信息安全漏洞周报（2023年第10期）

     根据国家信息安全漏洞库（CNNVD）统计，本周（2023年3月6日至2023年3月12日）安全漏洞情况如下：

  公开漏洞情况

本周CNNVD采集安全漏洞508个。

接报漏洞情况

本周CNNVD接报漏洞13640个，其中信息技术产品漏洞（通用型漏洞）155个，网络信息系统漏洞（事件型漏洞）119个，漏洞平台推送漏洞13366个。

一、公开漏洞情况

根据国家信息安全漏洞库（CNNVD）统计，本周新增安全漏洞508个，漏洞新增数量有所上升。从厂商分布来看谷歌公司新增漏洞最多，有76个；从漏洞类型来看，跨站脚本类的安全漏洞占比最大，达到11.22%。新增漏洞中，超危漏洞35个，高危漏洞122个，中危漏洞332个，低危漏洞19个。
（一） 安全漏洞增长数量情况
     本周CNNVD采集安全漏洞508个。



图1 近五周漏洞新增数量统计图

（二） 安全漏洞分布情况
从厂商分布来看，谷歌公司新增漏洞最多，有76个。各厂商漏洞数量分布如表1所示。

表1 新增安全漏洞排名前五厂商统计表

序号	厂商名称	漏洞数量（个）	所占比例
1	谷歌	76	14.96%
2	WordPress基金会	45	8.86%
3	联发科	29	5.71%
4	紫光展锐	20	3.94%
5	Fortinet	17	3.35%

     本周国内厂商漏洞77个，联发科公司漏洞数量最多，有29个。国内厂商漏洞整体修复率为74.03%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。

从漏洞类型来看, 跨站脚本类的安全漏洞占比最大，达到11.22%。漏洞类型统计如表2所示。

表2 漏洞类型统计表

序号	漏洞类型	漏洞数量（个）	所占比例
1	跨站脚本	57	11.22%
2	SQL注入	25	4.92%
3	代码问题	16	3.15%
4	输入验证错误	11	2.17%
5	跨站请求伪造	10	1.97%
6	信息泄露	8	1.57%
7	资源管理错误	7	1.38%
8	路径遍历	6	1.18%
9	缓冲区错误	5	0.98%
10	操作系统命令注入	3	0.59%
11	代码注入	3	0.59%
12	命令注入	2	0.39%
13	授权问题	2	0.39%
14	环境问题	2	0.39%
15	数据伪造问题	1	0.20%
16	日志信息泄露	1	0.20%
17	注入	1	0.20%
18	信任管理问题	1	0.20%
19	其他	347	68.31%

（三） 安全漏洞危害等级与修复情况     本周共发布超危漏洞35个，高危漏洞122个，中危漏洞332个，低危漏洞19个。相应修复率分别为68.57%、82.79%、79.22%和89.47%。根据补丁信息统计，合计405个漏洞已有修复补丁发布，整体修复率为79.72%。详细情况如表3所示。
表3 漏洞危害等级与修复情况

序号	危害等级	漏洞数量（个）	修复数量（个）	修复率
1	超危	35	24	68.57%
2	高危	122	101	82.79%
3	中危	332	263	79.22%
4	低危	19	17	89.47%
合计		508	405	79.72%

（四） 本周重要漏洞实例
本周重要漏洞实例如表4所示。

表4 本期重要漏洞实例

序号	漏洞	漏洞编号	厂商	漏洞实例	是否修复	危害等级
	类型
1	代码问题	CNNVD-202303-355	WordPress基金会	WordPress plugin WooCommerce Checkout Field Manager 代码问题漏洞	是	超危
2	缓冲区错误	CNNVD-202303-545	谷歌	Google Chrome 缓冲区错误漏洞	是	高危
3	资源管理错误	CNNVD-202303-736	Apache基金会	Apache Log4j 资源管理错误漏洞	是	高危

1.  WordPress plugin WooCommerce Checkout Field Manager 代码问题漏洞（CNNVD-202303-355）

WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。

WordPress plugin WooCommerce Checkout Field Manager 18.0之前版本存在代码问题漏洞，该漏洞源于没有验证用户上传的文件。攻击者利用该漏洞可以在服务器上上传任意文件。

目前厂商已发布升级补丁以修复漏洞，参考链接：

https://wpscan.com/vulnerability/4dc72cd2-81d7-4a66-86bd-c9cfaf690eed

2.  Google Chrome 缓冲区错误漏洞（CNNVD-202303-545）

Google Chrome是美国谷歌（Google）公司的一款Web浏览器。

Google Chrome 111.0.5563.64版本存在安全漏洞，该漏洞源于Metrics组件存在堆缓冲区溢出问题。远程攻击者利用该漏洞通过特制的HTML页面可造成堆损坏。

目前厂商已发布升级补丁以修复漏洞，参考链接：

https://chromereleases.googleblog.com/2023/03/stable-channel-update-for-desktop.html

3.  Apache Log4j 资源管理错误漏洞（CNNVD-202303-736）

Apache Log4j是美国阿帕奇（Apache）基金会的一款基于Java的开源日志记录工具。

Apache Log4j 1.x版本存在资源管理错误漏洞，该漏洞源于对特制的哈希图或哈希表进行处理时会耗尽虚拟机中可用的内存，并在反序列化对象时造成系统拒绝服务。

