CNVD漏洞周報2023年第42期-





首頁(yè) 産(chǎn)品與服務(wù) 解決方案 客戶案例 技(jì )術支持 合作(zuò)發展 關于美創 用(yòng)戶退出 合作(zuò)商(shāng)登錄 用(yòng)戶登錄 申請試用(yòng)

數據安(ān)全


數據庫保險箱數據安(ān)全分(fēn)類分(fēn)級平台數據安(ān)全綜合評估系統新(xīn)一代數據安(ān)全一體(tǐ)化平台
存儲域
數據庫加密諾亞防勒索
訪問域
數據庫防水壩數據庫防火牆數據庫安(ān)全審計動态脫敏
流動域
靜态脫敏數據水印 API安(ān)全醫(yī)療防統方
運行安(ān)全


新(xīn)一代災備一體(tǐ)化平台災備一鍵通數據庫運行安(ān)全管理(lǐ)平台
數據流動


數據流動平台靜态脫敏數據水印
安(ān)全運維服務(wù)



運維服務(wù)
數據庫運維服務(wù) 中(zhōng)間件運維服務(wù) 國(guó)産(chǎn)信創改造服務(wù) 駐場運維服務(wù) 供數服務(wù)
安(ān)全咨詢服務(wù)
數據出境安(ān)全治理(lǐ)服務(wù) 數據安(ān)全能(néng)力評估認證服務(wù) 數據安(ān)全風險評估服務(wù) 數據安(ān)全治理(lǐ)咨詢服務(wù) 數據分(fēn)類分(fēn)級咨詢服務(wù) 個人信息風險評估服務(wù) 數據安(ān)全檢查服務(wù)

行業解決方案政府解決方案金融解決方案醫(yī)療解決方案教育解決方案能(néng)源解決方案物(wù)流交通解決方案

售後服務(wù) 文(wén)檔中(zhōng)心年度培訓

渠道政策申請成為(wèi)合作(zuò)夥伴渠道專區(qū)

了解美創公(gōng)司介紹發展曆程企業文(wén)化權威認可(kě) 美創年刊
新(xīn)聞中(zhōng)心公(gōng)司動态行業資訊安(ān)全研究
加入我們
聯系我們産(chǎn)品咨詢與試用(yòng) 總部與分(fēn)支機構

公(gōng)司動态行業資訊安(ān)全研究

熱門閱讀

2025中(zhōng)國(guó)互聯網産(chǎn)業年會丨《中(zhōng)國(guó)互聯網産(chǎn)業綠色算力發展倡議》正式發布

2025-02-07

美創用(yòng)戶專訪 | 精(jīng)細化管理(lǐ)：醫(yī)療行業數據分(fēn)類分(fēn)級的策略與實踐

2025-01-10

容災演練雙月報｜美創助力某特大型通信基礎設施央企順利完成多(duō)個核心系統異地容災演練

2025-01-10

國(guó)家級｜美創、徐醫(yī)附院共建項目入選工(gōng)信部《2024年網絡安(ān)全技(jì )術應用(yòng)典型案例拟支持項目名(míng)單》

2024-12-20

全球數據跨境流動合作(zuò)倡議

2024-11-22

相關文(wén)章

每周安(ān)全速遞³³⁴ | Lynx勒索組織聲稱攻擊CI Scientific

2025-03-14

每周安(ān)全速遞³³³ LCRYX 勒索軟件再次針對 Windows 系統發起攻擊

2025-03-10

每周安(ān)全速遞³³² | 惡意軟件 Shadowpad 被用(yòng)于部署新(xīn)型勒索軟件

2025-02-28

每周安(ān)全速遞³³¹CISA和FBI聯合發布Ghost勒索軟件威脅報告

2025-02-21

每周安(ān)全速遞³³⁰|國(guó)際行動搗毀8Base勒索軟件團夥

2025-02-14

CNVD漏洞周報2023年第42期

發布時間：2023-10-24 閱讀次數： 1526 次

本周漏洞态勢研判情況

本周信息安(ān)全漏洞威脅整體(tǐ)評價級别為(wèi)中(zhōng)。

國(guó)家信息安(ān)全漏洞共享平台（以下簡稱CNVD）本周共收集、整理(lǐ)信息安(ān)全漏洞496個，其中(zhōng)高危漏洞192個、中(zhōng)危漏洞271個、低危漏洞33個。漏洞平均分(fēn)值為(wèi)6.17。本周收錄的漏洞中(zhōng)，涉及0day漏洞437個（占88%），其中(zhōng)互聯網上出現“Cisco IOS XE Software web UI權限提升漏洞、Netis N3Mv2緩沖區(qū)溢出漏洞”等零日代碼攻擊漏洞。本周CNVD接到的涉及黨政機關和企事業單位的漏洞總數11677個，與上周（19726個）環比減少41%。

