(2022年07月25日-2022年07月31日)
本周漏洞態勢研判情況
本周信息安全漏洞威脅整體評價級別為中。
國家信息安全漏洞共享平臺(以下簡稱CNVD)本周共收集、整理信息安全漏洞622個，其中高危漏洞181個、中危漏洞243個、低危漏洞198個。漏洞平均分值為5.14。本周收錄的漏洞中，涉及0day漏洞470個(占76%)，其中互聯網上出現“Rescue Dispatch Management System SQL注入漏洞(CNVD-2022-53913)、TOTOLINK EX1200T命令注入漏洞”等零日代碼攻擊漏洞。本周CNVD接到的涉及黨政機關和企事業單位的事件型漏洞總數7660個，與上周(10876個)環比減少30%。
圖1 CNVD收錄漏洞近10周平均分值分布圖
本周漏洞事件處置情況
本周，CNVD向銀行、保險、能源等重要行業單位通報漏洞事件28起，向基礎電信企業通報漏洞事件8起，協調CNCERT各分中心驗證和處置涉及地方重要部門漏洞事件311起，協調教育行業應急組織驗證和處置高?？蒲性核到y漏洞事件70起，向國家上級信息安全協調機構上報涉及部委門戶、子站或直屬單位信息系統漏洞事件50起。
此外，CNVD通過已建立的聯系機制或涉事單位公開聯系渠道向以下單位通報了其信息系統或軟硬件產品存在的漏洞，具體處置單位情況如下所示：（略）
本周漏洞報送情況統計
本周報送情況如表1所示。其中，新華三技術有限公司、深信服科技股份有限公司、北京啟明星辰信息安全技術有限公司、安天科技集團股份有限公司、恒安嘉新(北京)科技股份公司等單位報送公開收集的漏洞數量較多。北京華順信安科技有限公司、杭州默安科技有限公司、山東新潮信息技術有限公司、河南東方云盾信息技術有限公司、山石網科通信技術股份有限公司、河南信安世紀科技有限公司、河南靈創電子科技有限公司、北京冠程科技有限公司、西安交大捷普網絡科技有限公司、蘇州棱鏡七彩信息科技有限公司、北京安帝科技有限公司、重慶都會信息科技有限公司、長春嘉誠信息技術股份有限公司、廣州易東信息安全技術有限公司、中國煙草總公司湖北省公司、湖北珞格科技發展有限公司、任子行網絡技術股份有限公司、北京安盟信息技術股份有限公司、貴州泰若數字科技有限公司、廣州安億信軟件科技有限公司、墨菲未來科技(北京)有限公司、北京山石網科信息技術有限公司、博智安全科技股份有限公司、南瑞集團公司(國網電力科學研究院)、江蘇國泰新點軟件有限公司、北京賽博網安科技有限責任公司、上海紐盾科技股份有限公司、奇安星城網絡安全運營服務(長沙)有限公司、中國銀行及其他個人白帽子向CNVD提交了7660個以事件型漏洞為主的原創漏洞，其中包括奇安信網神(補天平臺)、斗象科技(漏洞盒子)、三六零數字安全科技集團有限公司和上海交大向CNVD共享的白帽子報送的6091條原創漏洞信息。
表1 漏洞報送情況統計表（略）
本周漏洞按類型和廠商統計
本周，CNVD收錄了622個漏洞。應用程序234個，WEB應用230個，網絡設備(交換機、路由器等網絡端設備)86個，操作系統49個，數據庫14個，安全產品5個，智能設備(物聯網終端設備)4個。
表2 漏洞按影響類型統計表
圖2 本周漏洞按影響類型分布
CNVD整理和發布的漏洞涉及Carlo Montero、Google、TOTOLINK等多家廠商的產品，部分漏洞數量按廠商統計如表3所示。
表3 漏洞產品涉及廠商分布統計表
本周行業漏洞收錄情況
本周，CNVD收錄了63個電信行業漏洞，55個移動互聯網行業漏洞，3個工控行業漏洞(如下圖所示)。其中，“Google Android緩沖區溢出漏洞(CNVD-2022-53367)、TOTOLINK N600R命令注入漏洞(CNVD-2022-53559)”等漏洞的綜合評級為“高?！?。相關廠商已經發布了漏洞的修補程序，請參照CNVD相關行業漏洞庫鏈接。
電信行業漏洞鏈接：http://telecom.cnvd.org.cn/
移動互聯網行業漏洞鏈接：http://mi.cnvd.org.cn/
工控系統行業漏洞鏈接：http://ics.cnvd.org.cn/
圖3 電信行業漏洞統計
圖4 移動互聯網行業漏洞統計
圖5 工控系統行業漏洞統計
本周重要漏洞安全告警
本周，CNVD整理和發布以下重要安全漏洞信息。
1、Google產品安全漏洞
Google Android是美國谷歌(Google)公司的一套以Linux為基礎的開源操作系統。本周，上述產品被披露存在多個漏洞，攻擊者可利用漏洞獲取敏感信息，使用解析代碼中的錯誤來遠程使調制解調器崩潰，導致遠程權限提升等。
CNVD收錄的相關漏洞包括：Google Android越界讀取漏洞(CNVD-2022-53368、CNVD-2022-53384)、Google Android緩沖區溢出漏洞(CNVD-2022-53367)、Google Android越界寫入漏洞(CNVD-2022-53369、CNVD-2022-53385)、Google Android信息泄露漏洞(CNVD-2022-53372、CNVD-2022-53381、CNVD-2022-53380)。其中， “Google Android越界讀取漏洞(CNVD-2022-53368)、Google Android緩沖區溢出漏洞(CNVD-2022-53367)、Google Android越界寫入漏洞(CNVD-2022-53369、CNVD-2022-53385)”的綜合評級為“高?！?。目前，廠商已經發布了上述漏洞的修補程序。CNVD提醒用戶及時下載補丁更新，避免引發漏洞相關的網絡安全事件。
參考鏈接：
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53368
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53367
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53369
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53372
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53381
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53380
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53384
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53385
2、Cybozu產品安全漏洞
Cybozu Garoon是日本才望子(Cybozu)公司的一套門戶型OA辦公系統。該系統提供門戶、E-mail、書簽、日程安排、公告欄、文件管理等功能。本周，上述產品被披露存在多個漏洞，攻擊者可利用漏洞獲取敏感信息，禁用添加類別，更改數據，并在用戶瀏覽器中在易受攻擊的網站上下文中執行任意HTML和腳本代碼等。
