信息安全漏洞周报(2023年第22期)
公开漏洞情况
本周CNNVD采集安全漏洞463个。
接报漏洞情况
本周CNNVD接报漏洞10723个,其中信息技术产品漏洞(通用型漏洞)163个,网络信息系统漏洞(事件型漏洞)48个,漏洞平台推送漏洞10512个。
一、公开漏洞情况
根据国家信息安全漏洞库(CNNVD)统计,本周新增安全漏洞463个,漏洞新增数量有所上升。从厂商分布来看WordPress基金会新增漏洞最多,有67个;从漏洞类型来看,跨站脚本类的安全漏洞占比最大,达到11.23%。新增漏洞中,超危漏洞43个,高危漏洞137个,中危漏洞262个,低危漏洞21个。
(一) 安全漏洞增长数量情况
本周CNNVD采集安全漏洞463个。
图1 近五周漏洞新增数量统计图
(二) 安全漏洞分布情况
从厂商分布来看,WordPress基金会新增漏洞最多,有67个。各厂商漏洞数量分布如表1所示。
表1 新增安全漏洞排名前五厂商统计表
序号 | 厂商名称 | 漏洞数量(个) | 所占比例 |
1 | WordPress基金会 | 67 | 14.47% |
2 | 新华三 | 17 | 3.67% |
3 | 谷歌 | 13 | 2.81% |
4 | JetBrains | 13 | 2.81% |
5 | Splunk | 12 | 2.59% |
本周国内厂商漏洞54个,新华三公司漏洞数量最多,有17个。国内厂商漏洞整体修复率为38.89%。请受影响用户关注厂商修复情况,及时下载补丁修复漏洞。
从漏洞类型来看, 跨站脚本类的安全漏洞占比最大,达到11.23%。漏洞类型统计如表2所示。
表2 漏洞类型统计表
序号 | 漏洞类型 | 漏洞数量(个) | 所占比例 |
1 | 跨站脚本 | 52 | 11.23% |
2 | 缓冲区错误 | 25 | 5.40% |
3 | SQL注入 | 14 | 3.02% |
4 | 跨站请求伪造 | 13 | 2.81% |
5 | 代码问题 | 11 | 2.38% |
6 | 访问控制错误 | 8 | 1.73% |
7 | 输入验证错误 | 4 | 0.86% |
8 | 资源管理错误 | 4 | 0.86% |
9 | 授权问题 | 3 | 0.65% |
10 | 操作系统命令注入 | 3 | 0.65% |
11 | 路径遍历 | 2 | 0.43% |
12 | 信息泄露 | 2 | 0.43% |
13 | 信任管理问题 | 2 | 0.43% |
14 | 代码注入 | 1 | 0.22% |
15 | 命令注入 | 1 | 0.22% |
16 | 日志信息泄露 | 1 | 0.22% |
17 | 加密问题 | 1 | 0.22% |
18 | 注入 | 1 | 0.22% |
19 | 数据伪造问题 | 1 | 0.22% |
20 | 后置链接 | 1 | 0.22% |
21 | 其他 | 313 | 67.60% |
(三) 安全漏洞危害等级与修复情况
本周共发布超危漏洞43个,高危漏洞137个,中危漏洞262个,低危漏洞21个。相应修复率分别为58.14%、67.15%、70.23%和100.00%。根据补丁信息统计,合计322个漏洞已有修复补丁发布,整体修复率为69.55%。详细情况如表3所示。
表3 漏洞危害等级与修复情况
序号 | 危害等级 | 漏洞数量(个) | 修复数量(个) | 修复率 |
1 | 超危 | 43 | 25 | 58.14% |
2 | 高危 | 137 | 92 | 67.15% |
3 | 中危 | 262 | 184 | 70.23% |
4 | 低危 | 21 | 21 | 100.00% |
合计 | 463 | 322 | 69.55% |
(四) 本周重要漏洞实例
本周重要漏洞实例如表4所示。
表4 本期重要漏洞实例
序号 | 漏洞 | 漏洞编号 | 厂商 | 漏洞实例 | 是否修复 | 危害等级 |