圖1 CNVD收錄漏洞近10周平均分(fēn)值分(fēn)布圖

圖2 CNVD 0day漏洞總數按周統計

本周漏洞事件處置情況

本周，CNVD向銀行、保險、能(néng)源等重要行業單位通報漏洞事件32起，向基礎電(diàn)信企業通報漏洞事件11起，協調CNCERT各分(fēn)中(zhōng)心驗證和處置涉及地方重要部門漏洞事件1152起，協調教育行業應急組織驗證和處置高校科(kē)研院所系統漏洞事件156起，向國(guó)家上級信息安(ān)全協調機構上報涉及部委門戶、子站或直屬單位信息系統漏洞事件68起。

圖3 CNVD各行業漏洞處置情況按周統計

圖4 CNCERT各分(fēn)中(zhōng)心處置情況按周統計

圖5 CNVD教育行業應急組織處置情況按周統計

此外，CNVD通過已建立的聯系機制或涉事單位公(gōng)開聯系渠道向以下單位通報了其信息系統或軟硬件産(chǎn)品存在的漏洞，具(jù)體(tǐ)處置單位情況如下所示：

紫光軟件系統有(yǒu)限公(gōng)司、重慶中(zhōng)聯信息産(chǎn)業有(yǒu)限責任公(gōng)司、重慶國(guó)翰能(néng)源發展有(yǒu)限公(gōng)司、中(zhōng)銀金融科(kē)技(jì )有(yǒu)限公(gōng)司、中(zhōng)天城投集團物(wù)業管理(lǐ)有(yǒu)限公(gōng)司、中(zhōng)汽數據有(yǒu)限公(gōng)司、中(zhōng)國(guó)郵政速遞物(wù)流股份有(yǒu)限公(gōng)司、中(zhōng)版文(wén)化傳播有(yǒu)限公(gōng)司、智業軟件股份有(yǒu)限公(gōng)司、智業互聯（廈門）健康科(kē)技(jì )有(yǒu)限公(gōng)司、智互聯（深圳）科(kē)技(jì )有(yǒu)限公(gōng)司、鄭州市金水區(qū)恒友攝影軟件經營部、鄭州力通水務(wù)有(yǒu)限公(gōng)司、浙江宇視科(kē)技(jì )有(yǒu)限公(gōng)司、漳州市芗城帝興軟件開發有(yǒu)限公(gōng)司、雲内控科(kē)技(jì )有(yǒu)限公(gōng)司、雲南雲才人力資源咨詢有(yǒu)限公(gōng)司、友訊電(diàn)子設備（上海）有(yǒu)限公(gōng)司、用(yòng)友網絡科(kē)技(jì )股份有(yǒu)限公(gōng)司、盈富量化信息技(jì )術有(yǒu)限公(gōng)司、兄弟(dì)（中(zhōng)國(guó)）商(shāng)業有(yǒu)限公(gōng)司、西安(ān)衆邦網絡科(kē)技(jì )有(yǒu)限公(gōng)司、武漢微問網絡科(kē)技(jì )有(yǒu)限公(gōng)司、武漢天地偉業科(kē)技(jì )有(yǒu)限公(gōng)司、武漢今客軟件有(yǒu)限公(gōng)司、武漢富思特創新(xīn)信息技(jì )術有(yǒu)限公(gōng)司、無錫一族科(kē)技(jì )有(yǒu)限公(gōng)司、網件（北京）網絡技(jì )術有(yǒu)限公(gōng)司、萬興科(kē)技(jì )集團股份有(yǒu)限公(gōng)司、萬商(shāng)雲集（成都）科(kē)技(jì )股份有(yǒu)限公(gōng)司、外語教學(xué)與研究出版社有(yǒu)限責任公(gōng)司、同望科(kē)技(jì )股份有(yǒu)限公(gōng)司、同程網絡科(kē)技(jì )股份有(yǒu)限公(gōng)司、天聞數媒科(kē)技(jì )（北京）有(yǒu)限公(gōng)司、天地偉業技(jì )術有(yǒu)限公(gōng)司、天寶莅德(dé)電(diàn)子科(kē)技(jì )（上海）有(yǒu)限公(gōng)司北京分(fēn)公(gōng)司、太原易思軟件技(jì )術有(yǒu)限公(gōng)司、蘇州巨細信息科(kē)技(jì )有(yǒu)限公(gōng)司、四川迅睿雲軟件開發有(yǒu)限公(gōng)司、深圳銀澎雲計算有(yǒu)限公(gōng)司、深圳市知學(xué)雲科(kē)技(jì )有(yǒu)限公(gōng)司、深圳市通恒偉創科(kē)技(jì )有(yǒu)限公(gōng)司、深圳市思迅軟件股份有(yǒu)限公(gōng)司、深圳市敏捷智盛網絡有(yǒu)限公(gōng)司、深圳市美科(kē)星通信技(jì )術有(yǒu)限公(gōng)司、深圳市科(kē)榮軟件股份有(yǒu)限公(gōng)司、深圳市吉祥騰達科(kē)技(jì )有(yǒu)限公(gōng)司、深圳市國(guó)信合成科(kē)技(jì )有(yǒu)限公(gōng)司、深圳市道爾智控科(kē)技(jì )股份有(yǒu)限公(gōng)司、深圳市安(ān)盟信息科(kē)技(jì )有(yǒu)限公(gōng)司、深圳華視美達信息技(jì )術有(yǒu)限公(gōng)司、深信服科(kē)技(jì )股份有(yǒu)限公(gōng)司、申瓯通信設備有(yǒu)限公(gōng)司、上海裝(zhuāng)盟信息科(kē)技(jì )有(yǒu)限公(gōng)司、上海萬欣計算機信息科(kē)技(jì )有(yǒu)限公(gōng)司、上海樹維信息科(kē)技(jì )有(yǒu)限公(gōng)司、上海穆雲智能(néng)科(kē)技(jì )有(yǒu)限公(gōng)司、上海肯特儀表股份有(yǒu)限公(gōng)司、上海泛微網絡科(kē)技(jì )股份有(yǒu)限公(gōng)司、上海伯俊軟件科(kē)技(jì )有(yǒu)限公(gōng)司、上海愛數信息技(jì )術股份有(yǒu)限公(gōng)司、陝西小(xiǎo)夥伴網絡科(kē)技(jì )有(yǒu)限公(gōng)司、山(shān)東五征集團有(yǒu)限公(gōng)司、山(shān)東濰大軟件有(yǒu)限公(gōng)司、山(shān)東山(shān)大電(diàn)力技(jì )術股份有(yǒu)限公(gōng)司、廈門四信通信科(kē)技(jì )有(yǒu)限公(gōng)司、廈門科(kē)拓通訊技(jì )術股份有(yǒu)限公(gōng)司、潤申信息科(kē)技(jì )（上海）有(yǒu)限公(gōng)司、瑞納智能(néng)設備股份有(yǒu)限公(gōng)司、銳珂（上海）醫(yī)療器材有(yǒu)限公(gōng)司、青島聚城網絡科(kē)技(jì )有(yǒu)限公(gōng)司、普聯技(jì )術有(yǒu)限公(gōng)司、鵬為(wèi)軟件股份有(yǒu)限公(gōng)司、諾盾科(kē)技(jì )有(yǒu)限公(gōng)司、南甯邁世信息技(jì )術有(yǒu)限公(gōng)司、南京湧億思信息技(jì )術有(yǒu)限公(gōng)司、邁普通信技(jì )術股份有(yǒu)限公(gōng)司、臨沂科(kē)銳電(diàn)子有(yǒu)限公(gōng)司、理(lǐ)光（中(zhōng)國(guó)）投資有(yǒu)限公(gōng)司、樂山(shān)易通天下網絡科(kē)技(jì )有(yǒu)限公(gōng)司、廊坊市極緻網絡科(kē)技(jì )有(yǒu)限公(gōng)司、藍網科(kē)技(jì )股份有(yǒu)限公(gōng)司、江蘇綠港現代農業發展股份有(yǒu)限公(gōng)司、江蘇冠宇科(kē)技(jì )集團有(yǒu)限公(gōng)司、濟南沐陽信息技(jì )術有(yǒu)限公(gōng)司、吉翁電(diàn)子（深圳）有(yǒu)限公(gōng)司、淮南市銀泰軟件科(kē)技(jì )有(yǒu)限公(gōng)司、湖(hú)北點點點科(kē)技(jì )有(yǒu)限公(gōng)司、洪湖(hú)爾創網聯信息技(jì )術有(yǒu)限公(gōng)司、河南中(zhōng)翎工(gōng)程建設有(yǒu)限公(gōng)司、和宇健康科(kē)技(jì )股份有(yǒu)限公(gōng)司、杭州雄偉科(kē)技(jì )開發股份有(yǒu)限公(gōng)司、杭州先鋒電(diàn)子技(jì )術股份有(yǒu)限公(gōng)司、杭州叁體(tǐ)網絡科(kē)技(jì )有(yǒu)限公(gōng)司、杭州海康威視數字技(jì )術股份有(yǒu)限公(gōng)司、海南道仁網絡科(kē)技(jì )有(yǒu)限公(gōng)司、海口快推科(kē)技(jì )有(yǒu)限公(gōng)司、國(guó)交信息股份有(yǒu)限公(gōng)司、貴州永恒光科(kē)技(jì )有(yǒu)限公(gōng)司、廣州訊爾軟件科(kē)技(jì )有(yǒu)限公(gōng)司、廣州圖創計算機軟件開發有(yǒu)限公(gōng)司、廣州速盈信息科(kē)技(jì )有(yǒu)限公(gōng)司、廣州思邁特軟件有(yǒu)限公(gōng)司、廣州市天翎網絡科(kē)技(jì )有(yǒu)限公(gōng)司、廣州市歡雀科(kē)技(jì )有(yǒu)限公(gōng)司、廣州科(kē)稅信息科(kē)技(jì )有(yǒu)限公(gōng)司、廣州華的網絡科(kē)技(jì )有(yǒu)限公(gōng)司、廣州恒企教育科(kē)技(jì )有(yǒu)限公(gōng)司、廣州鼎甲計算機科(kē)技(jì )有(yǒu)限公(gōng)司、廣西青椰網絡科(kē)技(jì )有(yǒu)限公(gōng)司、廣聯達科(kē)技(jì )股份有(yǒu)限公(gōng)司、廣東飛企互聯科(kē)技(jì )股份有(yǒu)限公(gōng)司、福建銀達彙智信息科(kē)技(jì )股份有(yǒu)限公(gōng)司、東莞市智躍軟件科(kē)技(jì )有(yǒu)限公(gōng)司、鼎捷軟件股份有(yǒu)限公(gōng)司、大連金馬衡器有(yǒu)限公(gōng)司、大連富豪科(kē)技(jì )有(yǒu)限公(gōng)司、大華（集團）有(yǒu)限公(gōng)司、達索析統（上海）信息技(jì )術有(yǒu)限公(gōng)司、傳化上合（青島）國(guó)際經貿有(yǒu)限公(gōng)司、成都虛谷偉業科(kē)技(jì )有(yǒu)限公(gōng)司、成都天問互聯科(kē)技(jì )有(yǒu)限公(gōng)司、成都任我行軟件股份有(yǒu)限公(gōng)司、彩訊科(kē)技(jì )股份有(yǒu)限公(gōng)司、采采網絡技(jì )術有(yǒu)限公(gōng)司、北京中(zhōng)盈安(ān)信技(jì )術服務(wù)股份有(yǒu)限公(gōng)司、北京中(zhōng)科(kē)聚網信息技(jì )術有(yǒu)限公(gōng)司、北京緻遠(yuǎn)互聯軟件股份有(yǒu)限公(gōng)司、北京正影網絡科(kē)技(jì )有(yǒu)限公(gōng)司、北京澤元迅長(cháng)軟件有(yǒu)限公(gōng)司、北京億賽通科(kē)技(jì )發展有(yǒu)限責任公(gōng)司、北京星網銳捷網絡技(jì )術有(yǒu)限公(gōng)司、北京象新(xīn)力科(kē)技(jì )有(yǒu)限公(gōng)司、北京通達信科(kē)科(kē)技(jì )有(yǒu)限公(gōng)司、北京碩人時代科(kē)技(jì )股份有(yǒu)限公(gōng)司、北京啓明星辰信息安(ān)全技(jì )術有(yǒu)限公(gōng)司、北京派網軟件有(yǒu)限公(gōng)司、北京迷彩虎科(kē)技(jì )有(yǒu)限公(gōng)司、北京獵鷹安(ān)全科(kē)技(jì )有(yǒu)限公(gōng)司、北京久其軟件股份有(yǒu)限公(gōng)司、北京京東叁佰陸拾度電(diàn)子商(shāng)務(wù)有(yǒu)限公(gōng)司、北京金盤鵬圖軟件技(jì )術有(yǒu)限公(gōng)司、北京金和網絡股份有(yǒu)限公(gōng)司、北京飛書科(kē)技(jì )有(yǒu)限公(gōng)司、北京創新(xīn)樂知網絡技(jì )術有(yǒu)限公(gōng)司、北京北大方正電(diàn)子有(yǒu)限公(gōng)司、北京百卓網絡技(jì )術有(yǒu)限公(gōng)司、北京百度網訊科(kē)技(jì )有(yǒu)限公(gōng)司、北京安(ān)信立融科(kē)技(jì )股份有(yǒu)限公(gōng)司、奧丁創新(xīn)科(kē)技(jì )（吉林）有(yǒu)限公(gōng)司、安(ān)徽旭帆信息科(kē)技(jì )有(yǒu)限公(gōng)司和Sapido Technology Inc。

