信息安全漏洞周报（2022年第44期）
根据国家信息安全漏洞库（CNNVD）统计，本周（2022年10月24日至2022年10月30日）安全漏洞情况如下：
公开漏洞情况
本周CNNVD采集安全漏洞428个。
接报漏洞情况
本周CNNVD接报漏洞5975个，其中信息技术产品漏洞（通用型漏洞）127个，网络信息系统漏洞（事件型漏洞）113个，漏洞平台推送漏洞5735个。
一、公开漏洞情况
根据国家信息安全漏洞库（CNNVD）统计，本周新增安全漏洞428个，漏洞新增数量有所下降。从厂商分布来看苹果公司新增漏洞最多，有74个；从漏洞类型来看，跨站脚本类的安全漏洞占比最大，达到7.94%。新增漏洞中，超危漏洞82个，高危漏洞102个，中危漏洞242个，低危漏洞2个。相应修复率分别为52.44%、68.63%、78.10%和50.00%。根据补丁信息统计，合计303个漏洞已有修复补丁发布，整体修复率为70.79%。
（一） 安全漏洞增长数量情况
本周CNNVD采集安全漏洞428个。
图1 近五周漏洞新增数量统计图
（二） 安全漏洞分布情况
从厂商分布来看，苹果公司新增漏洞最多，有74个。各厂商漏洞数量分布如表1所示。
表1 新增安全漏洞排名前五厂商统计表
序号 | 厂商名称 | 漏洞数量（个） | 所占比例 |
1 | 苹果 | 74 | 17.29% |
2 | WordPress基金会 | 23 | 5.37% |
3 | 台达电子 | 20 | 4.67% |
4 | Aruba | 19 | 4.44% |
5 | Abode | 12 | 2.80% |
本周国内厂商漏洞59个，台达电子公司漏洞数量最多，有20个。国内厂商漏洞整体修复率为25.42%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。
从漏洞类型来看, 跨站脚本类的安全漏洞占比最大，达到7.94%。漏洞类型统计如表3所示。
表2 漏洞类型统计表
序号 | 漏洞类型 | 漏洞数量（个） | 所占比例 |
1 | 跨站脚本 | 34 | 7.94% |
2 | SQL注入 | 31 | 7.24% |
3 | 缓冲区错误 | 23 | 5.37% |
4 | 代码问题 | 23 | 5.37% |
5 | 操作系统命令注入 | 10 | 2.34% |
6 | 授权问题 | 7 | 1.64% |
7 | 输入验证错误 | 6 | 1.40% |
8 | 路径遍历 | 6 | 1.40% |
9 | 资源管理错误 | 5 | 1.17% |
10 | 访问控制错误 | 5 | 1.17% |
11 | 格式化字符串错误 | 4 | 0.93% |
12 | 代码注入 | 4 | 0.93% |
13 | 跨站请求伪造 | 3 | 0.70% |
14 | 注入 | 3 | 0.70% |
15 | 信任管理问题 | 2 | 0.47% |
16 | 命令注入 | 2 | 0.47% |
17 | 信息泄露 | 1 | 0.23% |
18 | 后置链接 | 1 | 0.23% |
19 | 其他 | 258 | 60.28% |
（三） 安全漏洞危害等级与修复情况
本周共发布超危漏洞82个，高危漏洞102个，中危漏洞242个，低危漏洞2个。相应修复率分别为52.44%、68.63%、78.10%和50.00%。根据补丁信息统计，合计303个漏洞已有修复补丁发布，整体修复率为70.79%。详细情况如表3所示。
表3 漏洞危害等级与修复情况
序号 | 危害等级 | 漏洞数量（个） | 修复数量（个） | 修复率 |
1 | 超危 | 82 | 43 | 52.44% |
2 | 高危 | 102 | 70 | 68.63% |
3 | 中危 | 242 | 189 | 78.10% |
4 | 低危 | 2 | 1 | 50.00% |
合计 | 428 | 303 | 70.79% |
（四） 本周重要漏洞实例
本周重要漏洞实例如表4所示。
表4 本期重要漏洞实例
序号 | 漏洞 | 漏洞编号 | 厂商 | 漏洞实例 | 是否修复 | 危害等级 |
类型 | ||||||
1 | 其他 | CNNVD-202210-1710 | WordPress基金会 | WordPress plugin Post to CSV by BestWebSoft 安全漏洞 | 是 | 超危 |
2 | 其他 | CNNVD-202210-1672 | 苹果 | Apple macOS Big Sur和macOS Monterey 安全漏洞 | 是 | 高危 |
3 | 其他 | CNNVD-202210-2118 | 谷歌 | Google Chrome 安全漏洞 | 是 | 高危 |
1.WordPress plugin Post to CSV by BestWebSoft 安全漏洞（CNNVD-202210-1710）
WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。
WordPress plugin Post to CSV by BestWebSoft 1.4.0版本及之前版本存在安全漏洞，该漏洞源于在将数据导出为CSV文件格式时无法正确转义字段，从而导致CSV注入。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://wpscan.com/vulnerability/689b4c42-c516-4c57-8ec7-3a6f12a3594e
