您所在的位置: 首页 >
安全研究 >
安全通告 >
信息安全漏洞月报(2023年10月)
漏洞态势
根据国家信息安全漏洞库(CNNVD)统计,2023年10月采集安全漏洞共2704个。
重大漏洞通报
Cisco IOS XE Software安全漏洞(CNNVD-202310-1209/CVE-2023-20198)情况的报送。未经身份验证的远程攻击者可以利用该漏洞创建具有最高访问权限的账户,进而控制受影响的系统。启用了Web UI功能的Cisco IOS XE设备均受该漏洞影响。目前,思科官方已经发布了版本更新修复了该漏洞,建议用户及时确认产品版本,尽快采取修补措施。
漏洞态势
一、公开漏洞情况
根据国家信息安全漏洞库(CNNVD)统计,2023年10月新增安全漏洞共2704个,从厂商分布来看,WordPress基金会公司产品的漏洞数量最多,共发布509个;从漏洞类型来看,跨站脚本类的漏洞占比最大,达到15.20%。本月新增漏洞中,超危漏洞337个、高危漏洞1052个、中危漏洞1272个、低危漏洞43个,相应修复率分别为69.14%、86.50%、83.73%以及97.67%。合计2250个漏洞已有修复补丁发布,本月整体修复率83.21%。
截至2023年10月31日,CNNVD采集漏洞总量已达222892个。
1.1 漏洞增长概况
2023年10月新增安全漏洞2704个,与上月(2047个)相比增加了32.10%。根据近6个月漏洞新增数量统计图,平均每月漏洞数量达到2360个。
图1 2023年5月至2023年10月漏洞新增数量统计图
1.2 漏洞分布情况
1.2.1 漏洞厂商分布
2023年10月厂商漏洞数量分布情况如表1所示,WordPress基金会公司漏洞达到509个,占本月漏洞总量的18.82%。
1.2.2 漏洞产品分布
2023年10月主流操作系统的漏洞统计情况如表2所示。本月Windows系列操作系统漏洞数量共84个,Android漏洞数量最多,共133个,占主流操作系统漏洞总量的16.84%,排名第一。
1.2.3 漏洞类型分布
2023年10月发布的漏洞类型分布如表3所示,其中跨站脚本类漏洞所占比例最大,约为15.20%。
1.2.4 漏洞危害等级分布
根据漏洞的影响范围、利用方式、攻击后果等情况,从高到低可将其分为四个危害等级,即超危、高危、中危和低危级别。2023年10月漏洞危害等级分布如图2所示,其中超危漏洞337条,占本月漏洞总数的12.46%。
图2 2023年10月漏洞危害等级分布
1.3漏洞修复情况
1.3.1 整体修复情况
2023年10月漏洞修复情况按危害等级进行统计见图3。其中低危漏洞修复率最高,达到97.67%,超危漏洞修复率最低,比例为69.14%。
图3 2023年10月漏洞修复数量统计
1.3.2 厂商修复情况
2023年10月漏洞修复情况按漏洞数量前十厂商进行统计,其中WordPress基金会、Google、Microsoft等十个厂商共1088条漏洞,占本月漏洞总数的40.24%,漏洞修复率为97.52%,详细情况见表4。多数知名厂商对产品安全高度重视,产品漏洞修复比较及时,其中Google、Microsoft、Oracle、IBM、Apple、Fortinet、Juniper Networks、Qualcomm等公司本月漏洞修复率均为100%,共1061条漏洞已全部修复。
1.4 重要漏洞实例
1.4.1 超危漏洞实例
2023年10月超危漏洞共337个,其中重要漏洞实例如表5所示。
表5 2023年10月超危漏洞实例(详情略)
1、Scrutinizer NetFlow & sFlow Analyzer SQL注入漏洞(CNNVD-202310-1001)
Plixer Scrutinizer NetFlow & sFlow Analyzer是美国Plixer公司的一套网络流量分析系统。该系统提供流量监视、上下文取证和安全分析等功能。
Scrutinizer NetFlow & sFlow Analyzer 19.3.1之前版本存在安全漏洞,该漏洞源于/fcgi/scrut_fcgi.fcgi组件的sorting参数存在SQL注入漏洞。
目前厂商已发布升级补丁以修复漏洞,详情请关注厂商主页:
https://docs.plixer.com/projects/plixer-scrutinizer-docs/en/latest/scrutinizerOverview.html
2、Apache ActiveMQ 代码问题漏洞(CNNVD-202310-2332)
Apache ActiveMQ是美国阿帕奇(Apache)基金会的一套开源的消息中间件,它支持Java消息服务、集群、Spring Framework等。
Apache ActiveMQ 5.15.16之前、5.16.7之前、5.17.6之前或5.18.3之前版本存在代码问题漏洞,该漏洞源于允许具有代理网络访问权限的远程攻击者通过操纵 OpenWire 协议中的序列化类类型来运行任意 shell 命令。
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://activemq.apache.org/security-advisories.data/CVE-2023-46604-announcement.txt
3、Ping Identity PingFederate 授权问题漏洞(CNNVD-202310-2102)
Ping Identity PingFederate是美国的一个基于软件的旗舰联合服务器。用于身份管理。