本周，CNVD發布了《Oracle發布2023年10月的安(ān)全公(gōng)告》。詳情參見CNVD網站公(gōng)告内容。

https://www.cnvd.org.cn/webinfo/show/9386

本周漏洞報送情況統計

本周報送情況如表1所示。其中(zhōng)，北京天融信網絡安(ān)全技(jì )術有(yǒu)限公(gōng)司、天津市國(guó)瑞數碼安(ān)全系統股份有(yǒu)限公(gōng)司、新(xīn)華三技(jì )術有(yǒu)限公(gōng)司、安(ān)天科(kē)技(jì )集團股份有(yǒu)限公(gōng)司、北京神州綠盟科(kē)技(jì )有(yǒu)限公(gōng)司等單位報送公(gōng)開收集的漏洞數量較多(duō)。亞信科(kē)技(jì )（成都）有(yǒu)限公(gōng)司、奇安(ān)星城網絡安(ān)全運營服務(wù)（長(cháng)沙）有(yǒu)限公(gōng)司、杭州美創科(kē)技(jì )有(yǒu)限公(gōng)司、聯想集團、快頁(yè)信息技(jì )術有(yǒu)限公(gōng)司、安(ān)徽鋒刃信息科(kē)技(jì )有(yǒu)限公(gōng)司、河南東方雲盾信息技(jì )術有(yǒu)限公(gōng)司、内蒙古洞明科(kē)技(jì )有(yǒu)限公(gōng)司、湖(hú)南泛聯新(xīn)安(ān)信息科(kē)技(jì )有(yǒu)限公(gōng)司、工(gōng)業和信息化部電(diàn)子第五研究所-數據治理(lǐ)服務(wù)中(zhōng)心、北京君雲天下科(kē)技(jì )有(yǒu)限公(gōng)司、星雲博創科(kē)技(jì )有(yǒu)限公(gōng)司、合肥梆梆信息科(kē)技(jì )有(yǒu)限公(gōng)司、賽爾網絡有(yǒu)限公(gōng)司、杭州默安(ān)科(kē)技(jì )有(yǒu)限公(gōng)司、江蘇天競雲合數據技(jì )術有(yǒu)限公(gōng)司、杭州飛緻雲信息科(kē)技(jì )有(yǒu)限公(gōng)司、河南悅海數安(ān)科(kē)技(jì )有(yǒu)限公(gōng)司、北京網禦星雲信息技(jì )術有(yǒu)限公(gōng)司、北京中(zhōng)關村實驗室、江西和爾惠信息技(jì )術有(yǒu)限公(gōng)司、江蘇晟晖信息科(kē)技(jì )有(yǒu)限公(gōng)司、杭州海康威視數字技(jì )術股份有(yǒu)限公(gōng)司、超聚變數字技(jì )術有(yǒu)限公(gōng)司、中(zhōng)國(guó)工(gōng)商(shāng)銀行、成都安(ān)美勤信息技(jì )術股份有(yǒu)限公(gōng)司、北京微步在線(xiàn)科(kē)技(jì )有(yǒu)限公(gōng)司、北京天防安(ān)全科(kē)技(jì )有(yǒu)限公(gōng)司、中(zhōng)孚安(ān)全技(jì )術有(yǒu)限公(gōng)司、北京華順信安(ān)信息技(jì )術有(yǒu)限公(gōng)司、浙江東安(ān)檢測技(jì )術有(yǒu)限公(gōng)司、南方電(diàn)網數字電(diàn)網集團信息通信科(kē)技(jì )有(yǒu)限公(gōng)司、彙安(ān)雲（山(shān)東）信息科(kē)技(jì )有(yǒu)限公(gōng)司、北京時代新(xīn)威信息技(jì )術有(yǒu)限公(gōng)司、中(zhōng)國(guó)電(diàn)信股份有(yǒu)限公(gōng)司上海研究院、上海直畫科(kē)技(jì )有(yǒu)限公(gōng)司、博智安(ān)全科(kē)技(jì )股份有(yǒu)限公(gōng)司、浙江中(zhōng)控技(jì )術股份有(yǒu)限公(gōng)司、國(guó)網信息通信産(chǎn)業集團有(yǒu)限公(gōng)司、成都天天網安(ān)信息安(ān)全技(jì )術有(yǒu)限公(gōng)司、上海億保健康科(kē)技(jì )集團有(yǒu)限公(gōng)司、河南靈創電(diàn)子科(kē)技(jì )有(yǒu)限公(gōng)司、山(shān)東新(xīn)潮信息技(jì )術有(yǒu)限公(gōng)司、北京遠(yuǎn)禾科(kē)技(jì )有(yǒu)限公(gōng)司、成都卓越華安(ān)信息技(jì )術服務(wù)有(yǒu)限公(gōng)司、廣州安(ān)億信軟件科(kē)技(jì )有(yǒu)限公(gōng)司、蘇州棱鏡七彩信息科(kē)技(jì )有(yǒu)限公(gōng)司及其他(tā)個人白帽子向CNVD提交了11677個以事件型漏洞為(wèi)主的原創漏洞，其中(zhōng)包括鬥象科(kē)技(jì )（漏洞盒子）、上海交大、三六零數字安(ān)全科(kē)技(jì )集團有(yǒu)限公(gōng)司和奇安(ān)信網神（補天平台）向CNVD共享的白帽子報送的8638條原創漏洞信息。

