正文
2018年06月25
日-2018年07月01日
本周漏洞态势研判情况
本周信息安全漏洞威胁整体评价级别为
中。
国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞285个，其中高危漏洞107个、中危漏洞168个、低危漏洞10个。漏洞平均分值为6.25。本周收录的漏洞中，涉及0day漏洞54个（占19%），其中互联网上出现“TP-Link TL-WR841N v13认证命令注入漏洞、Joomla! com_regionalm Icta Regional Museum SQL注入漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数393个，与上周（476个）环比下降17%。
图1 CNVD收录漏洞近10周平均分值分布图
图2 CNVD 0day漏洞总数按周统计
本周漏洞事件处置情况
本周，CNVD向基础电信企业通报漏洞事件4起，向银行、证券、保险、能源等重要行业单位通报漏洞事件13起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件180起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件247起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件19起。
图3 CNVD各行业漏洞处置情况按周统
图4 CNCERT各分中心处置情况按周
图5 CNVD教育行业应急组织处置情况按周统计
此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：
博控电气有限公司、深圳市航力晟科技有限公司、大唐财富投资管理有限公司、南软科技发展有限公司、临沂市新网网络科技有限公司、北京沃丰时代数据科技有限公司、海南赞赞网络科技有限公司、上海思顶信息科技有限公司、深圳市英威腾电气股份有限公司、苏州科达科技股份有限公司、洪湖尔创网联信息技术有限公司、北京极科极客科技有限公司、国通集团、中国工控ABB中国客户服务中心、BEESCMS、中国医药保健品进出口商会、中国红十字会、生态养老产业委员会、财新网。
本周漏洞报送情况统计
本周报送情况如表1所示。其中，北京天融信网络安全技术有限公司、杭州安恒信息技术有限公司、哈尔滨安天科技股份有限公司、华为技术有限公司、北京神州绿盟科技有限公司等单位报送公开收集的漏洞数量较多。四川虹微技术有限公司（子午攻防实验室）、北京国舜科技股份有限公司、上海纽盾科技股份有限公司、济南三泽信息安全测评有限公司、河南信安世纪科技有限公司、山东云天安全技术有限公司、北京明朝万达科技股份有限公司（安元实验室）、任子行网络技术股份有限公司、安徽锋刃信息科技有限公司、北京智游网安科技有限公司、山石网科通信技术有限公司、成都思维世纪科技有限公司、江苏省信息安全测评中心、福建六壬网安股份有限公司及其他个人白帽子向CNVD提交了393个以事件型漏洞为主的原创漏洞，其中包括360网神（补天平台）和漏洞盒子向CNVD共享的白帽子报送的194条原创漏洞信息。
表1 漏洞报送情况统计表
本周漏洞按类型和厂商统计
本周，CNVD收录了285个漏洞。其中应用程序漏洞136个，操作系统漏洞52个，WEB应用漏洞48个，网络设备漏洞43个，安全产品漏洞6个。
表2 漏洞按影响类型统计表
图6 本周漏洞按影响类型分布
CNVD整理和发布的漏洞涉及Adobe、Cisco、ImageMagick等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。
表3 漏洞产品涉及厂商分布统计表
本周行业漏洞收录情况
本周，CNVD收录了23个电信行业漏洞，47个移动互联网行业漏洞，26个工控行业漏洞（如下图所示）。其中，“Rockwell Automation RSLinx Classic and FactoryTalk Linx Gateway权限提升漏洞、Delta Industrial Automation DOPSoft越界读取漏洞、多款Apple产品WebKit类型混淆漏洞、TP-Link TL-WR841N v13身份验证漏洞、多款Cisco产品NX-OS Software SNMP拒绝服务漏洞”的综合评级为“高危”。相关厂商已经发布了上述漏洞的修补程序，请参照CNVD相关行业漏洞库链接。
电信行业漏洞链接：http://telecom.cnvd.org.cn/
移动互联网行业漏洞链接：http://mi.cnvd.org.cn/
工控系统行业漏洞链接：http://ics.cnvd.org.cn/
图7 电信行业漏洞统计
图8 移动互联网行业漏洞
图9 工控行业漏洞统计
本周重要漏洞安全告警
本周，CNVD整理和发布以下重要安全漏洞信息。
1、Apple产品安全漏洞
Apple macOS High Sierra是为Mac计算机所开发的一套专用操作系统。Apple iOS是为移动设备所开发的一套操作系统；macOS HighSierra是一套专为Mac计算机所开发的专用操作系统；tvOS是一套智能电视操作系统；watchOS是一套智能手表操作系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞执行任意代码或发起拒绝服务攻击。
CNVD收录的相关漏洞包括：Apple macOSHigh Sierra任意代码执行漏洞（CNVD-2018-12162）、Apple macOS High Sierra内存破坏漏洞（CNVD-2018-12163、CNVD-2018-12164、CNVD-2018-12245）、多款apple产品拒绝服务漏洞（CNVD-2018-12165、CNVD-2018-12193、CNVD-2018-12194）、Apple macOSHigh Sierra NVIDIA Graphics驱动程序任意代码执行漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12162
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12163
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12164
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12245
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12165
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12193
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12194
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12255
2、Cisco产品安全漏洞