Ping Identity PingFederate 存在安全漏洞,该漏洞源于在某些配置下,可能绕过身份验证。
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://docs.pingidentity.com/r/en-us/pingfederate-113/gyk1689105783244
4、Fortinet FortiWLM 操作系统命令注入漏洞(CNNVD-202310-687)
Fortinet FortiWLM是美国飞塔(Fortinet)公司的一个无线管理器。
Fortinet FortiWLM 存在安全漏洞,该漏洞源于存在操作系统命令注入漏洞。允许攻击者通过特制的 http get 请求参数执行未经授权的代码或命令。
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://fortiguard.com/psirt/FG-IR-23-140
5、Google Pixel 缓冲区错误漏洞(CNNVD-202310-902)
Google Pixel是美国谷歌(Google)公司的一款智能手机。
Google Pixel 存在安全漏洞,该漏洞源于 Shannon 基带缓冲区溢出,可能会出现越界写入。这可能会导致远程代码执行,而无需额外的执行权限。
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://source.android.com/security/bulletin/pixel/2023-10-01
6、Ping Identity PingFederate 访问控制错误漏洞(CNNVD-202310-2082)
Ping Identity PingFederate是美国的一个基于软件的旗舰联合服务器。用于身份管理。
Ping Identity PingFederate 存在安全漏洞,该漏洞源于当通过恶意制作的 RADIUS 客户端请求MSCHAP进行身份验证时,具有 PingID Radius PCV 的 PingFederate可以绕过身份验证。
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://docs.pingidentity.com/r/en-us/pingid/pingid_integration_kit_2_26_rn
7、Dell SmartFabric Storage Software 输入验证错误漏洞(CNNVD-202310-349)
Dell SmartFabric Storage Software是美国戴尔(Dell)公司的一个独立的存储软件解决方案。
Dell SmartFabric Storage Software 1.3 版本存在输入验证错误漏洞,该漏洞源于包含不正确的输入验证漏洞。
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://www.dell.com/support/kbdoc/en-us/000216587/dsa-2023-283-security-update-for-dell-smartfabric-storage-software-vulnerabilities
1.4.2 高危漏洞实例
2023年10月高危漏洞共1052个,其中重要漏洞实例如表6所示。
表6 2023年10月高危漏洞实例(详情略)
1、F5 BIG-IP Configuration utility SQL注入漏洞(CNNVD-202310-2268)
F5 BIG-IP是美国F5公司的一款集成了网络流量管理、应用程序安全管理、负载均衡等功能的应用交付平台。
F5 BIG-IP Configuration utility存在SQL注入漏洞,该漏洞源于存在SQL注入漏洞。攻击者可利用该漏洞通过management port或self IP addresses执行任意系统命令。
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://my.f5.com/manage/s/article/K000137365
2、HCL Technologies Compass 代码问题漏洞(CNNVD-202310-1533)
HCL Technologies Compass是美国HCL Technologies公司的一个低代码变更管理软件。管理全方位的测试活动以及与开发人员工具的集成。
HCL Technologies Compass 存在安全漏洞,该漏洞源于存在文件上传漏洞。攻击者可利用该漏洞上传包含活动代码的文件,并由服务器或用户的web浏览器执行。受影响的产品和版本:HCL Compass 2.0版本,2.1版本,2.2版本。
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://support.hcltechsw.com/csm?id=kb_article&sysparm_article=KB0107510
3、Alexander Maier EisBaer Scada 授权问题漏洞(CNNVD-202310-2066)
Alexander Maier EisBaer Scada是德国Alexander Maier公司的一款 Windows 操作系统上创建的可视化的实际显示和控制程序。
Alexander Maier EisBaer Scada 存在授权问题漏洞,该漏洞源于不当授权。
