第125期
（
2020.3.2
-2020.3.8）
本期轩辕攻防实验室共收集、整理信息安全漏洞1466个，其中高危漏洞1171个、中危漏洞202
个、低危漏洞93个，较上周相比较减少390个，同比降低21%。据统计发现sql注入
漏洞
是本期占比最大的漏洞。
图1 近7周漏洞数量分布图
根据监测结果，本期轩辕攻防实验室共整理漏洞
1466
个，
其中
电信与互联网行业476个、
其他行业431个、
医疗卫生行业172个、
教育行业118个、政府部门行业103个、商业平台行业87个、
工业制造行业31个、
交通行业9个
、
市政行业8个
、
新闻网站8个
、
环境保护行业6个、金融行业6个、
能源行业5个、
水利行业3个
、
广播电视行业3个
，分布统计图如下所示：
图2 行业类型数量统计
本期漏洞类型分布统计
本期
监测共有漏洞1466个，其中，漏洞数量位居首位的是
sql注入
漏洞占比46%
，漏洞数量位居第二的是
命令执行漏洞
占比24%
，位居第三的是
其他漏洞占比为9%
，这三种漏洞数量就占总数79
%，与上期相比较
，
sql注入漏洞
占比增加23
%
，发现命令执行
漏洞
数量占比增加17%
，
其他漏洞占比减少36%
；其他几种漏洞仅占总数的21%，这几种漏洞中，
xss跨站脚本攻击
漏洞占比8%、
敏感信息泄露漏洞占比7%、
设计缺陷/逻辑缺陷
漏洞
占比2%
、
任意文件遍历/下载漏洞占比1%、
未授权访问/权限绕过漏洞占比1%、后台弱口令漏洞占比1%、
CSRF跨站请求伪造漏洞占比1%。
本期
漏洞类型占比分布图如下：
图3 漏洞类型分布统计
经统计，
sql注入
漏洞在其他行业存在较为明显。同时
sql注入
漏洞
也是
本期
漏洞类型统计中占比最多的漏洞，广大用户应加强对
sql注入
漏洞
的防范。
其他
漏洞
在各行业分布统计图如下：
图4
其他漏洞行业分布统计
本期通用型漏洞按影响对象类型统计
WEB应用漏洞1202个
、操作系统漏洞224个
、应用程序漏洞161
、
网络设备漏洞81个、
数据库漏洞39个、
安全产品漏洞13个、智能设备漏洞10个、区块链漏洞1个
。
图5 漏洞影响对象类型统计图
二、本期通用型产品公告
1
、
Cisco
产品安全漏洞
Cisco FXOS Software是美国思科（Cisco）公司的一套运行在思科安全设备中的防火墙软件。Cisco IP Conference Phone 7832和Cisco IP Conference Phone 8832等都是IP电话系列产品。Supervisor是一套适用于类Unix系统的过程控制系统。Cisco NX-OS Software是一套交换机使用的数据中心级操作系统软件。Cisco MDS 9000 Series Multilayer Switches是一款MDS 9000系列多层交换机。Cisco Prime Network Registrar（CPNR）是一款网络注册器产品。Cisco Intelligent Proximity是一项创新功能集，可让您通过移动设备实现更丰富的协作体验。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞执行任意代码，导致拒绝服务等。
收录的相关漏洞包括：Cisco IP Phone远程代码执行漏洞、Cisco FXOS Software和Cisco UCS Manager Software操作系统命令注入漏洞、Cisco Nexus 1000V Switch for VMware vSphere资源管理错误漏洞、Cisco FXOS Software和Cisco UCS Manager操作系统命令注入漏洞、Cisco NX-OS Software和Cisco FXOS Software输入验证错误漏洞（CNVD-2020-14813）、Cisco MDS 9000 Series Multilayer Switches NX-OS Software拒绝服务漏洞、Cisco Prime Network Registrar跨站请求伪造漏洞、Cisco Intelligent Proximity SSL证书验证漏洞。其中，除“Cisco FXOS Software和Cisco UCS Manager Software操作系统命令注入漏洞、Cisco FXOS Software和Cisco UCS Manager操作系统命令注入漏洞”外，其余漏洞的综合评级为“高危”目前，厂商已经发布了上述漏洞的修补程序。提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200205-voip-phones-rce-dos
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200226-fxos-ucs-cmdinj
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200226-nexus-1000v-dos
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200226-fxos-ucs-cli-cmdinj
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200226-fxos-nxos-cdp
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200226-fxos-nxos-cdp
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cpnr-csrf-WWTrDkyL
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-proximity-ssl-cert-gBBu3RB
2
、
Apple
产品安全漏洞
Apple iOS是为移动设备所开发的一套操作系统。Apple iPadOS是一套用于iPad平板电脑的操作系统。Apple tvOS是一套智能电视操作系统。Apple watchOS是一套智能手表操作系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞提升权限，执行任意代码，导致堆损坏。
