正文
2018年06月18
日-2018年06月24日
本周漏洞态势研判情况
本周信息安全漏洞威胁整体评价级别为
中。
国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞217个，其中高危漏洞69个、中危漏洞143个、低危漏洞5个。漏洞平均分值为6.19。本周收录的漏洞中，涉及0day漏洞75个（占35%），其中互联网上出现“POSCMS 'index'函数任意代码执行漏洞、Sensio Labs Symfony Web profiler跨站脚本漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数476个，与上周（477个）相比基本持平。
图1 CNVD收录漏洞近10周平均分值分布图
图2 CNVD 0day漏洞总数按周统计
本周漏洞事件处置情况
本周，CNVD向基础电信企业通报漏洞事件2起，向银行、证券、保险、能源等重要行业单位通报漏洞事件13起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件212起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件63起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件17起。
图3 CNVD各行业漏洞处置情况按周统计
图4 CNCERT各分中心处置情况按周统
图5 CNVD教育行业应急组织处置情况按周统计
此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：
四平市九州易通科技有限公司、微点佰慧(北京)信息安全技术有限公司、哈尔滨伟成科技有限公司、圆梦云科技有限公司、深圳市英威腾电气股份有限公司、小日子科技成都有限公司、温州市东坤科技有限公司、深圳市圆梦云科技有限公司、万户网络技术有限公司、北京费尔之盾科技有限公司、广东盈世计算机科技有限公司、长沙米拓信息技术有限公司、聊城市领胜网络科技有限公司、永中软件股份有限公司、济南爱程网络科技有限公司、政府采购招标网、中国粮油信息网、中国农产品专家网、中国图书网、中科宇图资源环境科学研究院、中粮营养健康研究院、时代互联香港站、数智团、信呼、和利时集团、phpmyadmin、PHPMyWind、SemCms、门吉利、中国化学会、IMA中国教育分会。
本周漏洞报送情况统计
本周报送情况如表1所示。其中，北京天融信网络安全技术有限公司、哈尔滨安天科技股份有限公司、新华三技术有限公司、华为技术有限公司、中国电信集团系统集成有限责任公司等单位报送公开收集的漏洞数量较多。南京联成科技发展股份有限公司、上海谋乐网络科技有限公司、福建六壬网安股份有限公司、四川虹微技术有限公司（子午攻防实验室）、山石网科通信技术有限公司、中新网络信息安全股份有限公司、山东云天安全技术有限公司、北京明朝万达科技股份有限公司（安元实验室）、安徽锋刃信息科技有限公司、新疆海狼科技有限公司、成都思维世纪科技有限公司、河南信安世纪科技有限公司、任子行网络技术股份有限公司、上海观安信息技术股份有限公司及其他个人白帽子向CNVD提交了476个以事件型漏洞为主的原创漏洞，其中包括360网神（补天平台）和漏洞盒子向CNVD共享的白帽子报送的315条原创漏洞信息。
表1 漏洞报送情况统计表
本周漏洞按类型和厂商统计
本周，CNVD收录了217个漏洞。其中应用程序漏洞149个，网络设备漏洞49个，WEB应用漏洞17个，安全产品漏洞2个。
表2 漏洞按影响类型统计表
图6 本周漏洞按影响类型分布
CNVD整理和发布的漏洞涉及Adobe、Foxit、Microsoft等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。
表3 漏洞产品涉及厂商分布统计表
本周行业漏洞收录情况
本周，CNVD收录了20个电信行业漏洞，3个移动互联网行业漏洞，3个工控行业漏洞（如下图所示）。其中，“MULTIPROG在处理LST文件存在缓冲区溢出漏洞、TP-LINK WAR302路由器存在命令执行漏洞、Cisco FXOS和NX-OS Software Fabric Services远程代码执行漏洞、Moxa EDR-810跨站请求伪造漏洞、Moxa EDR-810密码明文传输漏洞”的综合评级为“高危”。相关厂商已经发布了上述漏洞的修补程序，请参照CNVD相关行业漏洞库链接。
电信行业漏洞链接：http://telecom.cnvd.org.cn/
移动互联网行业漏洞链接：http://mi.cnvd.org.cn/
工控系统行业漏洞链接：
http://ics.cnvd.org.cn/
图7 电信行业漏洞统计
图8 移动互联网行业漏洞统
图9 工控行业漏洞统计
本周重要漏洞安全告警
本周，CNVD整理和发布以下重要安全漏洞信息。
1
、
Adobe产品安全漏洞
Adobe Acrobat是一套PDF文件编辑和转换工具，Adobe Reader一套PDF文档阅读软件。Adobe Flash Player是多媒体程序播放器。Adobe Photoshop，简称“PS”，是图像处理软件。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞泄露敏感信息，执行任意代码。
CNVD收录的相关漏洞包括：Adobe Photoshop越界内存写入漏洞、Adobe
Acrobat/Reader越界写入漏洞、Adobe Acrobat/Reader越界读取漏洞（CNVD-2018-11737）、Adobe Acrobat/Reader内存破坏漏洞（CNVD-2018-11792）、Adobe Acrobat/Reader类型混淆漏洞（CNVD-2018-11795）、Adobe Acrobat/Reader不可信指针解引用漏洞、Adobe ColdFusion不可信数据反序列化漏洞、Adobe Flash Player类型混淆漏洞（CNVD-2018-11803）。其中，除“Adobe Acrobat/Reader越界读取漏洞（CNVD-2018-11737）”外，其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11734
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11735
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11737
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11792
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11795