表1 漏洞報送情況統計表

本周漏洞按類型和廠商(shāng)統計

本周，CNVD收錄了496個漏洞。WEB應用(yòng)250個，應用(yòng)程序118個，網絡設備（交換機、路由器等網絡端設備）100個，安(ān)全産(chǎn)品12個，操作(zuò)系統7個，智能(néng)設備（物(wù)聯網終端設備）7個，數據庫2個。

表2 漏洞按影響類型統計表

圖6 本周漏洞按影響類型分(fēn)布

CNVD整理(lǐ)和發布的漏洞涉及D-Link、北京百卓網絡技(jì )術有(yǒu)限公(gōng)司、WordPress等多(duō)家廠商(shāng)的産(chǎn)品，部分(fēn)漏洞數量按廠商(shāng)統計如表3所示。

表3 漏洞産(chǎn)品涉及廠商(shāng)分(fēn)布統計表

本周行業漏洞收錄情況

本周，CNVD收錄了62個電(diàn)信行業漏洞，56個移動互聯網行業漏洞，3個工(gōng)控行業漏洞（如下圖所示）。其中(zhōng)，“Huawei HarmonyOS和EMUI類型混肴漏洞、Rockwell Automation FactoryTalk Linx輸入驗證錯誤漏洞”等漏洞的綜合評級為(wèi)“高危”。相關廠商(shāng)已經發布了漏洞的修補程序，請參照CNVD相關行業漏洞庫鏈接。

電(diàn)信行業漏洞鏈接：http://telecom.cnvd.org.cn/

移動互聯網行業漏洞鏈接：http://mi.cnvd.org.cn/

工(gōng)控系統行業漏洞鏈接：http://ics.cnvd.org.cn/

圖7 電(diàn)信行業漏洞統計

圖8 移動互聯網行業漏洞統計

圖9 工(gōng)控系統行業漏洞統計

本周重要漏洞安(ān)全告警

本周，CNVD整理(lǐ)和發布以下重要安(ān)全漏洞信息。

1、Microsoft産(chǎn)品安(ān)全漏洞

Microsoft Edge是美國(guó)微軟（Microsoft）公(gōng)司的一款Windows 10之後版本系統附帶的Web浏覽器。本周，上述産(chǎn)品被披露存在多(duō)個漏洞，攻擊者可(kě)利用(yòng)漏洞在系統上獲取更高的權限。

CNVD收錄的相關漏洞包括：Microsoft Edge權限提升漏洞（CNVD-2023-76758、CNVD-2023-76759、CNVD-2023-76760、CNVD-2023-76761、CNVD-2023-76762、CNVD-2023-76763、CNVD-2023-76764、CNVD-2023-76765）。其中(zhōng)，除“Microsoft Edge權限提升漏洞（CNVD-2023-76762、CNVD-2023-76763）”外其餘漏洞的綜合評級為(wèi)“高危”。目前，廠商(shāng)已經發布了上述漏洞的修補程序。CNVD提醒用(yòng)戶及時下載補丁更新(xīn)，避免引發漏洞相關的網絡安(ān)全事件。

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76758

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76759

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76760

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76761

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76762

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76763

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76764

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76765

2、IBM産(chǎn)品安(ān)全漏洞

IBM Aspera是美國(guó)國(guó)際商(shāng)業機器（IBM）公(gōng)司的一套基于IBM FASP協議構建的快速文(wén)件傳輸和流解決方案。本周，上述産(chǎn)品被披露存在多(duō)個漏洞，攻擊者可(kě)利用(yòng)漏洞使用(yòng)特制的XML輸入獲取敏感的憑據信息，導緻緩沖區(qū)溢出并在系統上執行任意代碼等。