类型 | ||||||
1 | 跨站请求伪造 | CNNVD-202306-155 | WordPress基金会 | WordPress plugin Online Booking & Scheduling Calendar 跨站请求伪造漏洞 | 是 | 超危 |
2 | 其他 | CNNVD-202305-2470 | Apache基金会 | Apache Cassandra 安全漏洞 | 是 | 高危 |
3 | 其他 | CNNVD-202305-2686 | IBM | IBM QRadar WinCollect Agent 安全漏洞 | 是 | 高危 |
WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。
WordPress plugin Online Booking & Scheduling Calendar 4.2.10版本及之前版本存在跨站请求伪造漏洞,该漏洞源于插件缺少对vcita_logout_callback函数的随机数检查。攻击者利用该漏洞可导致系统拒绝服务。
目前厂商已发布升级补丁以修复漏洞,参考链接:
https://wordpress.org/plugins/meeting-scheduler-by-vcita/
2. Apache Cassandra 安全漏洞(CNNVD-202305-2470)
Apache Cassandra是美国阿帕奇(Apache)基金会的一个分布式Nosql数据库。
Apache Cassandra 4.0.0版本至4.0.9版本、4.1.0版本至4.1.1版本存在安全漏洞,该漏洞源于在启用FQL或Audit Logs(审计日志)时可能导致权限升级。攻击者利用该漏洞可以执行任意命令。
目前厂商已发布升级补丁以修复漏洞,参考链接:
https://lists.apache.org/thread/f74p9jdhmmp7vtrqd8lgm8bq3dhxl8vn
3. IBM QRadar WinCollect Agent 安全漏洞(CNNVD-202305-2686)
IBM QRadar WinCollect Agent是美国国际商业机器(IBM)公司的一款用于收集和发送Windows事件日志的代理程序。
IBM QRadar WinCollect Agent 10.0版本至10.1.3版本存在安全漏洞,该漏洞源于该应用程序对权限管理不当。攻击者利用该漏洞可以在系统上执行命令。
目前厂商已发布升级补丁以修复漏洞,参考链接:
https://www.ibm.com/support/pages/node/6999343
二、漏洞平台推送情况
本周CNNVD接收漏洞平台推送漏洞10512个。
序号 | 漏洞平台 | 漏洞总量 |
1 | 漏洞盒子 | 7124 |
2 | 补天平台 | 2601 |
3 | 360漏洞云 | 787 |
推送总计 | 10512 |
三、接报漏洞情况
本周CNNVD接报漏洞211个,其中信息技术产品漏洞(通用型漏洞)163个,网络信息系统漏洞(事件型漏洞)48个。
序号 | 报送单位 | 漏洞总量 |
1 | 个人 | 29 |
2 | 星云博创科技有限公司 | 20 |
3 | 北京神州绿盟科技有限公司 | 17 |
4 | 中兴通讯股份有限公司 | 13 |
5 | 北京启明星辰信息安全技术有限公司 | 10 |
6 | 北京天融信网络安全技术有限公司 | 10 |
7 | 北京墨云科技有限公司 | 8 |
8 | 奇安信网神信息技术(北京)股份有限公司 | 8 |
9 | 北京梆梆安全科技有限公司 | 7 |
10 | 山西轩辕信息安全技术有限公司 | 7 |
11 | 北京长亭科技有限公司 | 6 |
12 | 网宿科技股份有限公司 | 6 |
13 | 黑龙江安信与诚科技开发有限公司 | 5 |
14 | 北京六方云信息技术有限公司 | 4 |
