2
0
2
4
年12
月
23
日
-
2
0
2
4
年12
月29
日
本
周
漏
洞
态
势
研
判
情
况
本
周
信
息
安
全
漏
洞
威
胁
整
体
评
价
级
别
为
中
。
国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞303个，其中高危漏洞167个、中危漏洞119个、低危漏洞17个。漏洞平均分值为6.80。本周收录的漏洞中，涉及0day漏洞214个（占71%），其中互联网上出现“TOTOLINK AC1200 setWizardCfg函数缓冲区溢出漏洞、 TOTOLINK AC1200 setWiFiRepeaterCfg方法password参数缓冲区溢出漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的漏洞总数29176个，与上周（36345个）环比减少20%。
图
1
C
N
V
D
收
录
漏
洞
近
1
0
周
平
均
分
值
分
布
图
图
2
C
N
V
D
0
d
a
y
漏
洞
总
数
按
周
统
计
本
周
漏
洞
事
件
处
置
情
况
本
周
，
CNVD向银行、保险、能源等重要行业单位通报漏洞事件6起，向基础电信企业通报漏洞事件2起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件654起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件53起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件23起。
图
3
C
N
V
D
各
行
业
漏
洞
处
置
情
况
按
周
统
计
图
4
C
N
C
E
R
T
各
分
中
心
处
置
情
况
按
周
统
计
图
5
C
N
V
D
教
育
行
业
应
急
组
织
处
置
情
况
按
周
统
计
此
外
，
C
N
V
D
通
过
已
建
立
的
联
系
机
制
或
涉
事
单
位
公
开
联
系
渠
道
向
以
下
单
位
通
报
了
其
信
息
系
统
或
软
硬
件
产
品
存
在
的
漏
洞
，
具
体
处
置
单
位
情
况
如
下
所
示
：
上海捷煜智能科技有限公司、青岛海信网络科技股份有限公司、上海鹰谷信息科技有限公司、深圳拓安信物联股份有限公司、北京九思协同软件有限公司、软联科技（湖北）有限公司、北京数影互联科技有限公司、麦克奥迪实业集团有限公司、深圳市吉祥腾达科技有限公司、荣耀终端有限公司、广东保伦电子股份有限公司、用友网络科技股份有限公司、上海上讯信息技术股份有限公司、苏州德启智能科技有限公司、畅捷通信息技术股份有限公司、腾讯安全应急响应中心、吉翁电子（深圳）有限公司、广西南宁有爱科技有限公司、厦门四信通信科技有限公司、申瓯通信设备有限公司、网是科技股份有限公司、浙江大华技术股份有限公司、北京小桔科技有限公司、杭州叙简科技股份有限公司、科亚医疗科技股份有限公司、北京中庆现代技术股份有限公司、友讯电子设备（上海）有限公司、北京神州数码云科信息技术有限公司、西安众邦网络科技有限公司、泛微网络科技股份有限公司、苏州欧信达信息科技有限公司、武汉天地伟业科技有限公司、深圳市网旭科技有限公司、南昌卓蓝科技有限公司、深圳市磊科实业有限公司、京宏业汇成科技有限公司、北京神州视翰科技有限公司、北京仁和汇智信息技术有限公司、广州赛意信息科技股份有限公司、贵阳思普信息技术有限公司、望海康信（北京）科技股份公司、杭州新视窗信息技术有限公司、广州华壹智能科技有限公司、安科瑞电气股份有限公司、厦门福龙诚信息科技有限公司、西安华谊云信息科技有限公司、北京和欣运达科技有限公司、华平信息技术股份有限公司、山东比特智能科技股份有限公司、中电科金仓（北京）科技股份有限公司、紫光股份有限公司、北京宝兰德软件股份有限公司、北京惠朗时代科技有限公司、北京金和网络股份有限公司、北京通达信科科技有限公司、北京亚控科技发展有限公司、大连华天软件有限公司、广联达科技股份有限公司、广州红帆科技有限公司、熵基科技股份有限公司、深圳市蓝凌软件股份有限公司、深圳市企企通科技有限公司和深圳市思迅软件股份有限公司