收录的相关漏洞包括：多款Apple产品Kernel组件内存破坏漏洞（CNVD-2020-15285、CNVD-2020-15286、CNVD-2020-15570）、多款Apple产品Kernel组件竞态条件漏洞、多款Apple产品libxpc组件越界读取漏洞（CNVD-2020-15293）、多款Apple产品Kernel组件类型混淆漏洞（CNVD-2020-15564）、多款Apple产品libxpc组件内存破坏漏洞（CNVD-2020-15565）、多款Apple产品内存破坏漏洞（CNVD-2020-15566）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://support.apple.com/zh-cn/HT210918
https://support.apple.com/zh-cn/HT210918
https://support.apple.com/zh-cn/HT210918
https://support.apple.com/zh-cn/HT210921
https://support.apple.com/zh-cn/HT210921
https://support.apple.com/zh-cn/HT210921
https://support.apple.com/zh-cn/HT210918
https://support.apple.com/zh-cn/HT210921
3
、
GitLab
产品安全漏洞
GitLab是美国GitLab公司的一款使用Ruby on Rails开发的、自托管的、Git（版本控制系统）项目仓库应用程序。该程序可用于查阅项目的文件内容、提交历史、Bug列表等。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，更改或删除其对该问题的评论等。
收录的相关漏洞包括：GitLab访问控制错误漏洞（CNVD-2020-15299、CNVD-2020-15494）、GitLab信息泄露漏洞（CNVD-2020-15300、CNVD-2020-15485、CNVD-2020-15488、CNVD-2020-15490、CNVD-2020-15492）、GitLab日志信息泄露漏洞。目前，厂商已经发布了上述漏洞的修补程序。提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://about.gitlab.com/2019/01/31/security-release-gitlab-11-dot-7-dot-3-released/
https://about.gitlab.com/2019/01/31/security-release-gitlab-11-dot-7-dot-3-released/
https://about.gitlab.com/blog/2019/10/30/security-release-gitlab-12-dot-4-dot-1-released/
https://about.gitlab.com/blog/2019/10/30/security-release-gitlab-12-dot-4-dot-1-released/
https://about.gitlab.com/blog/2019/10/30/security-release-gitlab-12-dot-4-dot-1-released/
https://about.gitlab.com/2019/07/29/security-release-gitlab-12-dot-1-dot-2-released/
https://about.gitlab.com/2018/11/28/security-release-gitlab-11-dot-5-dot-1-released/
https://about.gitlab.com/2018/11/28/security-release-gitlab-11-dot-5-dot-1-released/
4
、
Dell
产品安全漏洞
DELL EMC Isilon是美国戴尔（Dell）公司的一套适用于非结构化数据的横向扩展存储系统。OneFS是运行在其中的一套操作系统。Dell EMC iDRAC9是一套包含硬件和软件的系统管理解决方案。Dell EMC iDRAC7是一套包含硬件和软件的系统管理解决方案。Dell EMC iDRAC8是一套包含硬件和软件的系统管理解决方案。Dell KACE部署设备可实现完全集成的系统配置解决方案。Dell EMC OpenManage Server Administrator（OMSA）是一套系统管理解决方案。Dell G3 3579是一款笔记本电脑。ChengMing 3977是一款台式计算机。Embedded Box PC 5000是一款嵌入式箱式电脑。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞提升权限，获取敏感信息，执行任意代码等。
收录的相关漏洞包括：Dell EMC Isilon OneFS授权问题漏洞、Dell EMC iDRAC7、iDRAC8和iDRAC9授权问题漏洞 、Dell KACE Systems Management Appliance (K1000)代码执行漏洞、Dell EMC OpenManage Server Administrator web参数篡改漏洞、Dell EMC OpenManage Server Administrator XML外部实体（XXE）注入漏洞、多款Dell产品访问控制错误漏洞、Dell EMC iDRAC7、iDRAC8和iDRAC9权限许可和访问控制漏洞、Dell EMC iDRAC7和iDRAC8错误处理漏洞漏洞。其中，“Dell EMC Isilon OneFS授权问题漏洞、Dell KACE Systems Management Appliance (K1000)代码执行漏洞、多款Dell产品访问控制错误漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.dell.com/support/security/zh-cn/details/540708/DSA-2020-018-Dell-EMC-Isilon-OneFS-Security-Update-for-Improper-Authorization-Vulnerability
https://www.dell.com/support/article/cn/zh/cnbsd1/sln319317/dsa-2019-137-idrac-improper-authorization-vulnerability?lang=en
