远程攻击者通过构造能到达代理策略或具有代理模式的防火墙策略的伪造数据包,最终在目标系统执行任意代码。
. 危害影响
成功利用漏洞的攻击者,可向目标设备发送特殊请求,从而远程执行恶意代码。FortiOS 7.2.0,7.2.3、FortiOS 7.0.0,7.0.10、FortiProxy 7.2.0,7.2.2、FortiProxy 7.0.0,7.0.9等版本均受此漏洞影响。
. 修复建议
目前,目前,美国飞塔(Fortinet)官方已发布新版本修复了该漏洞,建议用户及时确认产品版本,尽快采取修补措施。官方安全版本参考链接:
FortiOS升级
https://docs.fortinet.com/product/fortigate/7.4
FortiProxy升级
https://docs.fortinet.com/product/fortiproxy/7.2
来源:CNNVD安全动态