漏洞情况
根据国家漏洞库(CNNVD)统计，本周(2024年7月1日至2024年7月7日)安全漏洞情况如下：
公开漏洞情况
本周CNNVD采集安全漏洞450个。
接报漏洞情况
本周CNNVD接报漏洞23508个，其中信息技术产品漏洞(通用型漏洞)194个，网络信息系统漏洞(事件型漏洞)77个，漏洞平台推送漏洞23237个。
重大漏洞通报
OpenSSH安全漏洞(CNNVD-202407-017、CVE-2024-6387)：攻击者可以利用该漏洞在无需认证的情况下，通过竞争条件远程执行任意代码并获得系统控制权。OpenSSH多个版本受该漏洞影响。目前，OpenSSH官方已发布新版本修复了该漏洞，建议用户及时确认产品版本，尽快采取修补措施。
一、公开漏洞情况
根据国家信息安全漏洞库(CNNVD)统计，本周新增安全漏洞450个，漏洞新增数量有所下降。从厂商分布来看WordPress基金会新增漏洞最多，有58个;从漏洞类型来看，跨站脚本类的安全漏洞占比最大，达到3.56%。新增漏洞中，超危漏洞22个，高危漏洞63个，中危漏洞356个，低危漏洞9个。
(一) 安全漏洞增长数量情况
本周CNNVD采集安全漏洞450个。
图1 近五周漏洞新增数量统计图
(二) 安全漏洞分布情况
从厂商分布来看，WordPress基金会新增漏洞最多，有58个。各厂商漏洞数量分布如表1所示。
表1 新增安全漏洞排名前五厂商统计表
本周国内厂商漏洞46个，千视公司漏洞数量最多，有8个。国内厂商漏洞整体修复率为65.22%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。
从漏洞类型来看, 跨站脚本类的安全漏洞占比最大，达到3.56%。漏洞类型统计如表2所示。
表2 漏洞类型统计表
(三) 安全漏洞危害等级与修复情况
本周共发布超危漏洞22个，高危漏洞63个，中危漏洞356个，低危漏洞9个。相应修复率分别为63.64%、92.06%、74.16%和88.89%。根据补丁信息统计，合计344个漏洞已有修复补丁发布，整体修复率为76.44%。详细情况如表3所示。
表3 漏洞危害等级与修复情况
(四) 本周重要漏洞实例
本周重要漏洞实例如表4所示。
表4 本期重要漏洞实例
1.Apache CloudStack 代码注入漏洞(CNNVD-202407-397)
Apache CloudStack是美国阿帕奇(Apache)基金会的一套基础架构即服务(IaaS)云计算平台，该平台主要用于部署和管理大型虚拟机网络。
Apache CloudStack 4.0.0版本至4.18.2.1之前版本、4.19.0.0版本至4.19.0.2之前版本存在代码注入漏洞，该漏洞源于9090端口被滥用以运行任意命令。攻击者利用该漏洞可以执行任意代码。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://lists.apache.org/thread/6l51r00csrct61plkyd3qg3fj99215d1
2.SAMSUNG Mobile devices 安全漏洞(CNNVD-202407-180)
SAMSUNG Mobile devices是韩国三星(SAMSUNG)公司的一系列的三星移动设备，包括手机、平板等。
SAMSUNG Mobile devices SMR Jul-2024 Release 1存在安全漏洞，该漏洞源于访问控制不当。攻击者利用该漏洞可以启动特权活动。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://security.samsungmobile.com/securityUpdate.smsb?year=2024&month=07
3.WordPress plugin IMGspider 安全漏洞(CNNVD-202407-338)
WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。
WordPress plugin IMGspider 2.3.10版本及之前版本存在安全漏洞，该漏洞源于upload_img_file函数缺少文件类型验证。攻击者利用该漏洞可以上传任意文件。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://www.wordfence.com/threat-intel/vulnerabilities/id/306f00e4-9a70-48be-a91e-e396643a8129?source=cve
二、漏洞平台推送情况
本周CNNVD接收漏洞平台推送漏洞23237个。
表5 本周漏洞平台推送情况
三、接报漏洞情况
本周CNNVD接报漏洞271个，其中信息技术产品漏洞(通用型漏洞)194个，网络信息系统漏洞(事件型漏洞)77个。
表6 本周漏洞报送情况（详情略）
四、收录漏洞通报情况
本周CNNVD收录漏洞通报129份。
表7本周漏洞通报情况（详情略）
五、重大漏洞通报
CNNVD关于OpenSSH安全漏洞的通报
近日，国家信息安全漏洞库(CNNVD)收到关于OpenSSH安全漏洞(CNNVD-202407-017、CVE-2024-6387)情况的报送。攻击者可以利用该漏洞在无需认证的情况下，通过竞争条件远程执行任意代码并获得系统控制权。OpenSSH多个版本受该漏洞影响。目前，OpenSSH官方已发布新版本修复了该漏洞，建议用户及时确认产品版本，尽快采取修补措施。
1.漏洞介绍
OpenSSH是加拿大OpenBSD计划组的一套用于安全访问远程计算机的连接工具。该工具是SSH协议的开源实现，支持对所有的传输进行加密，可有效阻止窃听、连接劫持以及其他网络级的攻击。该漏洞源于信号处理程序中存在竞争条件，攻击者利用该漏洞可以在无需认证的情况下远程执行任意代码并获得系统控制权。
2.危害影响
OpenSSH 8.5p1版本至9.8p1之前版本均受该漏洞影响。
3.修复建议
目前，OpenSSH官方已发布新版本修复了该漏洞，建议用户及时确认产品版本，尽快采取修补措施。官方更新版本下载链接：
https://www.openssh.com/txt/release-9.8
来源：CNNVD安全动态
