本周信息安全漏洞威胁整体评价级别为高.
国家信息安全漏洞共享平台(以下简称CNVD)本周共收集、整理信息安全漏洞193个,其中高危漏洞82个、中危漏洞100个、低危漏洞11个.
漏洞平均分值为6.
5.
本周收录的漏洞中,涉及0day漏洞73个(占38%).
其中互联网上出现"NETGEARDGN2200任意命令执行漏洞、Joomlacom_news组件'id'参数SQL注入漏洞"等零日代码攻击漏洞.
此外,本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞超过1800个(不完全统计),与上周(347个)相比有数倍增长,主要是由于ApacheStruts2S2-045漏洞利用代码的出现,导致大量网站服务器面临攻击风险.
图1CNVD收录漏洞近10周平均分值分布图本周漏洞报送情况统计本周,共14家成员单位、合作伙伴及企业用户、个人用户报送了本周收录的全部193个漏洞.
报送情况如表1所示.
其中,蓝盾信息安全技术有限公司、安天实验室、天融信、华为技术有限公司、启明星辰等单位报送数量较多.
漏洞盒子、中新网络信息安国家信息安全漏洞共享平台(CNVD)信息安全漏洞周报2017年03月06日-2017年03月12日2017年第11期全股份有限公司及其他个人白帽子向CNVD提交了724个以事件型漏洞为主的原创漏洞(暂不包含CNVD前台白帽子和CNVD成员单位提交S2-045漏洞案例数据),其中漏洞及时与CNVD共享了涉及党政机关、高校等单位的S2-045漏洞风险信息.
报送单位或个人漏洞报送数量原创漏洞数量蓝盾信息安全技术有限公司1536安天实验室1180天融信1021华为技术有限公司900启明星辰875恒安嘉新690H3C470安全狗372绿盟科技310中国电信集团系统集成有限责任公司250杭州安恒信息技术有限公司200北京数字观星科技有限公司50深圳市深信服电子科技有限公司77南京铱迅信息技术股份有限公司11漏洞盒子647647中新网络信息安全股份有限公司11CNCERT江西分中心88CNCERT重庆分中心77CNCERT上海分中心11CNCERT宁夏分中心11CNCERT福建分中心11个人3636报送总计1494724录入总计193(去重)724表1漏洞报送情况统计表本周漏洞按类型和厂商统计本周,CNVD收录了200个漏洞.
其中应用程序漏洞92个,web应用漏洞58个,操作系统漏洞21个,网络设备漏洞19个,数据库漏洞3个.
漏洞影响对象类型漏洞数量应用程序漏洞92web应用漏洞58操作系统漏洞21网络设备漏洞19数据库漏洞3表3漏洞按影响类型统计表图2本周漏洞按影响类型分布CNVD整理和发布的漏洞涉及WordPress、IBM、Joomla等多家厂商的产品,部分漏洞数量按厂商统计如表3所示.
序号厂商(产品)漏洞数量所占比例1WordPress147%2IBM137%3Joomla116%4Apple105%5ytnef94%6Linux84%7IceniTechnology63%8北京联杰海天科技有限公司52%9D-Link42%10其他11360%表4漏洞产品涉及厂商分布统计表本周行业漏洞收录情况本周,CNVD收录了17个电信行业漏洞,7个移动互联网行业漏洞,1个工控系统行业漏洞(如下图所示).
其中,"多款D-Link产品栈缓冲区溢出漏洞、NETGEARDGN2200远程执行代码漏洞、RedLionControlsSixnet-ManagedIndustrialSwitches和Stride-ManagedEthernetSwitches硬编码加密密钥漏洞、NetCommWirelessWirelessRouter远程命令注入漏洞、AppleiOSWebSheet组件沙盒绕过漏洞"的综合评级为"高危".
相关厂商已经发布了上述漏洞的修补程序,请参照CNVD相关行业漏洞库链接.
电信行业漏洞链接:http://telecom.
cnvd.
org.
cn/移动互联网行业漏洞链接:http://mi.
cnvd.
org.
cn/工控系统行业漏洞链接:http://ics.
cnvd.
org.
cn/图3电信行业漏洞统计图4移动互联网行业漏洞统计图5工控系统行业漏洞统计本周重要漏洞安全告警本周,CNVD整理和发布以下重要安全漏洞信息.
1、ApacheStruts2存在S2-045远程代码执行漏洞ApacheStruts是一款用于创建企业级JavaWeb应用的开源框架.
本周,该产品被披露存在S2-045远程代码执行漏洞,攻击者可利用漏洞直接取得网站服务器控制权.