Cisco NX-OS Software是一套面向数据中心的操作系统。Cisco AcanoX-Series、Meeting Server 1000和Meeting Server 2000都是视频会议解决方案。Cisco Nexus2000 Series Switches是交换机设备。Cisco Firepower 4100 SeriesNext-Generation Firewalls是一款4100系列的防火墙设备。MDS 9000Series Multilayer Switches是一款交换机设备。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞提升权限，执行远程代码或发起拒绝服务攻击。
CNVD收录的相关漏洞包括：Cisco NX-OS任意命令执行漏洞、Cisco MeetingServer Web管理界面拒绝服务漏洞、多款Cisco产品NX-OS Software拒绝服务漏洞、多款Cisco产品NX-OS SoftwareNX-API management API权限提升漏洞、多款Cisco产品NX-OS Software缓冲区溢出漏洞、多款Cisco产品NX-OS Software任意命令执行漏洞、多款Cisco产品NX-OS SoftwareSNMP拒绝服务漏洞、多款Cisco产品拒绝服务漏洞（CNVD-2018-12392）。其中，除“Cisco NX-OS任意命令执行漏洞”外，其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11973
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12112
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12386
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12389
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12390
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12391
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12393
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12392
3、Google产品安全漏洞
Google Chrome是美国谷歌（Google）公司开发的一款Web浏览器。Android是美国谷歌（Google）公司和开放手持设备联盟（简称OHA）共同开发的一套以Linux为基础的开源操作系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，执行任意代码或发起拒绝服务攻击。
CNVD收录的相关漏洞包括：Google ChromeMedia Cache内存错误引用漏洞、Google Android WLAN缓冲区溢出漏洞（CNVD-2018-12402、CNVD-2018-12403）、Google AndroidSystem远程代码执行漏洞（CNVD-2018-12404、CNVD-2018-12406、CNVD-2018-12405）、Google AndroidSystem信息泄露漏洞（CNVD-2018-12407、CNVD-2018-12408）。其中，“Google ChromeMedia Cache内存错误引用漏洞、Google Android System远程代码执行漏洞（CNVD-2018-12404、CNVD-2018-12406、CNVD-2018-12405）”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11996
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12402
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12403
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12404
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12406
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12405
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12407
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12408
4、Mozilla产品安全漏洞
Mozilla Firefox是一款开源Web浏览器；Firefox ESR是Firefox的一个延长支持版本。Thunderbird是从MozillaApplication Suite中独立出来的一套电子邮件客户端软件。本周，该产品被披露存在多个漏洞，攻击者可利用漏洞破坏内存，执行任意代码或发起拒绝服务攻击。
CNVD收录的相关漏洞包括：MozillaFirefox、Firefox ESR和Thunderbird内存破坏漏洞（CNVD-2018-12100）、MozillaFirefox Skia内存破坏漏洞、Mozilla Firefox、Firefox ESR和Thunderbird内存破坏漏洞（CNVD-2018-12102）、MozillaFirefox内存破坏漏洞（CNVD-2018-12101）、Mozilla Firefox和Firefox ESR内存错误引用漏洞（CNVD-2018-12395）、MozillaFirefox和Firefox ESR整数溢出漏洞（CNVD-2018-12396）、MozillaFirefox和Firefox整数溢出漏洞（CNVD-2018-12397）、MozillaFirefox和Firefox ESR双重释放漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12100
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12099
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12102
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12101
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12395
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12396
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12397
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12398
5、