。
本
周
漏
洞
报
送
情
况
统
计
本
周
报
送
情
况
如
表
1
所
示
。
其中
，
北京启明星辰信息安全技术有限公司、北京数字观星科技有限公司、深信服科技股份有限公司、新华三技术有限公司、北京神州绿盟科技有限公司等单位报送公开收集的漏洞数量较多。北京纽盾网安信息技术有限公司、成都卫士通信息安全技术有限公司、江苏云天网络安全技术有限公司、北京山石网科信息技术有限公司、成都久信信息技术股份有限公司、淮安易云科技有限公司、北京时代新威信息技术有限公司、贵州多彩网安科技有限公司、江苏正信信息安全测试有限公司、北京翰慧投资咨询有限公司、北京天下信安技术有限公司、苏州棱镜七彩信息科技有限公司、北京安帝科技有限公司、博智安全科技股份有限公司、北京众安天下科技有限公司、北京远禾科技有限公司、福建省海峡信息技术有限公司、上海谋乐网络科技有限公司、北京安华金和科技有限公司、北京国信城研科学技术研究院、山东新潮信息技术有限公司、中电福富信息科技有限公司、江苏百达智慧网络科技有限公司（含光实验室）、中资网络信息安全科技有限公司、浙江大学控制科学与工程学院、山东正中信息技术股份有限公司、江苏锋刃信息科技有限公司、江苏保旺达软件技术有限公司、星云博创科技有限公司、哈尔滨理工大学信息安全与智能技术研究中心、中孚安全技术有限公司、北京微步在线科技有限公司、西安交大捷普网络科技有限公司、陕西青山四纪信息技术有限公司、御维网络安全技术有限公司、上海吨吨信息技术有限公司、信息产业信息安全测评中心、上海观安信息技术股份有限公司、湖南红点安全信息技术有限公司、河南东方云盾信息技术有限公司、湖北星野科技发展有限公司及其他个人白帽子向
CNVD
提交了
29176
个以事件型漏洞为主的原创漏洞，其中包括斗象科技（漏洞盒子）、三六零数字安全科技集团有限公司和上海交大向
CNVD
共享的白帽子报送的
28059
条原创漏洞信息
。
表
1
漏
洞
报
送
情
况
统
计
表
本
周
，
CNVD
收录了
303
个漏洞。
WEB
应用
178
个，应用程序
50
个，网络设备（交换机、路由器等网络端设备）
38
个，操作系统
18
个，安全产品
11
个，智能设备（物联网终端设备）
4
个，数据库
4
个
。
表
2
漏
洞
按
影
响
类
型
统
计
表
图
6
本
周
漏
洞
按
影
响
类
型
分
布
CNVD整理和发布的漏洞涉及
Adobe、用友网络科技股份有限公司、青岛东胜伟业软件有限公司等多家厂商的产
品，部分漏洞数量按厂商统计如表3所示。
表
3
漏
洞
产
品
涉
及
厂
商
分
布
统
计
表
本
周
行
业
漏
洞
收
录
情
况
本
周
，CNVD收录了19个电信行业漏洞，8个移动互联网行业漏洞，4个工控行业漏洞（如下图所示）。其中，“Google Android权限提升漏洞（CNVD-2024-49502）、Rockwell
Automation Power Monitor 1000设备接管漏洞”等漏洞的综合评级为“高危”
。相关厂商已经发布了漏洞的修补程序，请参照CNVD相关行业漏洞库链接。
电
信
行
业
漏
洞
链
接
：
h
t
t
p
:
/
/
t
e
l
e
c
o
m
.
c
n
v
d
.
o
r
g
.
c
n
/
移
动
互
联
网
行
业
漏
洞
链
接
：
h
t
t
p
:
/
/
m
i
.
