请选择 进入手机版 | 继续访问电脑版
查看: 1622|回复: 0

信息安全漏洞周报(2022年第52期)

[复制链接]
匿名
匿名  发表于 2022-12-28 14:17:37 |阅读模式
  根据国家信息安全漏洞库(CNNVD)统计,本周(2022年12月19日至2022年12月25日)安全漏洞情况如下:

公开漏洞情况

  本周CNNVD采集安全漏洞380个。

接报漏洞情况

  本周CNNVD接报漏洞13833,其中信息技术产品漏洞(通用型漏洞)144个,网络信息系统漏洞(事件型漏洞)1165个,漏洞平台推送漏洞12524个。

重大漏洞通报

  Fortinet FortiOS 安全漏洞(CNNVD-202212-2946、CVE-2022-42475):成功利用漏洞的攻击者,可向目标设备发送特殊请求,从而远程执行恶意代码。FortiOS 7.2.0-7.2.2、FortiOS 7.0.0-7.0.8、FortiOS 6.4.0-6.4.10、FortiOS 6.2.0-6.2.11、FortiOS-6K7K 7.0.0-7.0.7、FortiOS-6K7K6.4.0-6.4.9等版本均受此漏洞影响。目前,Fortinet官方已发布新版本修复了该漏洞,请用户及时确认是否受到漏洞影响,尽快采取修补措施。

一、公开漏洞情况

  根据国家信息安全漏洞库(CNNVD)统计,本周新增安全漏洞380个,漏洞新增数量有所下降。从厂商分布来看WordPress基金会新增漏洞最多,有24个;从漏洞类型来看,跨站脚本类的安全漏洞占比最大,达到8.16%。新增漏洞中,超危漏洞29个,高危漏洞117个,中危漏洞223个,低危漏洞11个。相应修复率分别为65.52%、66.67%、85.20%和100.00%。根据补丁信息统计,合计298个漏洞已有修复补丁发布,整体修复率为78.42%。
(一) 安全漏洞增长数量情况
  本周CNNVD采集安全漏洞380个。

qw1.jpg

图1 近五周漏洞新增数量统计图
(二) 安全漏洞分布情况
  从厂商分布来看,WordPress基金会新增漏洞最多,有24个。各厂商漏洞数量分布如表1所示。

表1 新增安全漏洞排名前五厂商统计表

序号

厂商名称

漏洞数量(个)

所占比例

1

WordPress基金会

24

6.32%

2

腾达

24

6.32%

3

OpenImageIO

24

6.32%

4

IBM

23

6.05%

5

IP-COM

15

3.95%

  本周国内厂商漏洞54个,腾达公司漏洞数量最多,有24个。国内厂商漏洞整体修复率为52.50%。请受影响用户关注厂商修复情况,及时下载补丁修复漏洞。

  从漏洞类型来看, 跨站脚本类的安全漏洞占比最大,达到8.16%。漏洞类型统计如表2所示。

表2 漏洞类型统计表

序号

漏洞类型

漏洞数量(个)

所占比例

1

跨站脚本

31

8.16%

2

缓冲区错误

14

3.68%

3

代码问题

10

2.63%

4

SQL注入

8

2.11%

5

命令注入

7

1.84%

6

输入验证错误

6

1.58%

7

访问控制错误

6

1.58%

8

路径遍历

5

1.32%

9

授权问题

5

1.32%

10

加密问题

4

1.05%

11

跨站请求伪造

3

0.79%

12

资源管理错误

2

0.53%

13

操作系统命令注入

2

0.53%

14

注入

2

0.53%

15

格式化字符串错误

2

0.53%

16

数据伪造问题

1

0.26%

17

信任管理问题

1

0.26%

18

日志信息泄露

1

0.26%

19

其他

270

71.05%
(三) 安全漏洞危害等级与修复情况
  本周共发布超危漏洞29个,高危漏洞117个,中危漏洞223个,低危漏洞11个。相应修复率分别为65.52%、66.67%、85.20%和100.00%。根据补丁信息统计,合计298个漏洞已有修复补丁发布,整体修复率为78.42%。详细情况如表3所示。