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11796
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11802
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11803
2、Foxit产品安全漏洞
Foxit Reader是一款PDF文档阅读器。Foxit PhantomPDF是一个商业版。本周，上述产品被披露存在远程代码执行漏洞，攻击者可利用漏洞执行任意代码。
CNVD收录的相关漏洞包括：Foxit Reader和PhantomPDF远程代码执行漏洞（CNVD-2018-11901、CNVD-2018-11902、CNVD-2018-11903、CNVD-2018-11904、CNVD-2018-11905、CNVD-2018-11906、CNVD-2018-11907、CNVD-2018-11908）。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11901
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11902
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11903
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11904
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11905
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11906
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11907
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11908
3、Mozilla产品安全漏洞
Mozilla Firefox是一款开源Web浏览器。Firefox ESR是Firefox的一个延长支持版本。Skia是其中的一个开放源码的2D图形库，能够提供可在各种硬件和软件平台上工作的常见API。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，绕过安全限制，执行任意代码或发起拒绝服务攻击。
CNVD收录的相关漏洞包括：Mozilla Firefox代码执行漏洞（CNVD-2018-11787、CNVD-2018-11789）、Mozilla Firefox安全绕过漏洞（CNVD-2018-11790）、Mozilla Firefox信息泄露漏洞（CNVD-2018-11924、CNVD-2018-11923）、Mozilla Firefox和Firefox ESR内存破坏漏洞（CNVD-2018-11925）、Mozilla Firefox ESR缓冲区溢出漏洞、Mozilla Firefox ESR Skia库内存破坏漏洞。其中，除“Mozilla Firefox信息泄露漏洞（CNVD-2018-11924、CNVD-2018-11923）”外，其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11787
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11789
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11790
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11924
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11923
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11925
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11927
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11928
4、Microsoft产品安全漏洞
Microsoft Edge是一款Web浏览器。Microsoft Internet Explorer是一款网页浏览器。本周，该产品被披露存在内存破坏漏洞，攻击者可利用漏洞执行任意代码，造成内存破坏。
CNVD收录的相关漏洞包括：Microsoft Edge内存破坏漏洞（CNVD-2018-11917、CNVD-2018-11918）、Microsoft Edge和ChakraCore内存破坏漏洞（CNVD-2018-11919、CNVD-2018-11920）、Microsoft Internet Explorer内存破坏漏洞（CNVD-2018-11932、CNVD-2018-11933、CNVD-2018-11936）、Microsoft Edge内存破坏漏洞（CNVD-2018-11935）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11917
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11918
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11919
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11920
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11932
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11933
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11936
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11935
5、
PvPGN Stats SQL注入漏洞
PvPGN Stats是一款基于PHP的支持网站与PvPGN游戏服务器集成的工具，它能够显示服务器状态、梯形图页面等。本周，PvPGN Stats被披露存在SQL注入漏洞，远程攻击者可借助GET参数’user’利用该漏洞获取PvPGN数据库的访问权限（包括：邮件、用户名和密码）。目前，厂商尚未发布漏洞修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11636
