信息安全漏洞月报（2023年8月） - 安全通告 - 安全研究 - 郑州金瀚信息安全技术有限公司官网-工业互联网安全服务商

您所在的位置：首页 > 安全研究 > 安全通告 > 信息安全漏洞月报（2023年8月）

信息安全漏洞月报（2023年8月）

漏洞态势

根据国家信息安全漏洞库(CNNVD)统计，2023年8月采集安全漏洞共2487个。本月接报漏洞75398个，其中信息技术产品漏洞(通用型漏洞)659个，网络信息系统漏洞(事件型漏洞)74739个，其中漏洞平台推送漏洞74503个。

重大漏洞通报

微软官方发布公告更新了Microsoft Exchange Server 安全漏洞(CNNVD-202308-737/CVE-2023-21709)、Microsoft Message Queuing 安全漏洞(CNNVD-202308-734/CVE-2023-35385)等多个漏洞：成功利用上述漏洞的攻击者可以在目标系统上执行任意代码、获取用户数据，提升权限等。微软多个产品和系统受漏洞影响。目前，微软官方已经发布了漏洞修复补丁，建议用户及时确认是否受到漏洞影响，尽快采取修补措施。

漏洞态势

一、公开漏洞情况

根据国家信息安全漏洞库(CNNVD)统计，2023年8月新增安全漏洞共2487个，从厂商分布来看，WordPress基金会产品的漏洞数量最多，共发布267个;从漏洞类型来看，跨站脚本类的漏洞占比最大，达到17.13%。本月新增漏洞中，超危漏洞415个、高危漏洞862个、中危漏洞1179个、低危漏洞31个，相应修复率分别为57.83%、80.63%、83.04%以及90.32%。合计1942个漏洞已有修复补丁发布，本月整体修复率78.09%。截至2023年8月31日，CNNVD采集漏洞总量已达218141个。

1.1 漏洞增长概况

2023年8月新增安全漏洞2487个，与上月(2280个)相比增加了9.08%。根据近6个月漏洞新增数量统计图，平均每月漏洞数量达到2374个。

金瀚信安：信息安全漏洞月报（2023年8月）1

图1 2023年3月至2023年8月漏洞新增数量统计图

1.2 漏洞分布情况

1.2.1 漏洞厂商分布

2023年8月厂商漏洞数量分布情况如表1所示，WordPress基金会漏洞达到267个，占本月漏洞总量的10.74%。

信息安全漏洞月报（2023年8月）表1

1.2.2 漏洞产品分布

2023年8月主流操作系统的漏洞统计情况如表2所示。本月Windows系列操作系统漏洞数量共39个，Windows 11 和 Windows 10漏洞数量最多，各34个，占主流操作系统漏洞总量的10.43%，排名第一。

信息安全漏洞月报（2023年8月）表2

1.2.3 漏洞类型分布

2023年8月发布的漏洞类型分布如表3所示，其中跨站脚本类漏洞所占比例最大，约为17.13%。

信息安全漏洞月报（2023年8月）表3

1.2.4 漏洞危害等级分布

根据漏洞的影响范围、利用方式、攻击后果等情况，从高到低可将其分为四个危害等级，即超危、高危、中危和低危级别。2023年8月漏洞危害等级分布如图2所示，其中超危漏洞415条，占本月漏洞总数的16.69%。

金瀚信安：信息安全漏洞月报（2023年8月）图2

图2 2023年8月漏洞危害等级分布

1.3漏洞修复情况

1.3.1 整体修复情况

2023年8月漏洞修复情况按危害等级进行统计见图3。其中低危漏洞修复率最高，达到90.32%，超危漏洞修复率最低，比例为57.83%。总体来看，本月整体修复率由上月的79.87%下降至本月的78.09%。

