您所在的位置: 首页 >
安全研究 >
安全通告 >
信息安全漏洞周报(2024年第8期)
根据国家信息安全漏洞库(CNNVD)统计,本周(2024年2月12日至2024年2月18日)安全漏洞情况如下:
公开漏洞情况
本周CNNVD采集安全漏洞808个。
接报漏洞情况
本周CNNVD接报漏洞1729个,其中信息技术产品漏洞(通用型漏洞)9个,漏洞平台推送漏洞1720个。
重大漏洞通报
微软多个安全漏洞:包括Microsoft Azure Site Recovery 安全漏洞(CNNVD-202402-1061、CVE-2024-21364)、Microsoft Azure Kubernetes 安全漏洞(CNNVD-202402-1050、CVE-2024-21376)等多个漏洞。成功利用上述漏洞的攻击者可以在目标系统上执行任意代码、获取用户数据、提升权限等。微软多个产品和系统受漏洞影响。目前,微软官方已经发布了漏洞修复补丁,建议用户及时确认是否受到漏洞影响,尽快采取修补措施。
一、公开漏洞情况
根据国家信息安全漏洞库(CNNVD)统计,本周新增安全漏洞808个,漏洞新增数量有所上升。从厂商分布来看WordPress基金会新增漏洞最多,有80个;从漏洞类型来看,跨站脚本类的安全漏洞占比最大,达到8.29%。新增漏洞中,超危漏洞96个,高危漏洞275个,中危漏洞416个,低危漏洞21个。
(一) 安全漏洞增长数量情况
本周CNNVD采集安全漏洞808个。
图1 近五周漏洞新增数量统计图
(二) 安全漏洞分布情况
从厂商分布来看,WordPress基金会新增漏洞最多,有80个。各厂商漏洞数量分布如表1所示。
表1 新增安全漏洞排名前五厂商统计表
本周国内厂商漏洞19个,威联通科技、易软天创、商之器、恒基公司漏洞数量最多,各有2个。国内厂商漏洞整体修复率为52.63%。请受影响用户关注厂商修复情况,及时下载补丁修复漏洞。
从漏洞类型来看, 跨站脚本类的安全漏洞占比最大,达到8.29%。漏洞类型统计如表2所示。
表2 漏洞类型统计表
(三) 安全漏洞危害等级与修复情况
本周共发布超危漏洞96个,高危漏洞275个,中危漏洞416个,低危漏洞21个。相应修复率分别为59.38%、80.00%、85.82%和90.48%。根据补丁信息统计,合计653个漏洞已有修复补丁发布,整体修复率为80.82%。详细情况如表3所示。
表3 漏洞危害等级与修复情况
(四) 本周重要漏洞实例
本周重要漏洞实例如表4所示。
表4 本期重要漏洞实例
1.WordPress plugin WP Booking Calendar SQL注入漏洞(CNNVD-202402-659)
WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。
WordPress plugin WP Booking Calendar 9.9版本及之前版本存在SQL注入漏洞,该漏洞源于在使用用户提供的参数拼接SQL语句之前没有进行充分的转义。攻击者通过输入特殊的参数可执行SQL注入攻击。
目前厂商已发布升级补丁以修复漏洞,参考链接:https://www.wordfence.com/threat-intel/vulnerabilities/id/7802ed1f-138c-4a3d-916c-80fb4f7699b2?source=cve
2.Microsoft OLE DB Provider for SQL 安全漏洞(CNNVD-202402-1054)
Microsoft OLE DB Provider for SQL是美国微软(Microsoft)公司的一种 API。允许以统一的方式访问来自各种来源的数据。
Microsoft OLE DB Provider for SQL存在安全漏洞。攻击者利用该漏洞可以远程执行代码。以下产品和版本受到影响:Windows 10 Version 1809 for 32-bit Systems,Windows 10 Version 1809 for x64-based Systems,Windows 10 Version 1809 for ARM64-based Systems,Windows Server 2019,Windows Server 2019 (Server Core installation),Windows Server 2022,Windows Server 2022 (Server Core installation),Windows 11 version 21H2 for x64-based Systems,Windows 11 version 21H2 for ARM64-based Systems,Windows 10 Version 22H2 for 32-bit Systems,Windows 11 Version 23H2 for ARM64-based Systems,Windows 11 Version 23H2 for x64-based Systems,Windows Server 2022, 23H2 Edition (Server Core installation),Windows 10 for 32-bit Systems,Windows 10 for x64-based Systems,Windows 10 Version 