目前厂商已发布升级补丁以修复漏洞，参考链接：

https://lists.apache.org/thread/wkx6grrcjkh86crr49p4blc1v1nflj3t

二、漏洞平台推送情况

     本周CNNVD接收漏洞平台推送漏洞13366个。

序号	漏洞平台	漏洞总量
1	补天平台	9230
2	漏洞盒子	3004
3	360漏洞云	1132
推送总计		13366

三、接报漏洞情况

本周CNNVD接报漏洞274个，其中信息技术产品漏洞（通用型漏洞）155个，网络信息系统漏洞（事件型漏洞）119个。

表5 本周漏洞报送情况

序号	报送单位	漏洞总量
1	北京山石网科信息技术有限公司	43
2	内蒙古思沃科技有限公司	31
3	杭州海康威视数字技术股份有限公司	26
4	个人	20
5	博智安全科技股份有限公司	16
6	北京边界无限科技有限公司	14
7	北京五一嘉峪科技有限公司	13
8	中孚安全技术有限公司	13
9	北京赛博昆仑科技有限公司	8
10	北京信联数安科技有限公司	7
11	快页信息技术有限公司	6
12	上海安识网络科技有限公司	6
13	北京华云安信息技术有限公司	5
14	中国电信股份有限公司网络安全产品运营中心	5
15	北京永信至诚科技股份有限公司	4
16	北京中睿天下信息技术有限公司	4
17	广州竞远安全技术股份有限公司	4
18	上海斗象信息科技有限公司	4
19	北京安盟信息技术股份有限公司	3
20	北京中测安华科技有限公司	3
21	杭州美创科技股份有限公司	3
22	杭州中电安科现代科技有限公司	3
23	江苏金盾检测技术股份有限公司	3
24	北京奇虎科技有限公司	2
25	湖南匡安网络技术有限公司	2
26	内蒙古云科数据服务股份有限公司	2
27	上海谋乐网络科技有限公司	2
28	天津市兴先道科技有限公司	2
29	浙江大学307Lab	2
30	智网安云（武汉）信息技术有限公司	2
31	重庆都会信息科技有限公司	2
32	北京安天网络安全技术有限公司	1
33	北京启明星辰信息安全技术有限公司	1
34	北京神州绿盟科技有限公司	1
35	北京威努特技术有限公司	1
36	北京长亭科技有限公司	1
37	广东为辰信息科技有限公司	1
38	广州非凡信息安全技术有限公司	1
39	杭州默安科技有限公司	1
40	南京众智维信息科技有限公司	1
41	赛尔网络有限公司	1
42	三六零数字安全科技集团有限公司	1
43	西安四叶草信息技术有限公司	1
44	长春嘉诚信息技术股份有限公司	1
45	中国电信研究院北京攻防团队	1
报送总计		274

四、收录漏洞通报情况

     本周CNNVD收录漏洞通报122份。

序号	报送单位	通报总量
1	北京华云安信息技术有限公司	14
2	北京五一嘉峪科技有限公司	12
3	北京永信至诚科技股份有限公司	12
4	北京云科安信科技有限公司	10
5	安徽华云安科技有限公司	5
6	博智安全科技股份有限公司	5
7	南京禾盾信息科技有限公司	5
8	内蒙古信元网络安全技术股份有限公司	5
9	锐捷网络股份有限公司	5
10	上海斗象信息科技有限公司	5
11	深信服科技股份有限公司	5
12	中瑞创信息技术(北京)有限公司	5
13	新华三技术有限公司	4
14	国网湖北省电力有限公司电力科学研究院	3
15	北京奇虎科技有限公司	2
16	内蒙古御网科技有限责任公司	2
17	上海螣龙科技有限公司	2
18	长扬科技（北京）股份有限公司	2
19	智网安云（武汉）信息技术有限公司	2
20	北京安天网络安全技术有限公司	1
21	北京赛博昆仑科技有限公司	1
22	北京山石网科信息技术有限公司	1
23	北京时代新威信息技术有限公司	1
24	北京长亭科技有限公司	1
25	北京中睿天下信息技术有限公司	1
26	广州非凡信息安全技术有限公司	1
27	杭州安恒信息技术股份有限公司	1
28	杭州迪普科技股份有限公司	1
29	杭州美创科技股份有限公司	1
30	河南天祺信息安全技术有限公司	1
31	山东华软金盾软件股份有限公司	1
32	山东泽鹿安全技术有限公司	1
33	统信软件技术有限公司	1
34	亚信科技（成都）有限公司	1
35	中孚安全技术有限公司	1
36	中国电信股份有限公司网络安全产品运营中心	1
收录总计		122

热心网友1

楼主辛苦了，这周的数据挺详细的。漏洞总数508个，比之前有所上升，谷歌的漏洞占了将近15%，看来最近用Chrome和安卓设备的得留意一下更新。另外跨站脚本漏洞占比最高，搞网站开发的恐怕得多上点心。国内厂商联发科和紫光展锐也有不少漏洞，好在整体修复率74%左右，还算积极。那几个重要漏洞实例里，WordPress插件和Chrome的漏洞都是可以直接远程利用的，应该优先打补丁。Log4j又出新漏洞了，虽然危害等级高危，但好在已经有修复补丁。整体来看这周安全形势还是不能放松。