金瀚信安：信息安全漏洞月报（2023年8月）图3

图3 2023年8月漏洞修复数量统计

1.3.2 厂商修复情况

2023年8月漏洞修复情况按漏洞数量前十厂商进行统计，其中WordPress基金会、Google、Intel等十个厂商共706条漏洞，占本月漏洞总数的28.39%，漏洞修复率为91.93%，详细情况见表4。多数知名厂商对产品安全高度重视，产品漏洞修复比较及时，其中Google、Intel、Microsoft、Adobe、Siemens、IBM等公司本月漏洞修复率均为100%，共649条漏洞已全部修复。

信息安全漏洞月报（2023年8月）表4

1.4 重要漏洞实例

1.4.1 超危漏洞实例

2023年8月超危漏洞共415个，其中重要漏洞实例如表5所示。

表5 2023年8月超危漏洞实例（略）

1. Siemens RUGGEDCOM CROSSBOW SQL注入漏洞(CNNVD-202308-569)

Siemens RUGGEDCOM CROSSBOW是德国西门子(Siemens)公司的一个经过验证的安全访问管理解决方案。

Siemens RUGGEDCOM CROSSBOW存在安全漏洞，该漏洞源于容易受到 SQL 注入攻击。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://cert-portal.siemens.com/productcert/pdf/ssa-472630.pdf

2. IBM SDK, Java Technology Edition 代码问题漏洞(CNNVD-202308-062)

IBM SDK, Java Technology Edition是美国国际商业机器(IBM)公司的一款用于Java应用程序开发的软件开发工具包。

IBM SDK, Java Technology Edition 存在安全漏洞，该漏洞源于 IBM SDK, Java Technology Edition 存在反序列化漏洞。攻击者可利用该漏洞通过发送特制数据来执行任意代码。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://www.ibm.com/support/pages/java-sdk-downloads

3. ZOHO ManageEngine ADManager Plus 授权问题漏洞(CNNVD-202308-2212)

ZOHO ManageEngine ADManager Plus是美国卓豪(ZOHO)公司的一套为使用Windows域的企业用户设计的微软活动目录管理软件。该软件能够协助AD管理员和帮助台技术人员进行日常管理工作，例如批量管理用户帐户和AD对象、给帮助台技术员指派基于角色的访问权限等。

ZOHO ManageEngine ADManager Plus 7186及之前版本存在安全漏洞，该漏洞源于容易通过 2FA 绕过身份验证。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://www.manageengine.com/security/advisory/CVE/CVE-2023-35785.html

4. PHOENIX CONTACTs WP 6xxx series web panels操作系统命令注入漏洞(CNNVD-202308-526)

PHOENIX CONTACTs WP 6xxx series web panels是德国菲尼克斯电气(PHOENIX CONTACTs)公司的一系列网页面板。

PHOENIX CONTACTs WP 6xxx series web panels 4.0.10之前版本存在操作系统命令注入漏洞，该漏洞源于低权限的远程攻击者可能会使用与日期/时间操作相关的特定HTTP POST请求的属性来获得对设备的完全访问权限。

目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：

https://www.phoenixcontact.com/en-us/contact

5. SAMSUNG Mobile devices 缓冲区错误漏洞(CNNVD-202308-877)

SAMSUNG Mobile devices是韩国三星(SAMSUNG)公司的一系列的三星移动设备，包括手机、平板等。

SAMSUNG Mobile devices SMR Aug-2023 Release 1 版本存在安全漏洞，该漏洞源于 libsimba 库的 parser_hvcC 方法中存在越界写入漏洞，允许远程攻击者执行代码。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://security.samsungmobile.com/securityUpdate.smsb?year=2023&month=08

6. SAP PowerDesigner 访问控制错误漏洞(CNNVD-202308-518)

SAP PowerDesigner是德国思爱普(SAP)公司的一款数据库设计软件。

SAP PowerDesigner 存在访问控制错误漏洞，该漏洞源于具有不正确的访问控制，可能允许未经身份验证的攻击者通过代理对后端数据库运行任意查询。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://www.sap.com/documents/2022/02/fa865ea4-167e-0010-bca6-c68f7e60039b.html