CNVD收录的相关漏洞包括:ApacheStruts2存在S2-045远程代码执行漏洞.
上述漏洞的综合评级为"高危".
目前,厂商已经发布了上述漏洞的修补程序.
CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件.
参考链接:http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-024742、Apple产品安全漏洞ApplemacOSSierra是美国苹果公司为Mac计算机所开发的一套专用操作系统.
AppleiOS是一套为移动设备所开发的操作系统.
watchOS是一套智能手表操作系统.
本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞获取敏感信息、进行跨站脚本攻击或执行任意代码等.
CNVD收录的相关漏洞包括:ApplemacOSSierralibxpc组件沙盒绕过漏洞、AppleiOSWebKit组件跨站脚本漏洞、AppleiOS/macOS拒绝服务漏洞、AppleiOSClipboard组件信息泄露漏洞、AppleiOSWebSheet组件沙盒绕过漏洞、ApplemacOS本地信息泄露漏洞、ApplemacOS任意代码执行漏洞(CNVD-2017-02450、CNVD-2017-02451).
其中,"AppleiOSWebSheet组件沙盒绕过漏洞、ApplemacOS任意代码执行漏洞(CNVD-2017-02450)"的综合评级为"高危".
目前,厂商已经发布了上述漏洞的修补程序.
CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件.
参考链接:http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-02507http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-02426http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-02438http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-02440http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-02439http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-02442http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-02450http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-024513、IBM产品安全漏洞IBMTivoliSystemAutomationforMultiplatforms是美国IBM公司的一套集群解决方案.
IBMContentNavigator是一款Web客户机,IBMWebSphereMQ是一款消息传递中间件产品.
IBMPowerKVM是一套开放式虚拟化解决方案.
IBMTivoliStorageManagerServer是一套存储管理软件解决方案.
IBMJazzforServiceManagement在整合服务管理和一些关键领域的第三方产品提供了增强的解决方案.
本周,上述产品被披露存在多个漏洞,攻击者可利用漏洞进行跨站脚本攻击、提升本地权限、执行任意代码或发起拒绝服务攻击等.
CNVD收录的相关漏洞包括:IBMTivoliSystemAutomationforMultiplatforms本地权限提升漏洞、IBMContentNavigator跨站脚本漏洞(CNVD-2017-02624)、IBMWebSphereMQ拒绝服务漏洞(CNVD-2017-02626、CNVD-2017-02480)、IBMPowerKVM命令执行漏洞、IBMTivoliStorageManagerServer缓冲区溢出漏洞、IBMWebSphereMQ数据转换拒绝服务漏洞、IBMJazzforServiceManagement跨站请求伪造漏洞.
其中,"IBMTivoliSystemAutomationforMultiplatforms本地权限提升漏洞、IBMPowerKVM命令执行漏洞、IBMTivoliStorageManagerServer缓冲区溢出漏洞"的综合评级为"高危".
目前,厂商已经发布了上述漏洞的修补程序.
CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件.
参考链接:http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-02623http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-02624http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-02626http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-02480http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-02598http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-02566http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-02506http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-025134、Linux产品安全漏洞Linuxkernel是美国Linux基金会发布的操作系统Linux所使用的内核.
本周,该产品被披露存在权限获取和拒绝服务漏洞,攻击者可利用漏洞执行任意代码.
CNVD收录的相关漏洞包括:Linuxkernel权限获取漏洞(CNVD-2017-02608)、Linuxkernel本地拒绝服务漏洞(CNVD-2017-02609、CNVD-2017-02605、CNVD-2017-02606、CNVD-2017-02607、CNVD-2017-02604、CNVD-2017-02602)、Linuxkernel拒绝服务漏洞(CNVD-2017-02483).
其中,"Linuxkernel权限获取漏洞(CNVD-2017-02608)、Linuxkernel本地拒绝服务漏洞(CNVD-2017-02606)"的综合评级为"高危".
目前,除"Linuxkernel本地拒绝服务漏洞(CNVD-2017-02606)"外,剩余漏洞已经发布了相应的修补程序.
CNVD提醒用户及时下载补丁更新,避免引发漏洞相关的网络安全事件.
参考链接:http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-02608http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-02609http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-02605http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-02606http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-02607http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-02604http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-02602http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-024835、多款D-LinkDGS-1510Websmart设备安全绕过漏洞D-LinkDGS-1510-28XMP是友讯(D-Link)公司的以太网交换机.
本周,D-Link被披露存在安全绕过漏洞,攻击者可利用该漏洞提交特殊的请求,进行未授权的命令执行.