表3 漏洞危害等级与修复情况

序号

危害等级

漏洞数量(个)

修复数量(个)

修复率

1

超危

29

19

65.52%

2

高危

117

78

66.67%

3

中危

223

190

85.20%

4

低危

11

11

100.00%

合计

380

298

78.42%
(四) 本周重要漏洞实例
  本周重要漏洞实例如表4所示。

表4 本期重要漏洞实例

序号

漏洞

漏洞编号

厂商

漏洞实例

是否修复

危害等级

类型

1

SQL注入

CNNVD-202212-3535

WordPress基金会

WordPress plugin JoomSport SQL注入漏洞



超危

2

缓冲区错误

CNNVD-202212-3507

IBM

IBM Domino 缓冲区错误漏洞



高危

3

代码问题

CNNVD-202212-3564

Apache基金会

Apache Traffic Server 代码问题漏洞



高危

1.WordPress pluginJoomSport SQL注入漏洞(CNNVD-202212-3535)

  WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPressplugin是一个应用插件。

  WordPress pluginJoomSport 5.2.8之前版本存在SQL注入漏洞,该漏洞源于在SQL语句中未正确清理和转义某些参数。攻击者利用该漏洞可以执行SQL注入攻击。

  目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://wpscan.com/vulnerability/5c96bb40-4c2d-4e91-8339-e0ddce25912f

2.IBM Domino 缓冲区错误漏洞(CNNVD-202212-3507)

  IBM Domino是美国国际商业机器(IBM)公司的一套企业级应用程序开发平台。

  IBM Domino存在安全漏洞。攻击者利用该漏洞可以使应用程序崩溃或通过特制的Lotus Ami Pro文件执行任意代码。

  目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://support.hcltechsw.com/csm?id=kb_article&sysparm_article=KB0102151

3.Apache Traffic Server 代码问题漏洞(CNNVD-202212-3564)

  Apache Traffic Server(ATS)是美国阿帕奇(Apache)基金会的一套可扩展的HTTP代理和缓存服务器。

  Apache Traffic Server 8.0.0版本至9.1.3版本存在代码问题漏洞,该漏洞源于在处理请求时未检查异常或未正确处理异常条件,从而导致服务器崩溃。

  目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://lists.apache.org/thread/mrj2lg4s0hf027rk7gz8t7hbn9xpfg02