目前厂商已发布升级补丁以修复漏洞,详情请关注厂商主页:
https://www.busbaer.de/en/eisbaer/scada
4、IBM Security Verify Governance 操作系统命令注入漏洞(CNNVD-202310-1855)
IBM Security Verify Governance是美国国际商业机器(IBM)公司的一个智能身份访问平台。为组织提供了一个平台来分析、定义和控制用户访问和访问风险。
IBM Security verify Governance 10.0版本存在安全漏洞,该漏洞源于允许经过身份验证的远程攻击者通过发送特制请求来在系统上执行任意命令。
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://www.ibm.com/support/pages/node/7057377
5、Google Chrome 缓冲区错误漏洞(CNNVD-202310-829)
Google Chrome是美国谷歌(Google)公司的一款Web浏览器。
Google Chrome 存在安全漏洞,该漏洞源于 PDF 模块中存在堆缓冲区溢出。
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://chromereleases.googleblog.com/2023/10/stable-channel-update-for-desktop_10.html
6、Dell SmartFabric Storage Software 访问控制错误漏洞(CNNVD-202310-355)
Dell SmartFabric Storage Software是美国戴尔(Dell)公司的一个独立的存储软件解决方案。
Dell SmartFabric Storage Software 1.4 版本存在访问控制错误漏洞,该漏洞源于 CLI 中包含不正确的访问控制漏洞。
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://www.dell.com/support/kbdoc/en-us/000218107/dsa-2023-347-dell-smartfabric-storage-software-security-update-for-multiple-vulnerabilities
7、Google Chrome 资源管理错误漏洞(CNNVD-202310-830)
Google Chrome是美国谷歌(Google)公司的一款Web浏览器。
Google Chrome 存在安全漏洞,该漏洞源于 Blink History 模块中存在释放后重用。
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://chromereleases.googleblog.com/2023/10/stable-channel-update-for-desktop_10.html
8、HCL BigFix Platform 输入验证错误漏洞(CNNVD-202310-848)
HCL Technologies HCL BigFix Platform是美国HCL Technologies公司的一套端点安全管理平台。该平台支持自动发现、管理和修复端点安全问题。
HCL BigFix Platform xerces-c++ 3.2.3版本存在安全漏洞,该漏洞源于存在整数溢出问题。攻击者利用该漏洞通过 HTTP 请求造成越界访问。
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://support.hcltechsw.com/csm?id=kb_article&sysparm_article=KB0107791
二、漏洞平台推送情况
2023年10月漏洞平台推送漏洞42340个。
三、接报漏洞情况
2023年10月接报漏洞1191个,其中信息技术产品漏洞(通用型漏洞)822个,网络信息系统漏洞(事件型漏洞)369个。
表8 2023年10月接报漏洞情况表(详情略))
四、重大漏洞通报
Cisco IOS XE Software安全漏洞的通报
近日,国家信息安全漏洞库(CNNVD)收到关于Cisco IOS XE Software安全漏洞(CNNVD-202310-1209、CVE-2023-20198)情况的报送。未经身份验证的远程攻击者可以利用该漏洞创建具有最高访问权限的账户,进而控制受影响的系统。启用了Web UI功能的Cisco IOS XE设备均受该漏洞影响。目前,思科官方已经发布了版本更新修复了该漏洞,建议用户及时确认产品版本,尽快采取修补措施。
. 漏洞介绍
Cisco IOS XE Software是美国思科(Cisco)公司的一个用于企业有线和无线访问,汇聚,核心和WAN的操作系统。Cisco IOS XE Software 存在安全漏洞,未经身份验证的远程攻击者可以利用该漏洞创建具有最高访问权限的账户,进而控制受影响的系统。
. 危害影响
启用了Web UI功能的Cisco IOS XE设备均受该漏洞影响。
. 修复建议
目前,思科官方已经发布了版本更新修复了该漏洞,建议用户及时确认产品版本,尽快采取修补措施。参考链接如下:
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-webui-privesc-j22SaA4z
来源:CNNVD安全动态