CNVD收錄的相關漏洞包括：Cybozu Garoon授權問題漏洞(CNVD-2022-53804、CNVD-2022-54300、CNVD-2022-54304)、Cybozu Garoon輸入驗證錯誤漏洞(CNVD-2022-53806、CNVD-2022-54301、CNVD-2022-54303)、Cybozu Garoon操作限制繞過漏洞(CNVD-2022-54299)、Cybozu Garoon跨站腳本漏洞(CNVD-2022-54343)。目前，廠商已經發布了上述漏洞的修補程序。CNVD提醒用戶及時下載補丁更新，避免引發漏洞相關的網絡安全事件。
參考鏈接：
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53804
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53806
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54299
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54301
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54300
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54303
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54304
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54343
3、Huawei產品安全漏洞
Huawei HarmonyOS是中國華為(Huawei)公司的一個操作系統。提供一個基于微內核的全場景分布式操作系統。Huawei Emui是中國Huawei公司的一款基于Android開發的移動端操作系統。Honor Magic Ui是中國Honor公司的一款基于Android開發的移動端操作系統。本周，上述產品被披露存在多個漏洞，攻擊者可利用漏洞提交特殊的請求，越界訪問，進行拒絕服務攻擊等。
CNVD收錄的相關漏洞包括：Huawei HarmonyOS拒絕服務漏洞(CNVD-2022-53575、CNVD-2022-53574)、Huawei HarmonyOS資源管理錯誤漏洞(CNVD-2022-53578、CNVD-2022-53579)、Huawei HarmonyOS權限控制錯誤漏洞、Huawei HarmonyOS拒絕服務漏洞(CNVD-2022-53576)、Huawei Emui和Honor Magic Ui緩沖區溢出漏洞、Huawei EMUI輸入驗證拒絕服務漏洞。目前，廠商已經發布了上述漏洞的修補程序。CNVD提醒用戶及時下載補丁更新，避免引發漏洞相關的網絡安全事件。
參考鏈接：
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53575
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53574
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53578
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53577
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53576
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53581
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53580
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53579
4、Oracle產品安全漏洞
Oracle MySQL Server是美國甲骨文(Oracle)公司的一款關系型數據庫。本周，上述產品被披露存在拒絕服務漏洞，攻擊者可利用漏洞通過多種協議訪問網絡破壞MySQL Server，進而導致MySQL Server掛起或頻繁重復崩潰(完全拒絕服務)。
CNVD收錄的相關漏洞包括：Oracle MySQL Server拒絕服務漏洞(CNVD-2022-54312、CNVD-2022-54311、CNVD-2022-54310、CNVD-2022-54313、CNVD-2022-54315、CNVD-2022-54314、CNVD-2022-54317、CNVD-2022-54316)。目前，廠商已經發布了上述漏洞的修補程序。CNVD提醒用戶及時下載補丁更新，避免引發漏洞相關的網絡安全事件。
參考鏈接：
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54312
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54311
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54310
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54313
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54315
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54314
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54317
https://www.cnvd.org.cn/flaw/show/CNVD-2022-54316
5、Apache HTTP Server輸入驗證錯誤漏洞
Apache HTTP Server是美國阿帕奇(Apache)基金會的一款開源網頁服務器。該服務器具有快速、可靠且可通過簡單的API進行擴充的特點。本周，Apache HTTP Server被披露存在輸入驗證錯誤漏洞，該漏洞源于對調用r：parsebody(0)的lua腳本的惡意請求輸入未能限制，攻擊者利用該漏洞導致拒絕服務。目前，廠商尚未發布上述漏洞的修補程序。CNVD提醒廣大用戶隨時關注廠商主頁，以獲取最新版本。
參考鏈接：
https://www.cnvd.org.cn/flaw/show/CNVD-2022-53584
更多高危漏洞如表4所示，詳細信息可根據CNVD編號，在CNVD官網進行查詢。參考鏈接：http://www.cnvd.org.cn/flaw/list.htm
表4 部分重要高危漏洞列表
小結：本周，Google產品被披露存在多個漏洞，攻擊者可利用漏洞獲取敏感信息，使用解析代碼中的錯誤來遠程使調制解調器崩潰，導致遠程權限提升等。此外，Cybozu、Huawei、Oracle等多款產品被披露存在多個漏洞，攻擊者可利用漏洞獲取敏感信息，禁用添加類別，更改數據，并在用戶瀏覽器中在易受攻擊的網站上下文中執行任意HTML和腳本代碼，進行拒絕服務攻擊等。另外，Apache HTTP Server被披露存在輸入驗證錯誤漏洞，攻擊者利用該漏洞導致拒絕服務。建議相關用戶隨時關注上述廠商主頁，及時獲取修復補丁或解決方案。
(編輯：CNVD)
來源：國家信息安全漏洞共享平臺
