正文
2019年02月25
日-2019年03月03日
本周漏洞态势研判情况
本周信息安全漏洞威胁整体评价级别为中。
国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞379个，其中高危漏洞152个、中危漏洞190个、低危漏洞37个。漏洞平均分值为5.98。本周收录的漏洞中，涉及0day漏洞227个（占60%），其中互联网上出现“WordPress插件
Advanced Custom Field
s Pro SQL注入漏洞、Nokia 8810 4G设备KaiOS Gecko组件拒绝服务漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数1944个，与上周（2374个）环比下降18%。
图1 CNVD收录漏洞近10周平均分值分布图
图2 CNVD 0day漏洞总数按周统计
本周漏洞事件处置情况
本周，
CNVD向基础电信企业通报漏洞事件4起，向银行、保险、能源等重要行业单位通报漏洞事件14起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件526起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件108起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件21起。
图3 CNVD各行业漏洞处置情况按周统计
图4 CNCERT各分中心处置情况按周统计
图5 CNVD教育行业应急组织处置情况按周统计
此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：
同望科技股份有限公司、北京小米科技有限责任公司、济南爱程网络科技有限公司、常州市青之峰网络科技有限公司、北京金和网络股份有限公司、上海证大喜马拉雅网络科技有限公司、河南汉申网络科技有限公司、上海鹏达计算机系统开发有限公司、深圳市沃仕达科技有限公司、南充市老虎云网络技术有限公司、上海卓卓网络科技有限公司、重庆然宇网络科技有限公司、南京马普科技有限公司、深圳市信锐网科技术有限公司、镇江市云优网络科技有限公司、深圳市易智达信息技术有限公司、武汉达梦数据库有限公司、北京五指互联科技有限公司、广州南方卫星导航仪器有限公司、成都天睿信息技术有限公司、帝国软件、米酷资源网、国防工业出版社、WMCMS团队、SeaCMS、SchoolCMS、TechCandy和WebCzech。
本周漏洞报送情况统计
本周报送情况如表1所示。其中，哈尔滨安天科技集团股份有限公司、北京天融信网络安全技术有限公司、华为技术有限公司、北京数字观星科技有限公司、四川无声信息技术有限公司等单位报送公开收集的漏洞数量较多。国瑞数码零点实验室、中新网络信息安全股份有限公司、安徽锋刃信息科技有限公司、山东华鲁科技发展股份有限公司、北京圣博润高新技术股份有限公司、山东云天安全技术有限公司、河南信安世纪科技有限公司、山石网科通信技术股份有限公司、成都安美勤信息技术股份有限公司、江苏保旺达软件技术有限公司、江西安服信息产业有限公司、三门峡崤云安全服务有限公司、山东九州信泰信息科技股份有限公司、重庆市信息通信咨询设计院有限公司及其他个人白帽子向CNVD提交了1944个以事件型漏洞为主的原创漏洞，其中包括360网神（补天平台）和斗象科技（漏洞盒子）向CNVD共享的白帽子报送的1419条原创漏洞信息。
表1 漏洞报送情况统计表
本周漏洞按类型和厂商统计
本周，CNVD收录了379个漏洞。安全产品漏洞2个，应用程序漏洞196个，WEB应用漏洞137个，网络设备漏洞30个，操作系统漏洞13个，安全产品漏洞2个，数据库漏洞1个。
表2 漏洞按影响类型
图6 本周漏洞按影响类型分布
CNVD整理和发布的漏洞涉及WordPress、Adobe、Intel等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。
表3 漏洞产品涉及厂商分布统计表
本周行业漏洞收录情况
本周，CNVD收录了5个电信行业漏洞，26个移动互联网行业漏洞，5个工控行业漏洞（如下图所示）。其中，“Cisco Webex Meetings Desktop App和Cisco Webex Productivity Tools操作系统命令注入漏洞、Brocade Fabric OS权限提升漏洞（CNVD-2019-05926）、Cisco RV110W、RV130W和RV215W远程命令执行漏洞”漏洞的综合评级为“高危”。相关厂商已经发布了上述漏洞的修补程序，请参照CNVD相关行业漏洞库链接。
电信行业漏洞链接：http://telecom.cnvd.org.cn/
移动互联网行业漏洞链接：http://mi.cnvd.org.cn/
工控系统行业漏洞链接：http://ics.cnvd.org.cn/
图7 电信行业漏洞统计
图
8 移动互联网行业漏洞统计
图
9 工控系统行业漏洞统计
本周重要漏洞安全告警
本周，CNVD整理和发布以下重要安全漏洞信息。
1、Adobe产品安全漏洞
Adobe Acrobat是一套PDF文件编辑和转换工具，Adobe Reader是一套PDF文档阅读软件。本周，上述产品被披露存在缓冲区溢出漏洞，攻击者可利用漏洞执行任意代码（越界写入）。
CNVD收录的相关漏洞包括：Adobe Acrobat和Reader缓冲区溢出漏洞（CNVD-2019-05308、CNVD-2019-05316、CNVD-2019-05317、CNVD-2019-05318、CNVD-2019-05319、CNVD-2019-05321、CNVD-2019-05320、CNVD-2019-05322）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05308
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05316
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05317
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05318
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05319
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05321
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05320
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05322
2、Mozilla产品安全漏洞
Mozilla Firefox是一款开源Web浏览器。Firefox ESR是Firefox的一个延长支持版本。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞绕过沙盒，获取敏感信息，执行任意代码或造成拒绝服务等。
