信息安全漏洞周报（2022年第49期）
根据国家信息安全漏洞库（CNNVD）统计，本周（2022年11月28日至2022年12月4日）安全漏洞情况如下：
公开漏洞情况
本周CNNVD采集安全漏洞389个。
接报漏洞情况
本周CNNVD接报漏洞24978，其中信息技术产品漏洞（通用型漏洞）138个，网络信息系统漏洞（事件型漏洞）690个，漏洞平台推送漏洞24150个。
一、公开漏洞情况
根据国家信息安全漏洞库（CNNVD）统计，本周新增安全漏洞389个，漏洞新增数量有所上升。从厂商分布来看WordPress基金会新增漏洞最多，有62个；从漏洞类型来看，跨站脚本类的安全漏洞占比最大，达到14.14%。新增漏洞中，超危漏洞64个，高危漏洞100个，中危漏洞221个，低危漏洞4个。相应修复率分别为25.00%、70.00%、66.06%和100.00%。根据补丁信息统计，合计236个漏洞已有修复补丁发布，整体修复率为60.67%。
（一） 安全漏洞增长数量情况
本周CNNVD采集安全漏洞389个。
图1 近五周漏洞新增数量统计图
（二） 安全漏洞分布情况
从厂商分布来看，WordPress基金会新增漏洞最多，有62个。各厂商漏洞数量分布如表1所示。
表1 新增安全漏洞排名前五厂商统计表
序号 | 厂商名称 | 漏洞数量（个） | 所占比例 |
1 | WordPress基金会 | 62 | 15.94% |
2 | 腾达 | 37 | 9.51% |
3 | 谷歌 | 23 | 5.91% |
4 | Git | 11 | 2.83% |
5 | Rukovoditel | 9 | 2.31% |
本周国内厂商漏洞61个，腾达公司漏洞数量最多，有37个。国内厂商漏洞整体修复率为20.00%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。
从漏洞类型来看, 跨站脚本类的安全漏洞占比最大，达到14.14%。漏洞类型统计如表3所示。
表2 漏洞类型统计表
序号 | 漏洞类型 | 漏洞数量（个） | 所占比例 |
1 | 跨站脚本 | 55 | 14.14% |
2 | SQL注入 | 27 | 6.94% |
3 | 资源管理错误 | 13 | 3.34% |
4 | 代码问题 | 12 | 3.08% |
5 | 跨站请求伪造 | 11 | 2.83% |
6 | 路径遍历 | 11 | 2.83% |
7 | 输入验证错误 | 9 | 2.31% |
8 | 缓冲区错误 | 5 | 1.29% |
9 | 授权问题 | 4 | 1.03% |
10 | 代码注入 | 4 | 1.03% |
11 | 信息泄露 | 3 | 0.77% |
12 | 信任管理问题 | 3 | 0.77% |
13 | 命令注入 | 2 | 0.51% |
14 | 操作系统命令注入 | 2 | 0.51% |
15 | 数据伪造问题 | 1 | 0.26% |
16 | 注入 | 1 | 0.26% |
17 | 加密问题 | 1 | 0.26% |
18 | 竞争条件问题 | 1 | 0.26% |
19 | 参数注入 | 1 | 0.26% |
20 | 其他 | 223 | 57.33% |
（三） 安全漏洞危害等级与修复情况
本周共发布超危漏洞64个，高危漏洞100个，中危漏洞221个，低危漏洞4个。相应修复率分别为25.00%、70.00%、66.06%和100.00%。根据补丁信息统计，合计236个漏洞已有修复补丁发布，整体修复率为60.67%。详细情况如表3所示。
表3 漏洞危害等级与修复情况
序号 | 危害等级 | 漏洞数量（个） | 修复数量（个） | 修复率 |
1 | 超危 | 64 | 16 | 25.00% |
2 | 高危 | 100 | 70 | 70.00% |
3 | 中危 | 221 | 146 | 66.06% |
4 | 低危 | 4 | 4 | 100.00% |
合计 | 389 | 236 | 60.67% |
（四） 本周重要漏洞实例
本周重要漏洞实例如表4所示。
表4 本期重要漏洞实例
序号 | 漏洞 | 漏洞编号 | 厂商 | 漏洞实例 | 是否修复 | 危害等级 |
类型 | ||||||
1 | 其他 | CNNVD-202211-3563 | WordPress基金会 | WordPress plugin Export customers list csv for WooCommerce 安全漏洞 | 是 | 超危 |
2 | 其他 | CNNVD-202211-3690 | 谷歌 | Google Chrome 安全漏洞 | 是 | 高危 |
3 | 代码问题 | CNNVD-202212-1863 | Apache基金会 | Apache Tapestry 代码问题漏洞 | 是 | 高危 |
1.WordPress plugin Export customers list csv for WooCommerce 安全漏洞（CNNVD-202211-3563）
WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。
WordPress plugin Export customers list csv for WooCommerce 2.0.69之前版本存在安全漏洞，该漏洞源于在将数据输出回CSV文件时不验证数据的准确性，从而导致CSV注入。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://wpscan.com/vulnerability/376e2bc7-2eb9-4e0a-809c-1582940ebdc7
2. Google Chrome 安全漏洞（CNNVD-202211-3690）
Google Chrome是美国谷歌（Google）公司的一款Web浏览器。