c
n
v
d
.
o
r
g
.
c
n
/
工
控
系
统
行
业
漏
洞
链
接
：
h
t
t
p
:
/
/
i
c
s
.
c
n
v
d
.
o
r
g
.
c
n
/
图
7
电
信
行
业
漏
洞
统
计
图
8
移
动
互
联
网
行
业
漏
洞
统
计
图
9
工
控
系
统
行
业
漏
洞
统
计
本
周
重
要
漏
洞
安
全
告
警
本
周
，
C
N
V
D
整
理
和
发
布
以
下
重
要
安
全
漏
洞
信
息
。
1、
Adobe
产品安全漏洞
Adobe Animate是美国奥多比（Adobe）公司的一套Flash动画制作软件。Adobe Connect是美国奥多比（Adobe）公司的一个用于创建会议环境的软件。Adobe
InDesign是美国奥多比（Adobe）公司的一套排版编辑应用程序。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞在系统上执行任意代码，导致敏感内存泄露等
。
CNVD收录的相关漏洞包括：
Adobe Animate整数溢出或环绕漏洞、Adobe Animate越界写入漏洞（CNVD-2024-48896）、Adobe
Animate内存错误引用漏洞（CNVD-2024-48905）、Adobe
Connect跨站脚本漏洞（CNVD-2024-48907、CNVD-2024-48908）、Adobe InDesign堆栈缓冲区溢出漏洞、Adobe InDesign越界读取漏洞（CNVD-2024-48911、CNVD-2024-48912）。其中，“Adobe Animate整数溢出或环绕漏洞、Adobe Animate越界写入漏洞（CNVD-2024-48896）、Adobe
Animate内存错误引用漏洞（CNVD-2024-48905）、Adobe
InDesign堆栈缓冲区溢出漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件
。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2024-48897
https://www.cnvd.org.cn/flaw/show/CNVD-2024-48896
https://www.cnvd.org.cn/flaw/show/CNVD-2024-48905
https://www.cnvd.org.cn/flaw/show/CNVD-2024-48907
https://www.cnvd.org.cn/flaw/show/CNVD-2024-48909
https://www.cnvd.org.cn/flaw/show/CNVD-2024-48908
https://www.cnvd.org.cn/flaw/show/CNVD-2024-48911
https://www.cnvd.org.cn/flaw/show/CNVD-2024-48912
2、
Apache
产品安全漏洞
Apache Hive是美国阿帕奇（Apache）基金会的一套基于Hadoop（分布式系统基础架构）的数据仓库软件。该软件提供了一个数据集成方法和一种高级的查询语言，以支持在Hadoop上进行大规模数据分析。Apache
Tomcat是美国阿帕奇（Apache）基金会的一款轻量级Web应用服务器。用于实现对Servlet和JavaServer
Page（JSP）的支持。Apache CloudStack是美国阿帕奇（Apache）基金会的一套基础架构即服务（IaaS）云计算平台。该平台主要用于部署和管理大型虚拟机网络。Apache Kafka是美国阿帕奇（Apache）基金会的一套开源的分布式流媒体平台。该平台能够获取实时数据，用于构建对数据流的变化进行实时反应的应用程序。Apache Arrow是美国阿帕奇（Apache）基金会的一款用于内存数据处理的跨语言开发平台。该平台支持C、C++、C＃、Go和Java等编程语言，并提供进程间通信等功能。Apache
Solr是美国阿帕奇（Apache）基金会的一款基于Lucene（一款全文搜索引擎）的搜索服务器。该产品支持层面搜索、垂直搜索、高亮显示搜索结果等。Apache ZooKeeper是Apache软件基金会下一项集中式服务，用于维护配置信息、命名、提供分布式同步以及提供组服务。Apache Traffic Server是一个高性能的缓存代理服务器，用于加速 Web 应用和内容分发网络。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞通过ConfigProviders读取磁盘和环境变量中的任意内容，提升权限，导致远程代码执行等
。
CNVD收录的相关漏洞包括：
Apache Hive代码执行漏洞、Apache Tomcat资源管理问题漏洞（CNVD-2024-49151）、Apache
CloudStack输入验证错误漏洞（CNVD-2024-49156）、Apache
Kafka授权问题漏洞、Apache Arrow反序列化漏洞（CNVD-2024-49154）、Apache
Solr代码问题漏洞、Apache ZooKeeper身份验证绕过漏洞、Apache Traffic Server权限提升漏洞（CNVD-2024-49157）。其中，除“Apache Tomcat资源管理问题漏洞（CNVD-2024-49151）、Apache
Kafka授权问题漏洞”外，其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49152
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49151
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49156
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49155
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49154