CNVD收录的相关漏洞包括：Mozilla Firefox和Firefox ESR内存破坏漏洞（CNVD-2019-05563）、Mozilla Firefox权限提升漏洞（CNVD-2019-05566）、Mozilla Firefox内存破坏漏洞（CNVD-2019-05564、CNVD-2019-05567、CNVD-2019-05568）、Mozilla Firefox内存错误引用漏洞（CNVD-2019-05569）、Mozilla Firefox信息泄露漏洞（CNVD-2019-05570）、Mozilla Firefox和Firefox ESR整数溢出漏洞（CNVD-2019-05571）。其中，除“Mozilla Firefox内存破坏漏洞（CNVD-2019-05568）、Mozilla Firefox信息泄露漏洞（CNVD-2019-05570）”外，其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05563
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05566
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05564
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05567
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05568
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05569
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05570
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05571
3、IBM产品安全漏洞
IBM Security Identity Governance and Intelligence（IGI）是一套身份治理解决方案。IBM Security Identity Manager是一套身份管理和治理解决方案。IBM Tivoli Storage Manager Operations Center是一套下一代简化备份管理解决方案。本周，上述产品被披露存在信息泄露漏洞，攻击者可利用漏洞在Web UI中注入任意的JavaScript代码，获取敏感信息等。
CNVD收录的相关漏洞包括：IBM Security Identity Governance and Intelligence信息泄露漏洞（CNVD-2019-05281、CNVD-2019-05282、CNVD-2019-05515、CNVD-2019-05557）、IBM Security Identity Governance Virtual Appliance跨站脚本漏洞、IBM Security Identity Manager代码注入漏洞、IBM Tivoli Storage Manager Operations Center跨站脚本漏洞（CNVD-2019-05656、CNVD-2019-05661）。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05281
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05282
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05515
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05516
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05557
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05561
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05656
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05661
4、rdesktop产品安全漏洞
rdesktop是一个用于连接到Windows远程桌面服务的开源UNIX客户端。本周，该产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，执行任意代码，发起拒绝服务攻击等。
CNVD收录的相关漏洞包括：rdesktop堆缓冲区溢出漏洞、rdesktop process_plane()函数堆缓冲区溢出漏洞、rdesktop整数溢出漏洞（CNVD-2019-05894、CNVD-2019-05895）、rdesktop process_secondary_order()函数越界读取漏洞、rdesktop rdpsnd_process_ping()函数越界读取漏洞、rdesktop堆缓冲区溢出漏洞（CNVD-2019-05896）、rdesktop越界读取漏洞。其中，除“rdesktop process_secondary_order()函数越界读取漏洞、rdesktop rdpsnd_process_ping()函数越界读取漏洞、rdesktop越界读取漏洞”外，其余漏洞的综合评级为“高危”。目前，厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页以获取最新版本。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05891
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05892
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05894
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05895
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05898
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05899
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05896
http://www.cnvd.org.cn/flaw/show/CNVD-2019-05897
5、Intel Data Center Manager SDK文件权限提升漏洞