1607 for 32-bit Systems,Windows 10 Version 1607 for x64-based Systems,Windows Server 2016,Windows Server 2016 (Server Core installation),Windows Server 2008 for 32-bit Systems Service Pack 2,Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation),Windows Server 2008 for x64-based Systems Service Pack 2,Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation),Windows Server 2008 R2 for x64-based Systems Service Pack 1,Windows 10 Version 21H2 for 32-bit Systems,Windows 10 Version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for x64-based Systems,Windows 11 Version 22H2 for ARM64-based Systems,Windows 11 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for ARM64-based Systems,Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation),Windows Server 2012,Windows Server 2012 (Server Core installation),Windows Server 2012 R2,Windows Server 2012 R2 (Server Core installation)。
目前厂商已发布升级补丁以修复漏洞,参考链接:https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21370
3.Intel DSA 安全漏洞(CNNVD-202402-1162)
Intel DSA是一款驱动更新工具。可以检测用户驱动程序,将已经安装的驱动更新到最新版本,支持intel系列的显卡、音频、网卡以及芯片组驱动。
Intel DSA 23.4.33之前版本存在安全漏洞,该漏洞源于访问控制不当。攻击者利用该漏洞可以升级权限。
目前厂商已发布升级补丁以修复漏洞,参考链接:https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00969.html
二、漏洞平台推送情况
本周CNNVD接收漏洞平台推送漏洞1720个。
表5 本周漏洞平台推送情况
三、接报漏洞情况
本周CNNVD接报漏洞9个,全部为信息技术产品漏洞(通用型漏洞)。
表6 本周漏洞报送情况
四、收录漏洞通报情况
本周CNNVD收录漏洞通报8份。
表7本周漏洞通报情况
五、重大漏洞通报
CNNVD关于微软多个安全漏洞的通报
近日,微软官方发布了多个安全漏洞的公告,本次漏洞公告共发布80个漏洞补丁。包括Microsoft Azure Site Recovery 安全漏洞(CNNVD-202402-1061、CVE-2024-21364)、Microsoft Azure Kubernetes 安全漏洞(CNNVD-202402-1050、CVE-2024-21376)等多个漏洞。成功利用上述漏洞的攻击者可以在目标系统上执行任意代码、获取用户数据,提升权限等。微软多个产品和系统受漏洞影响。目前,微软官方已经发布了漏洞修复补丁,建议用户及时确认是否受到漏洞影响,尽快采取修补措施。
1.漏洞介绍
2024年2月13日,微软发布了2024年2月份安全更新,共80个漏洞的补丁程序,CNNVD对这些漏洞进行了收录。本次更新主要涵盖了Microsoft Windows 和 Windows 组件、Microsoft Azure Connected Machine Agent、Microsoft Hyper-V、Microsoft Azure、Microsoft Windows USB Serial Driver、Microsoft Exchange Server等。CNNVD对其危害等级进行了评价,其中超危漏洞8个,高危漏洞57个,中危漏洞15个。微软多个产品和系统版本受漏洞影响,具体影响范围可访问微软官方网站查询:https://portal.msrc.microsoft.com/zh-cn/security-guidance
2.危害影响
此次更新共包括73个新增漏洞的补丁程序,其中超危漏洞6个,高危漏洞53个,中危漏洞14个。
(详情略)
此次更新共包括7个更新漏洞的补丁程序,其中超危漏洞2个,高危漏洞4个,中危漏洞1个。
(详情略)
3.修复建议
目前,微软官方已经发布补丁修复了上述漏洞,建议用户及时确认漏洞影响,尽快采取修补措施。微软官方补丁下载地址:https://msrc.microsoft.com/update-guide/en-us
来源:CNNVD安全动态