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49159
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49158
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49157
3、
IBM
产品安全漏洞
IBM Db2是美国国际商业机器（IBM）公司的一套关系型数据库管理系统。该系统的执行环境主要有UNIX、Linux、IBMi、z/OS以及Windows服务器版本。IBM Carbon Design System是一套用于构建用户界面的设计系统。IBM InfoSphere Information Server是美国国际商业机器（IBM）公司的一套数据整合平台。该平台可用于整合各种渠道获取的数据信息。IBM Data Virtualization Manager是美国国际商业机器（IBM）公司的一个通用查询引擎，可跨数据库、数据仓库、数据湖和流数据执行分布式和虚拟化查询。IBM Cognos Controller是美国国际商业机器（IBM）公司的一套商业智能与计划解决方案。该产品具有流程自动化、财务审计控制、创建和管理财务报告等功能。IBM AIX是美国国际商业机器（IBM）公司的一款为IBM Power体系架构开发的一种基于开放标准的UNIX操作系统。IBM Security Verify
AccessAppliance是基于网络设备的安全解决方案
，
提供基于 Web 的威胁的访问控制和保护。IBM
Jazz Foundation是美国国际商业机器（IBM）公司的一个面向软件交付技术的下一代协作平台。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞在系统上执行任意命令，导致拒绝服务等。
CNVD收录的相关漏洞包括：
IBM Db2拒绝服务漏洞（CNVD-2024-49168）、IBM
Carbon Design System跨站脚本漏洞、IBM InfoSphere
Information Server输入验证错误漏洞（CNVD-2024-49166）、IBM Data Virtualization Manager代码执行漏洞、IBM Cognos Controller文件上传漏洞（CNVD-2024-49171）、IBM
AIX操作系统命令注入漏洞、IBM Security Verify Access Appliance硬编码漏洞、IBM Jazz Foundation跨站脚本漏洞（CNVD-2024-49173）。其中，“IBM Data Virtualization Manager代码执行漏洞、IBM Cognos Controller文件上传漏洞（CNVD-2024-49171）、IBM
Security Verify Access Appliance硬编码漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49168
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49167
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49166
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49172
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49171
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49169
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49174
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49173
4、
Google
产品安全漏洞
Google Android是美国谷歌（Google）公司的一套以Linux为基础的开源操作系统。Google Chrome是美国谷歌（Google）公司的一款Web浏览器。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞绕过安全限制，提升权限，获取敏感信息。
CNVD收录的相关漏洞包括：
Google Android信息泄露漏洞（CNVD-2024-49501、CNVD-2024-49505、CNVD-2024-49506、CNVD-2024-49507、CNVD-2024-49508）、Google
Android权限提升漏洞（CNVD-2024-49502、CNVD-2024-49503）、Google Chrome安全绕过漏洞（CNVD-2024-49509）。其中，“Google Android权限提升漏洞（CNVD-2024-49502）、Google
Chrome安全绕过漏洞（CNVD-2024-49509）”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49501
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49502
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49503
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49505
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49506
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49507
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49508
https://www.cnvd.org.cn/flaw/show/CNVD-2024-49509
5、
D-Link DAP-1513
