您所在的位置: 首页 >
安全研究 >
安全通告 >
信息安全漏洞周报(2023年第37期)
根据国家信息安全漏洞库(CNNVD)统计,本周(2023年9月11日至2023年9月17日)安全漏洞情况如下:
公开漏洞情况
本周CNNVD采集安全漏洞428个。
接报漏洞情况
本周CNNVD接报漏洞8043个,其中信息技术产品漏洞(通用型漏洞)145个,网络信息系统漏洞(事件型漏洞)171个,漏洞平台推送漏洞7727个。
重大漏洞通报
微软多个安全漏洞:包括Microsoft Azure Kubernetes 安全漏洞(CNNVD-202309-793、CVE-2023-29332)、Microsoft Azure DevOps Server 安全漏洞(CNNVD-202309-795、CVE-2023-33136)等多个漏洞。成功利用上述漏洞的攻击者可以在目标系统上执行任意代码、获取用户数据,提升权限等。微软多个产品和系统受漏洞影响。目前,微软官方已经发布了漏洞修复补丁,建议用户及时确认是否受到漏洞影响,尽快采取修补措施。
一、公开漏洞情况
根据国家信息安全漏洞库(CNNVD)统计,本周新增安全漏洞428个,漏洞新增数量有所下降。从厂商分布来看微软公司新增漏洞最多,有62个;从漏洞类型来看,跨站脚本类的安全漏洞占比最大,达到11.68%。新增漏洞中,超危漏洞49个,高危漏洞151个,中危漏洞208个,低危漏洞20个。
(一) 安全漏洞增长数量情况
本周CNNVD采集安全漏洞428个。
图1 近五周漏洞新增数量统计图
(二) 安全漏洞分布情况
从厂商分布来看,微软公司新增漏洞最多,有62个。各厂商漏洞数量分布如表1所示。
本周国内厂商漏洞21个,友讯公司漏洞数量最多,有6个。国内厂商漏洞整体修复率为33.33%。请受影响用户关注厂商修复情况,及时下载补丁修复漏洞。
从漏洞类型来看, 跨站脚本类的安全漏洞占比最大,达到11.68%。漏洞类型统计如表2所示。
(三) 安全漏洞危害等级与修复情况
本周共发布超危漏洞49个,高危漏洞151个,中危漏洞208个,低危漏洞20个。相应修复率分别为71.43%、88.08%、71.15%和55.00%。根据补丁信息统计,合计327个漏洞已有修复补丁发布,整体修复率为76.40%。详细情况如表3所示。
(四) 本周重要漏洞实例
本周重要漏洞实例如表4所示。
1. SAP BusinessObjects Business Intelligence Platform 信息泄露漏洞(CNNVD-202309-912)
SAP BusinessObjects Business Intelligence Platform是德国思爱普(SAP)公司的一款完备的商务分析平台。该平台集SAP 数据整合产品、数据管理产品和商务智能 (BI) 产品于一身,可消除系统集成难题,快速、轻松地部署高性能的商务分析软件。
SAP BusinessObjects Business Intelligence Platform 420、430版本存在信息泄露漏洞。攻击者利用该漏洞可以查看受到限制的敏感信息,从而对机密性、完整性和可用性造成严重影响。
目前厂商已发布升级补丁以修复漏洞,参考链接:
https://www.sap.com/documents/2022/02/fa865ea4-167e-0010-bca6-c68f7e60039b.html
2. Microsoft SharePoint 安全漏洞(CNNVD-202309-807)
Microsoft SharePoint是美国微软(Microsoft)公司的一套企业业务协作平台。该平台用于对业务信息进行整合,并能够共享工作、与他人协同工作、组织项目和工作组、搜索人员及其信息。
Microsoft SharePoint存在安全漏洞。攻击者利用该漏洞可以提升权限。以下产品受到影响:Microsoft SharePoint Enterprise Server 2016,Microsoft SharePoint Server 2019,Microsoft SharePoint Server Subscription Edition。
目前厂商已发布升级补丁以修复漏洞,参考链接:
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36764
3. WordPress plugin wpDataTables 代码问题漏洞(CNNVD-202309-761)
WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。
WordPress plugin wpDataTables 2.1.66之前版本存在代码问题漏洞,该漏洞源于在反序列化数据之前不会验证输入数据。攻击者利用该漏洞可反序列化任意数据,从而可以远程执行代码。
目前厂商已发布升级补丁以修复漏洞,参考链接:
https://wpscan.com/vulnerability/1ab192d7-72ac-4f12-8a51-f28ee4db91bc
二、漏洞平台推送情况
本周CNNVD接收漏洞平台推送漏洞7727个。
三、接报漏洞情况
本周CNNVD接报漏洞316个,其中信息技术产品漏洞(通用型漏洞)145个,网络信息系统漏洞(事件型漏洞)171个。
表6 本周漏洞报送情况(略)
四、收录漏洞通报情况
本周CNNVD收录漏洞通报109份。
表7本周漏洞通报情况(略)
五、重大漏洞通报
CNNVD关于微软多个安全漏洞的通报
近日,微软官方发布了多个安全漏洞的公告,其中微软产品本身漏洞61个,影响到微软产品的其他厂商漏洞3个。包括Microsoft Azure Kubernetes 安全漏洞(CNNVD-202309-793、CVE-2023-29332)、Microsoft Azure DevOps Server 安全漏洞(CNNVD-202309-795、CVE-2023-33136)等多个漏洞。成功利用上述漏洞的攻击者可以在目标系统上执行任意代码、获取用户数据,提升权限等。微软多个产品和系统受漏洞影响。目前,微软官方已经发布了漏洞修复补丁,建议用户及时确认是否受到漏洞影响,尽快采取修补措施。
(一)漏洞介绍
2023年9月12日,微软发布了2023年9月份安全更新,共64个漏洞的补丁程序,CNNVD对这些漏洞进行了收录。本次更新主要涵盖了Microsoft Windows 和 Windows 组件、Microsoft Visual Studio和Microsoft .NET、Microsoft Windows DHCP Server、Microsoft Exchange Server、Microsoft Windows Scripting、Microsoft 3D Builder等。CNNVD对其危害等级进行了评价,其中高危漏洞50个,中危漏洞14个。微软多个产品和系统版本受漏洞影响,具体影响范围可访问微软官方网站查询:
https://portal.msrc.microsoft.com/zh-cn/security-guidance
(二)危害影响
此次更新共包括59个新增漏洞的补丁程序,其中高危漏洞47个,中危漏洞12个。(略)
此次更新共包括2个更新漏洞的补丁程序,其中高危漏洞2个。
此次更新共包括3个影响微软产品的其他厂商漏洞的补丁程序,其中高危漏洞1个,中危漏洞2个。
(三)修复建议
目前,微软官方已经发布补丁修复了上述漏洞,建议用户及时确认漏洞影响,尽快采取修补措施。微软官方补丁下载地址:
https://msrc.microsoft.com/update-guide/en-us
来源:CNNVD安全动态