CNVD收錄的相關漏洞包括：IBM Aspera Cargo and IBM Aspera Connect信息洩露漏洞、IBM Aspera Faspex信息洩露漏洞（CNVD-2023-76768、CNVD-2023-76766、CNVD-2023-76773）、IBM Aspera Faspex安(ān)全繞過漏洞、IBM Aspera Cargo and IBM Aspera Connect代碼執行漏洞（CNVD-2023-76772、CNVD-2023-76771）、IBM Aspera Connect and IBM Aspera Cargo緩沖區(qū)溢出漏洞。其中(zhōng)，“IBM Aspera Cargo and IBM Aspera Connect代碼執行漏洞（CNVD-2023-76772、CNVD-2023-76771）、IBM Aspera Connect and IBM Aspera Cargo緩沖區(qū)溢出漏洞”漏洞的綜合評級為(wèi)“高危”。目前，廠商(shāng)已經發布了上述漏洞的修補程序。CNVD提醒用(yòng)戶及時下載補丁更新(xīn)，避免引發漏洞相關的網絡安(ān)全事件。

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76769

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76768

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76767

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76766

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76773

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76772

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76771

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76770

3、Adobe産(chǎn)品安(ān)全漏洞

Adobe Photoshop是美國(guó)奧多(duō)比（Adobe）公(gōng)司的一套圖片處理(lǐ)軟件。該軟件主要用(yòng)于處理(lǐ)圖片。Adobe Bridge是一款功能(néng)強大的創意資源管理(lǐ)器，可(kě)讓用(yòng)戶快速輕松地預覽、組織、編輯和發布多(duō)個創意資源，編輯元數據，為(wèi)素材資源添加關鍵字、标簽和評分(fēn)。Adobe Bridge使用(yòng)集合組織資産(chǎn)，并使用(yòng)強大的過濾器和高級元數據搜索功能(néng)查找資産(chǎn)。Adobe Illustrator是一套基于向量的圖像制作(zuò)軟件。Adobe After Effects是一套視覺效果和動态圖形制作(zuò)軟件，該軟件主要用(yòng)于2D和3D合成、動畫制作(zuò)和視覺特效制作(zuò)等。Adobe InDesign是一套排版編輯應用(yòng)程序。本周，上述産(chǎn)品被披露存在多(duō)個漏洞，攻擊者可(kě)利用(yòng)漏洞繞過ASLR等緩解措施，導緻敏感内存洩露，導緻緩沖區(qū)溢出或堆溢出，在當前用(yòng)戶的上下文(wén)中(zhōng)執行任意代碼等。

CNVD收錄的相關漏洞包括：Adobe Photoshop緩沖區(qū)溢出漏洞（CNVD-2023-76927）、Adobe Bridge越界讀取漏洞（CNVD-2023-76928）、Adobe Illustrator緩沖區(qū)溢出漏洞（CNVD-2023-76932、CNVD-2023-76930、CNVD-2023-76935、CNVD-2023-76933）、Adobe After Effects越界讀取漏洞（CNVD-2023-76938）、Adobe InDesign緩沖區(qū)溢出漏洞（CNVD-2023-76940）。其中(zhōng)，除“Adobe Bridge越界讀取漏洞（CNVD-2023-76928）”外其餘漏洞的綜合評級為(wèi)“高危”。目前，廠商(shāng)已經發布了上述漏洞的修補程序。CNVD提醒用(yòng)戶及時下載補丁更新(xīn)，避免引發漏洞相關的網絡安(ān)全事件。

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76927

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76928

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76932

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76930

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76935

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76933

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76938

https://www.cnvd.org.cn/flaw/show/CNVD-2023-76940

4、DELL産(chǎn)品安(ān)全漏洞

Dell SmartFabric Storage Software是美國(guó)戴爾（Dell）公(gōng)司的一個獨立的存儲軟件解決方案。Dell Wyse Management Suite是一套用(yòng)于管理(lǐ)和優化Wyse端點的、可(kě)擴展的解決方案。該産(chǎn)品包括Wyse端點集中(zhōng)管理(lǐ)、資産(chǎn)追蹤和自動設備發現等功能(néng)。本周，上述産(chǎn)品被披露存在多(duō)個漏洞，攻擊者可(kě)利用(yòng)漏洞讀取寫入日志(zhì)文(wén)件的敏感信息，導緻未經授權的數據訪問，在系統上執行任意命令等。

CNVD收錄的相關漏洞包括：Dell SmartFabric storage software命令注入漏洞、Dell SmartFabric Storage Software輸入驗證錯誤漏洞、Dell SmartFabric Storage Software權限提升漏洞、Dell SmartFabric Storage Software路徑遍曆漏洞、Dell SmartFabric Storage Software訪問控制錯誤漏洞、Dell SmartFabric Storage Software操作(zuò)系統命令注入漏洞（CNVD-2023-77958、CNVD-2023-78231）、Dell Wyse Management Suite信息洩露漏洞。其中(zhōng)，“Dell SmartFabric storage software命令注入漏洞、Dell SmartFabric Storage Software權限提升漏洞、Dell SmartFabric Storage Software操作(zuò)系統命令注入漏洞”漏洞的綜合評級為(wèi)“高危”。目前，廠商(shāng)已經發布了上述漏洞的修補程序。CNVD提醒用(yòng)戶及時下載補丁更新(xīn)，避免引發漏洞相關的網絡安(ān)全事件。