二、漏洞平台推送情况

    本周漏洞平台推送漏洞12524个。

序号

漏洞平台

漏洞总量

1

补天平台

10124

2

360漏洞云

1285

3

漏洞盒子

1115

推送总计

12524

三、接报漏洞情况

  本周CNNVD接报漏洞1309个,其中信息技术产品漏洞(通用型漏洞)144个,网络信息系统漏洞(事件型漏洞)1165个。

序号

报送单位

漏洞总量

1

北京山石网科信息技术有限公司

1120

2

个人

34

3

河南听潮盛世信息技术有限公司

29

4

上海斗象信息科技有限公司

16

5

苏州棱镜七彩信息科技有限公司

14

6

北京天融信网络安全技术有限公司

8

7

北京安帝科技有限公司

7

8

杭州默安科技有限公司

6

9

卫士通(广州)信息安全技术有限公司

6

10

北京梆梆安全科技有限公司

5

11

北京国舜科技股份有限公司

5

12

北京华顺信安信息技术有限公司

5

13

南京众智维信息科技有限公司

5

14

神州灵云(北京)科技有限公司

5

15

四维创智(北京)科技发展有限公司

5

16

北京六方云信息技术有限公司

4

17

河南天祺信息安全技术有限公司

3

18

三六零数字安全科技集团有限公司

3

19

统信软件技术有限公司

3

20

郑州埃文计算机科技有限公司

3

21

中电信数智科技有限公司

3

22

北京网猿科技有限公司

2

23

北京微步在线科技有限公司

2

24

北京优炫软件股份有限公司

2

25

博智安全科技股份有限公司

2

26

福建经联网络技术有限公司

2

27

瑞数信息技术(上海)有限公司

2

28

新华三技术有限公司

2

29

北京五一嘉峪科技有限公司

1

30

内蒙古御网科技有限责任公司

1

31

奇安信网神信息技术(北京)股份有限公司

1

32

赛尔网络有限公司

1

33

西安四叶草信息技术有限公司

1

34

长春嘉诚信息技术股份有限公司

1

报送总计

1309

四、收录漏洞通报情况

  本周CNNVD收录漏洞通报63份。

序号

报送单位

通报总量

1

北京华云安信息技术有限公司

12

2

北京云科安信科技有限公司

11

3

上海斗象信息科技有限公司

4

4

深圳市深信服信息安全有限公司

4

5

北京赛宁网安科技有限公司

3

6

北京网猿科技有限公司

3

7

杭州迪普科技股份有限公司

3

8

奇安信网神信息技术(北京)股份有限公司

3

9

苏州棱镜七彩信息科技有限公司

3

10

新华三技术有限公司

3

11

北京知道创宇信息技术股份有限公司

2

12

杭州默安科技有限公司

2

13

京东科技信息技术有限公司

2

14

深信服科技股份有限公司

2

15

北京山石网科信息技术有限公司

1

16

北京五一嘉峪科技有限公司

1

17

博智安全科技股份有限公司

1

18

贵州泰若数字科技有限公司

1

19

卫士通(广州)信息安全技术有限公司

1

20

中国电信股份有限公司网络安全产品运营中心

1

收录总计

63

五、重大漏洞通报

CNNVD关于Fortinet FortiOS 安全漏洞的通报

  近日,国家信息安全漏洞库(CNNVD)收到关于Fortinet FortiOS 安全漏洞(CNNVD-202212-2946、CVE-2022-42475)情况的报送。成功利用漏洞的攻击者,可向目标设备发送特殊请求,从而远程执行恶意代码。FortiOS 7.2.0-7.2.2、FortiOS 7.0.0-7.0.8、FortiOS 6.4.0-6.4.10、FortiOS 6.2.0-6.2.11、FortiOS-6K7K 7.0.0-7.0.7、FortiOS-6K7K6.4.0-6.4.9、FortiOS-6K7K 6.2.0-6.2.11、FortiOS-6K7K 6.0.0-6.0.14等版本均受此漏洞影响。目前,Fortinet官方已发布新版本修复了该漏洞,请用户及时确认是否受到漏洞影响,尽快采取修补措施。

.漏洞介绍

  Fortinet FortiOS是美国飞塔(Fortinet)公司的一套专用于FortiGate网络安全平台上的操作系统。该系统为用户提供防火墙、防病毒、IPSec/SSLVPN、Web内容过滤和反垃圾邮件等多种安全功能。Fortinet FortiOS 存在安全漏洞,攻击者可利用该漏洞在未经身份认证的情况下,通过发送恶意数据导致堆缓冲区溢出,从而实现远程代码执行。

.危害影响

  成功利用漏洞的攻击者,可向目标设备发送特殊请求,从而远程执行恶意代码。FortiOS7.2.0-7.2.2、FortiOS 7.0.0-7.0.8、FortiOS 6.4.0-6.4.10、FortiOS 6.2.0-6.2.11、FortiOS-6K7K 7.0.0-7.0.7、FortiOS-6K7K6.4.0-6.4.9、FortiOS-6K7K 6.2.0-6.2.11、FortiOS-6K7K 6.0.0-6.0.14等版本均受此漏洞影响。

.修复建议

  目前,Fortinet官方已发布新版本修复了该漏洞,请用户及时确认是否受到漏洞影响,尽快采取修补措施。官方链接如下:

  https://www.fortiguard.com/psirt/FG-IR-22-398


回复

使用道具 举报

您需要登录后才可以回帖 登录 | 注册

本版积分规则

快速回复 返回顶部 返回列表