7. Ascensio System ONLYOFFICE 资源管理错误漏洞(CNNVD-202308-1195)

Ascensio System ONLYOFFICE是拉脱维亚Ascensio System公司的一款办公软件。

Ascensio System ONLYOFFICE DocumentServer 4.0.3至7.3.2版本存在资源管理错误漏洞，该漏洞源于存在释放后重用漏洞。攻击者可利用该漏洞通过设计JavaScript文件执行任意代码。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://github.com/ONLYOFFICE/core/commit/2b6ad83b36afd9845085b536969d366d1d61150a

8. Apache Traffic Server 输入验证错误漏洞(CNNVD-202308-796)

Apache Traffic Server(ATS)是美国阿帕奇(Apache)基金会的一套可扩展的HTTP代理和缓存服务器。

Apache Software Foundation Apache Traffic Server 9.2.1版本存在输入验证错误漏洞，该漏洞源于存在不正确的输入验证。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://lists.apache.org/thread/jsl6dfdgs1mjjo1mbtyflyjr7xftswhc

1.4.2 高危漏洞实例

2023年8月高危漏洞共862个，其中重要漏洞实例如表6所示。

表6 2023年8月高危漏洞实例（略）

1. Siemens RUGGEDCOM CROSSBOW SQL注入漏洞(CNNVD-202308-579)

Siemens RUGGEDCOM CROSSBOW是德国西门子(Siemens)公司的一个经过验证的安全访问管理解决方案。

Siemens RUGGEDCOM CROSSBOW存在安全漏洞，该漏洞源于容易受到 SQL 注入攻击。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://cert-portal.siemens.com/productcert/pdf/ssa-472630.pdf

2. Splunk 代码问题漏洞(CNNVD-202308-2378)

Splunk是美国Splunk公司的一套数据收集分析软件。该软件主要用于收集、索引和分析及其所产生的数据，包括所有IT系统和基础结构(物理、虚拟机和云)生成的数据。

Splunk Enterprise 存在安全漏洞，该漏洞源于附带的动态链接库 (DLL) 引用了 OPENSSLDIR 构建定义的不安全路径。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://advisory.splunk.com/advisories/SVD-2023-0805

3. EJBCA 授权问题漏洞(CNNVD-202308-150)

EJBCA是Keyfactor开源的一个开源公钥基础设施(PKI)和证书颁发机构(CA)软件。

Keyfactor EJBCA 8.0.0之前版本存在安全漏洞，该漏洞源于存在身份验证问题，导致向未经身份验证或权限不足的用户泄露CA证书。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://support.keyfactor.com/hc/en-us/articles/16671824556827-EJBCA-Security-Advisory-Partial-denial-of-service-attack-on-certificate-distribution-servlet-ejbca-ra-cert

4. Brocade Fabric OS 操作系统命令注入漏洞(CNNVD-202308-038)

Brocade Fabric OS(FOS)是美国博科(Brocade)公司的一套使用在交换机和路由器等设备中的嵌入式操作系统。

Brocade Fabric OS 9.1.0至9.1.1版本存在安全漏洞，该漏洞源于fosexec命令存在权限提升漏洞。攻击者可利用该漏洞通过破坏rbash shell来将权限提升到root。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://support.broadcom.com/external/content/SecurityAdvisories/0/22407

5. Google Chrome 缓冲区错误漏洞(CNNVD-202308-115)

Google Chrome是美国谷歌(Google)公司的一款Web浏览器。

Google Chrome 115.0.5790.170之前版本存在安全漏洞，该漏洞源于ANGLE存在越界内存访问漏洞。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://chromereleases.googleblog.com/2023/08/stable-channel-update-for-desktop.html

6. ZOHO ManageEngine Network Configuration Manager 访问控制错误漏洞(CNNVD-202308-280)

ZOHO ManageEngine Network Configuration Manager是美国卓豪(ZOHO)公司的一种多供应商网络变更、配置和合规性管理 (Nccm) 解决方案。用于自动化并全面控制设备配置管理的整个生命周期。