2. Apple macOS Big Sur和macOS Monterey 安全漏洞（CNNVD-202210-1672）
Apple macOS Big Sur和Apple macOS Monterey都是美国苹果（Apple）公司的产品。Apple macOS Big Sur是苹果公司用于MAC操作系统macOS的第17个主要版本。Apple macOS Monterey是用于麦金塔桌面操作系统macOS的第18个主要版本。
Apple macOS Big Sur和macOS Monterey存在安全漏洞。攻击者可利用该漏洞通过特制的web内容执行任意代码。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://support.apple.com/en-us/HT213495
3. Google Chrome 安全漏洞（CNNVD-202210-2118）
Google Chrome是美国谷歌（Google）公司的一款Web浏览器。
Google Chrome存在安全漏洞，该漏洞源于在Chrome OS的反馈服务中存在内存释放后重用问题。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://chromereleases.googleblog.com/2022/10/stable-channel-update-for-desktop_25.html
二、漏洞平台推送情况
本周漏洞平台推送漏洞5735个。
序号 | 漏洞平台 | 漏洞总量 |
1 | 漏洞盒子 | 4657 |
2 | 补天平台 | 1078 |
推送总计 | 5735 |
三、接报漏洞情况
本周CNNVD接报漏洞240个，其中信息技术产品漏洞（通用型漏洞）127个，网络信息系统漏洞（事件型漏洞）113个。
序号 | 报送单位 | 漏洞总量 |
1 | 北京启明星辰信息安全技术有限公司 | 75 |
2 | 杭州海康威视数字技术股份有限公司 | 45 |
3 | 河南听潮盛世信息技术有限公司 | 26 |
4 | 星云博创科技有限公司 | 20 |
5 | 山东新潮信息技术有限公司 | 17 |
6 | 杭州安恒信息技术股份有限公司 | 7 |
7 | 中国电信股份有限公司 | 7 |
8 | 上海斗象信息科技有限公司 | 5 |
9 | 上海上讯信息技术股份有限公司 | 5 |
10 | 上海银基信息安全技术股份有限公司 | 5 |
11 | 北京华顺信安信息技术有限公司 | 4 |
12 | 北京天融信网络安全技术有限公司 | 4 |
13 | 博智安全科技股份有限公司 | 3 |
14 | 南京众智维信息科技有限公司 | 3 |
15 | 西安四叶草信息技术有限公司 | 3 |
16 | 个人 | 2 |
17 | 三六零数字安全科技集团有限公司 | 2 |
18 | 北京微步在线科技有限公司 | 1 |
19 | 北京雪诺科技有限公司 | 1 |
20 | 浪潮电子信息产业股份有限公司 | 1 |
21 | 奇安信网神信息技术股份有限公司 | 1 |
22 | 山东华软金盾软件股份有限公司 | 1 |
23 | 思而听（山东）网络科技有限公司 | 1 |
24 | 天津市兴先道科技有限公司 | 1 |
报送总计 | 240 |
四、接报漏洞通报情况
本周CNNVD接报漏洞通报202份。
序号 | 报送单位 | 通报总量 |
1 | 中国电信股份有限公司 | 37 |
2 | 深圳开源互联网安全技术有限公司 | 25 |
3 | 杭州迪普科技股份有限公司 | 22 |
4 | 北京华云安信息技术有限公司 | 18 |
5 | 安徽华云安科技有限公司 | 14 |
6 | 深信服科技股份有限公司 | 11 |
7 | 浙江大华技术股份有限公司 | 7 |
8 | 北京威努特技术有限公司 | 6 |
9 | 上海上讯信息技术股份有限公司 | 6 |
10 | 北京华顺信安信息技术有限公司 | 5 |
11 | 北京墨云科技有限公司 | 5 |
12 | 北京数字观星科技有限公司 | 5 |
13 | 科来网络技术股份有限公司 | 5 |
14 | 内蒙古思沃科技有限公司 | 5 |
15 | 长亭科技股份有限公司 | 4 |
16 | 北京六方云信息技术有限公司 | 3 |
17 | 北京小佑网络科技有限公司 | 3 |
18 | 北京永信至诚科技股份有限公司 | 3 |
19 | 上海斗象信息科技有限公司 | 3 |
20 | 广东默究科技有限公司 | 2 |
21 | 黑龙江安信与诚科技开发有限公司 | 2 |
22 | 奇安信网神信息技术（北京）股份有限公司 | 2 |
23 | 西安四叶草信息技术有限公司 | 2 |
24 | 北京安天网络安全技术有限公司 | 1 |
25 | 北京微步在线科技有限公司 | 1 |
26 | 杭州安恒信息技术股份有限公司 | 1 |
27 | 恒安嘉新(北京)科技股份公司 | 1 |
28 | 南京禾盾信息科技有限公司 | 1 |
29 | 上海安识网络科技有公司 | 1 |
30 | 亚信科技（成都）有限公司 | 1 |
报送总计 | 202 |