目前,厂商尚未发布该漏洞的修补程序.
CNVD提醒广大用户随时关注厂商主页,以获取最新版本.
参考链接:http://www.
cnvd.
org.
cn/flaw/show/CNVD-2017-02485更多高危漏洞如表4所示,详细信息可根据CNVD编号,在CNVD官网进行查询.
参考链接:http://www.
cnvd.
org.
cn/flaw/list.
htmCNVD编号漏洞名称综合评级修复方式CNVD-201GeniXCMS安全绕过漏洞高用户可联系供应商获得补丁信息:7-02444https://github.
com/semplon/GeniXCMS/issues/70CNVD-2017-02450ApplemacOS任意代码执行漏洞(CNVD-2017-02450)高厂商已发布了漏洞修复程序,请及时关注更新:https://support.
apple.
com/en-us/HT207275CNVD-2017-02458PHPDEPViolation远程代码执行漏洞高厂商已发布了漏洞修复程序,请及时关注更新:et/ChangeLog-7.
phpCNVD-2017-02466IVPNClientforWindows权限提升漏洞高厂商已发布了漏洞修复程序,请及时关注更新:https://www.
ivpn.
net/setup/windows-changelog.
htmlCNVD-2017-02540IceniArgus内存破坏漏洞高用户可参考如下厂商提供的安全补丁以修复该漏洞:http://www.
iceni.
com/legacy.
htmCNVD-2017-02553rubyzipgemZip::File组件目录遍历漏洞高用户可参考如下厂商提供的安全补丁以修复该漏洞:https://github.
com/rubyzip/rubyzip/issues/315CNVD-2017-02563ytnef缓冲区溢出拒绝服务漏洞高厂商已发布了漏洞修复程序,请及时关注更新:https://github.
com/Yeraze/ytnef/pull/27CNVD-2017-02586WinPLC栈缓冲区溢出漏洞高厂商已发布了漏洞修复程序,请及时关注更新:http://www.
vipa.
com/CNVD-2017-02591NETGEARDGN2200远程执行代码漏洞高厂商已发布了漏洞修复程序,请及时关注更新:http://kb.
netgear.
com/CNVD-2017-02627多款D-Link产品栈缓冲区溢出漏洞高目前厂商已经发布了升级补丁以修复此安全问题,详情请关注厂商主页:http://www.
dlink.
com/表5部分重要高危漏洞列表小结:本周,ApacheStruts2被披露存在S2-045远程代码执行漏洞,攻击者可利用漏洞直接取得网站服务器控制权.
此外,Apple、IBM、Linux等多款产品被披露存在多个漏洞,攻击者利用漏洞可泄露敏感信息、进行跨站脚本攻击、执行任意代码或发起拒绝服务攻击等.
另外,D-Link被披露存在安全绕过漏洞,攻击者可利用该漏洞提交特殊的请求,进行未授权的命令执行.
建议相关用户随时关注上述厂商主页,及时获取修复补丁或解决方案.
本周漏洞要闻速递1.
大华科技11款摄像头产品被曝预留了后门,可远程获取管理员账户密码最近,中国浙江的一家安全摄像头/DVR制造商大华科技(DahuaTechnology)针对旗下的不少产品推送了固件升级补丁.
补丁据说是为了修复某些型号中的一个"严重漏洞".
但实际上,在这家公司发布补丁之前,就已经有安全专家爆料,这个所谓的"严重漏洞"实际上是厂商预留的一个后门.
大华已经在官网上公布了受漏洞影响的设备,包括下表中的11款设备,用户应该检查一下自己的设备型号是否在其列,并下载相应设备固件,完成更新.
参考链接:http://www.
freebuf.
com/news/128963.
html关于CNVD国家信息安全漏洞共享平台(ChinaNationalVulnerabilityDatabase,简称CNVD)是CNCERT联合国内重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的信息安全漏洞信息共享知识库,致力于建立国家统一的信息安全漏洞收集、发布、验证、分析等应急处理体系.
关于CNCERT国家计算机网络应急技术处理协调中心(简称"国家互联网应急中心",英文简称是CNCERT或CNCERT/CC),成立于2002年9月,为非政府非盈利的网络安全技术中心,是我国网络安全应急体系的核心协调机构.
作为国家级应急中心,CNCERT的主要职责是:按照"积极预防、及时发现、快速响应、力保恢复"的方针,开展互联网网络安全事件的预防、发现、预警和协调处置等工作,维护国家公共互联网安全,保障基础信息网络和重要信息系统的安全运行.