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2023-77953

https://www.cnvd.org.cn/flaw/show/CNVD-2023-77954

https://www.cnvd.org.cn/flaw/show/CNVD-2023-77955

https://www.cnvd.org.cn/flaw/show/CNVD-2023-77956

https://www.cnvd.org.cn/flaw/show/CNVD-2023-77957

https://www.cnvd.org.cn/flaw/show/CNVD-2023-77958

https://www.cnvd.org.cn/flaw/show/CNVD-2023-78231

https://www.cnvd.org.cn/flaw/show/CNVD-2023-78233

5、D-Link DIR-806命令執行漏洞

D-Link DIR-806是中(zhōng)國(guó)友訊（D-Link）公(gōng)司的一款無線(xiàn)路由器。本周，D-Link DIR-806被披露存在命令執行漏洞。攻擊者可(kě)利用(yòng)該漏洞在系統上執行任意命令。目前，廠商(shāng)尚未發布上述漏洞的修補程序。CNVD提醒廣大用(yòng)戶随時關注廠商(shāng)主頁(yè)，以獲取最新(xīn)版本。

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2023-78314

小(xiǎo)結：本周，Microsoft産(chǎn)品被披露存在多(duō)個漏洞，攻擊者可(kě)利用(yòng)漏洞在系統上獲取更高的權限。此外，IBM、Adobe、Dell等多(duō)款産(chǎn)品被披露存在多(duō)個漏洞，攻擊者可(kě)利用(yòng)漏洞讀取寫入日志(zhì)文(wén)件的敏感信息，使用(yòng)特制的XML輸入獲取敏感的憑據信息，導緻緩沖區(qū)溢出或堆溢出，在當前用(yòng)戶的上下文(wén)中(zhōng)執行任意代碼等。另外，D-Link DIR-806被披露存在命令執行漏洞。攻擊者可(kě)利用(yòng)該漏洞在系統上執行任意命令。建議相關用(yòng)戶随時關注上述廠商(shāng)主頁(yè)，及時獲取修複補丁或解決方案。

本周重要漏洞攻擊驗證情況

本周，CNVD建議注意防範以下已公(gōng)開漏洞攻擊驗證情況。

1、Netis N3Mv2緩沖區(qū)溢出漏洞

驗證描述

Netis N3Mv2是一款路由器設備。

Netis N3Mv2存在緩沖區(qū)溢出漏洞，攻擊者可(kě)利用(yòng)該漏洞通過在hostName參數中(zhōng)發送特制請求，導緻拒絕服務(wù)。

驗證信息

POC鏈接：

https://github.com/adhikara13/CVE/blob/main/netis_N3/buffer%20overflow%20in%20hostname%20parameter%20leads%20to%20DOS.md

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2023-78310

信息提供者

新(xīn)華三技(jì )術有(yǒu)限公(gōng)司

注：以上驗證信息(方法)可(kě)能(néng)帶有(yǒu)攻擊性，僅供安(ān)全研究之用(yòng)。請廣大用(yòng)戶加強對漏洞的防範工(gōng)作(zuò)，盡快下載相關補丁。

關于CNVD

國(guó)家信息安(ān)全漏洞共享平台（China National Vulnerability Database，簡稱CNVD）是由CNCERT聯合國(guó)内重要信息系統單位、基礎電(diàn)信運營商(shāng)、網絡安(ān)全廠商(shāng)、軟件廠商(shāng)和互聯網企業建立的國(guó)家網絡安(ān)全漏洞庫，緻力于建立國(guó)家統一的信息安(ān)全漏洞收集、發布、驗證、分(fēn)析等應急處理(lǐ)體(tǐ)系。

關于CNCERT

國(guó)家計算機網絡應急技(jì )術處理(lǐ)協調中(zhōng)心（簡稱“國(guó)家互聯網應急中(zhōng)心”，英文(wén)簡稱是CNCERT或CNCERT/CC），成立于2002年9月，為(wèi)非政府非盈利的網絡安(ān)全技(jì )術中(zhōng)心，是我國(guó)計算機網絡應急處理(lǐ)體(tǐ)系中(zhōng)的牽頭單位。

作(zuò)為(wèi)國(guó)家級應急中(zhōng)心，CNCERT的主要職責是：按照“積極預防、及時發現、快速響應、力保恢複”的方針，開展互聯網網絡安(ān)全事件的預防、發現、預警和協調處置等工(gōng)作(zuò)，維護國(guó)家公(gōng)共互聯網安(ān)全，保障基礎信息網絡和重要信息系統的安(ān)全運行。