ZOHO ManageEngine Network Configuration Manager 12.6.165版本存在安全漏洞，该漏洞源于存在跨站WebSocket劫持问题。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://www.manageengine.com/network-monitoring/help/read-me-complete.html#build_127131

7. Apple macOS Ventura 资源管理错误漏洞(CNNVD-202308-1298)

Apple macOS Ventura是美国Apple公司的一个桌面操作系统。

Apple macOS Ventura 13.3 版本存在安全漏洞，该漏洞源于处理 Web 内容可能会导致任意代码执行。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://support.apple.com/en-us/HT213670

8. Apache Airflow 输入验证错误漏洞(CNNVD-202308-2164)

Apache Airflow是美国阿帕奇(Apache)基金会的一套用于创建、管理和监控工作流程的开源平台。该平台具有可扩展和动态监控等特点。

Apache Airflow Sqoop Provider 4.0.0之前版本存在输入验证错误漏洞，该漏洞源于允许攻击者通过连接传递参数实施远程代码执行攻击，从而获取服务器权限等。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://lists.apache.org/thread/lswlxf11do51ob7f6xyyg8qp3n7wdrgd

二、漏洞平台推送情况

2023年8月漏洞平台推送漏洞74503个。

信息安全漏洞月报（2023年8月）表7

三、接报漏洞情况

2023年8月接报漏洞895个，其中信息技术产品漏洞(通用型漏洞)659个，网络信息系统漏洞(事件型漏洞)236个。

表8 2023年8月接报漏洞情况表（略）

四、重大漏洞通报

微软安全漏洞的通报

近日，微软官方发布了多个安全漏洞的公告，其中微软产品本身漏洞74个，影响到微软产品的其他厂商漏洞1个。包括Microsoft Exchange Server 安全漏洞(CNNVD-202308-737/CVE-2023-21709)、Microsoft Message Queuing 安全漏洞(CNNVD-202308-734/CVE-2023-35385)等多个漏洞。成功利用上述漏洞的攻击者可以在目标系统上执行任意代码、获取用户数据，提升权限等。微软多个产品和系统受漏洞影响。目前，微软官方已经发布了漏洞修复补丁，建议用户及时确认是否受到漏洞影响，尽快采取修补措施。

. 漏洞介绍

2023年8月8日，微软发布了2023年8月份安全更新，共75个漏洞的补丁程序，CNNVD对这些漏洞进行了收录。本次更新主要涵盖了Microsoft Windows 和 Windows 组件、Microsoft Dynamics 365、Microsoft Windows Mobile Device Management、Microsoft Windows HTML Platform、Microsoft Windows Cryptographic Services、Microsoft Azure等。CNNVD对其危害等级进行了评价，其中超危漏洞4个，高危漏洞48个，中危漏洞23个。微软多个产品和系统版本受漏洞影响，具体影响范围可访问微软官方网站查询：https://portal.msrc.microsoft.com/zh-cn/security-guidance.

漏洞详情

此次更新共包括73个新增漏洞的补丁程序，其中超危漏洞4个，高危漏洞47个，中危漏洞22个。

（详情略）

此次更新共包括1个更新漏洞的补丁程序，其中高危漏洞1个。

信息安全漏洞月报（2023年8月）表10

此次更新共包括1个影响微软产品的其他厂商漏洞的补丁程序，其中中危漏洞1个。

信息安全漏洞月报（2023年8月）表11

. 修复建议

目前，微软官方已经发布补丁修复了上述漏洞，建议用户及时确认漏洞影响，尽快采取修补措施。微软官方补丁下载地址：

https://msrc.microsoft.com/update-guide/en-us

来源：CNNVD安全动态

您所在的位置： 首页 > 安全研究 > 安全通告 > 信息安全漏洞月报（2023年8月）

您所在的位置：首页 > 安全研究 > 安全通告 > 信息安全漏洞月报（2023年8月）