15 | 北京威努特技术有限公司 | 4 |
16 | 北京信联数安科技有限公司 | 4 |
17 | 广州竞远安全技术股份有限公司 | 4 |
18 | 北京华云安信息技术有限公司 | 3 |
19 | 北京赛博昆仑科技有限公司 | 3 |
20 | 北京源堡科技有限公司 | 3 |
21 | 贵州蓝天创新科技有限公司 | 3 |
22 | 恒安嘉新(北京)科技股份公司 | 3 |
23 | 快页信息技术有限公司 | 3 |
24 | 新华三技术有限公司 | 3 |
25 | 安徽慢音科技有限公司 | 2 |
26 | 北京门石信息技术有限公司 | 2 |
27 | 北京知道创宇信息技术股份有限公司 | 2 |
28 | 北京智游网安科技有限公司 | 2 |
29 | 超聚变数字技术有限公司 | 2 |
30 | 长春嘉诚信息技术股份有限公司 | 2 |
31 | 北京安盟信息技术股份有限公司 | 1 |
32 | 北京安天网络安全技术有限公司 | 1 |
33 | 北京赛克艾威科技有限公司 | 1 |
34 | 北京天地和兴科技有限公司 | 1 |
35 | 北京永信至诚科技股份有限公司 | 1 |
36 | 杭州安恒信息技术股份有限公司 | 1 |
37 | 杭州默安科技有限公司 | 1 |
38 | 河南听潮盛世信息技术有限公司 | 1 |
39 | 江苏网擎信息技术有限公司 | 1 |
40 | 南京众智维信息科技有限公司 | 1 |
41 | 赛尔网络有限公司 | 1 |
42 | 上海齐同信息科技有限公司 | 1 |
43 | 上海矢安科技有限公司 | 1 |
44 | 天翼数智科技(北京)有限公司 | 1 |
45 | 西安四叶草信息技术有限公司 | 1 |
46 | 中电信数智科技有限公司 | 1 |
报送总计 | 211 |
四、收录漏洞通报情况
本周CNNVD收录漏洞通报88份。
序号 | 报送单位 | 通报总量 |
1 | 锐捷网络股份有限公司 | 18 |
2 | 北京梆梆安全科技有限公司 | 7 |
3 | 苏州棱镜七彩信息科技有限公司 | 6 |
4 | 北京云科安信科技有限公司 | 5 |
5 | 南京禾盾信息科技有限公司 | 5 |
6 | 中兴通讯股份有限公司 | 5 |
7 | 山东新潮信息技术有限公司 | 4 |
8 | 山西轩辕信息安全技术有限公司 | 4 |
9 | 北京神州绿盟科技有限公司 | 2 |
10 | 北京五一嘉峪科技有限公司 | 2 |
11 | 北京永信至诚科技股份有限公司 | 2 |
12 | 杭州迪普科技股份有限公司 | 2 |
13 | 杭州美创科技股份有限公司 | 2 |
14 | 奇安信网神信息技术(北京)股份有限公司 | 2 |
15 | 深信服科技股份有限公司 | 2 |
16 | 西安交大捷普网络科技有限公司 | 2 |
17 | 北京山石网科信息技术有限公司 | 1 |
18 | 北京时代新威信息技术有限公司 | 1 |
19 | 北京网御星云信息技术有限公司 | 1 |
20 | 北京长亭科技有限公司 | 1 |
21 | 博智安全科技股份有限公司 | 1 |
22 | 贵州泰若数字科技有限公司 | 1 |
23 | 杭州海康威视数字技术股份有限公司 | 1 |
24 | 华为技术有限公司 | 1 |
25 | 快页信息技术有限公司 | 1 |
26 | 上海安识网络科技有限公司 | 1 |
27 | 上海斗象信息科技有限公司 | 1 |
28 | 上海上讯信息技术股份有限公司 | 1 |
29 | 深圳海云安网络安全技术有限公司 | 1 |
30 | 天津市兴先道科技有限公司 | 1 |
31 | 网宿科技股份有限公司 | 1 |
32 | 智网安云(武汉)信息技术有限公司 | 1 |
33 | 中电信数智科技有限公司 | 1 |
34 | 重庆梦之想科技有限责任公司 | 1 |
收录总计 | 88 |