Google Chrome存在安全漏洞，该漏洞源于对目录中的数据验证不足。远程攻击者利用该漏洞通过特制的HTML页面绕过文件系统限制，从而获取敏感信息。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://chromereleases.googleblog.com/2022/11/stable-channel-update-for-desktop_29.html
3. Apache Tapestry 代码问题漏洞（CNNVD-202212-1863）
Apache Tapestry是美国阿帕奇（Apache）基金会的一款使用Java语言编写的Web应用程序框架。
Apache Tapestry 3.x版本存在代码问题漏洞。攻击者利用该漏洞对数据进行反序列化操作，从而远程执行代码。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://lists.apache.org/thread/bwn1vjrvz1hq0wbdzj23wz322244swhj
二、漏洞平台推送情况
本周漏洞平台推送漏洞24150个。
序号 | 漏洞平台 | 漏洞总量 |
1 | 漏洞盒子 | 12302 |
2 | 补天平台 | 10781 |
3 | 360漏洞云 | 1067 |
推送总计 | 24150 |
三、接报漏洞情况
本周CNNVD接报漏洞828个，其中信息技术产品漏洞（通用型漏洞）138个，网络信息系统漏洞（事件型漏洞）690个。
序号 | 报送单位 | 漏洞总量 |
1 | 北京云科安信科技有限公司 | 393 |
2 | 北京山石网科信息技术有限公司 | 188 |
3 | 北京赛宁网安科技有限公司 | 31 |
4 | 个人 | 20 |
5 | 广州锦行网络科技有限公司 | 20 |
6 | 杭州海康威视数字技术股份有限公司 | 15 |
7 | 京东科技信息技术有限公司 | 14 |
8 | 上海斗象信息科技有限公司 | 14 |
9 | 北京天融信网络安全技术有限公司 | 12 |
10 | 杭州默安科技有限公司 | 10 |
11 | 神州灵云（北京）科技有限公司 | 9 |
12 | 山东泽鹿安全技术有限公司 | 8 |
13 | 三六零数字安全科技集团有限公司 | 7 |
14 | 安全邦（北京）信息技术有限公司 | 6 |
15 | 北京六方云信息技术有限公司 | 6 |
16 | 北京华顺信安信息技术有限公司 | 5 |
17 | 江苏通付盾科技有限公司 | 5 |
18 | 西安四叶草信息技术有限公司 | 5 |
19 | 内蒙古信元网络安全技术股份有限公司 | 4 |
20 | 上海上讯信息技术股份有限公司 | 4 |
21 | 西安交大捷普网络科技有限公司 | 4 |
22 | 北京国舜科技股份有限公司 | 3 |
23 | 北京兰云科技有限公司 | 3 |
24 | 北京微步在线科技有限公司 | 3 |
25 | 北京星阑科技有限公司 | 3 |
26 | 瑞数信息技术（上海）有限公司 | 3 |
27 | 上海安几科技有限公司 | 3 |
28 | 上海齐同信息科技有限公司 | 3 |
29 | 上海银基信息安全技术股份有限公司 | 3 |
30 | 卫士通（广州）信息安全技术有限公司 | 3 |
31 | 长扬科技（北京）股份有限公司 | 3 |
32 | 北京容辉智信科技有限公司 | 2 |
33 | 奇安信网神信息技术（北京）股份有限公司 | 2 |
34 | 苏州棱镜七彩信息科技有限公司 | 2 |
35 | 新华三技术有限公司 | 2 |
36 | 长春嘉诚信息技术股份有限公司 | 2 |
37 | 北京梆梆安全科技有限公司 | 1 |
38 | 北京赛克艾威科技有限公司 | 1 |
39 | 北京网御星云信息技术有限公司 | 1 |
40 | 河南灵创电子科技有限公司 | 1 |
41 | 黑龙江安信与诚科技开发有限公司 | 1 |
42 | 赛尔网络有限公司 | 1 |
43 | 上海谋乐网络科技有限公司 | 1 |
44 | 天翼数智科技（北京）有限公司 | 1 |
报送总计 | 828 |
四、收录漏洞通报情况
本周CNNVD收录漏洞通报54份。
序号 | 报送单位 | 通报总量 |
1 | 浙江大华技术股份有限公司 | 7 |
2 | 北京华云安信息技术有限公司 | 4 |
3 | 博智安全科技股份有限公司 | 4 |
4 | 南京禾盾信息科技有限公司 | 4 |
5 | 北京云科安信科技有限公司 | 3 |
6 | 福建银数信息技术有限公司 | 3 |
7 | 杭州默安科技有限公司 | 3 |
8 | 安徽华云安科技有限公司 | 2 |
9 | 北京六方云信息技术有限公司 | 2 |
10 | 奇安信网神信息技术（北京）股份有限公司 | 2 |
11 | 远江盛邦(北京)网络安全科技股份有限公司 | 2 |
12 | 中瑞创信息技术(北京)有限公司 | 2 |
13 | 北京安天网络安全技术有限公司 | 1 |
14 | 北京赛宁网安科技有限公司 | 1 |
15 | 北京星阑科技有限公司 | 1 |
16 | 北京优炫软件股份有限公司 | 1 |
17 | 北京知道创宇信息技术股份有限公司 | 1 |
18 | 河南灵创电子科技有限公司 | 1 |
19 | 浪潮电子信息产业股份有限公司 | 1 |
20 | 上海安识网络科技有限公司 | 1 |
21 | 上海斗象信息科技有限公司 | 1 |
22 | 深圳融安网络科技有限公司 | 1 |
23 | 深圳市深信服信息安全有限公司 | 1 |
24 | 西安交大捷普网络科技有限公司 | 1 |
25 | 西安四叶草信息技术有限公司 | 1 |
26 | 新华三技术有限公司 | 1 |
27 | 浙江木链物联网科技有限公司 | 1 |
28 | 中国电信股份有限公司网络安全产品运营中心 | 1 |
收录总计 | 54 |