正文
2018年08月06
日-2018年08月12日
本周漏洞态势研判情况
本周信息安全漏洞威胁整体评价级别为
中。
国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞213个，其中高危漏洞66个、中危漏洞144个、低危漏洞3个。漏洞平均分值为6.27。本周收录的漏洞中，涉及0day漏洞63个（占30%），其中互联网上出现“Ericsson-LG iPECS NMS 30M目录遍历漏洞、Adobe Reader PDF本地请求注入漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数893个，与上周（534个）环比增长67%。
图1 CNVD收录漏洞近10周平均分值分布图
图2 CNVD 0day漏洞总数按周统计
本周漏洞事件处置情况
本周，CNVD向基础电信企业通报漏洞事件6起，向银行、证券、保险、能源等重要行业单位通报漏洞事件36起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件269起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件54起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件23起。
图3 CNVD各行业漏洞处置情况按周统计
图4 CNCERT各分中心处置情况按周统计
图5 CNVD教育行业应急组织处置情况按周统计
此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：
惠普贸易（上海）有限公司、山西关铝集团有限公司、宜兴市雨露传媒有限公司、浙江宇视科技有限公司、太原飞扬动力科技有限公司、江苏港城汽车运输集团有限公司、上海必智软件有限公司、科擎科技有限公司、上海亿速网络科技有限公司、宁波易龙计算机科技有限公司、佛山市顺德区出格软件设计有限公司、长沙翱云网络科技有限公司、浙江即商通电子商务有限公司、北京广易东方信息技术有限公司、聊城市领胜网络科技有限公司、上海卓卓网络科技有限公司、上海五五来客科技股份有限公司、中建二局第二建筑工程有限公司、麥斯科技有限公司、深圳市锟铻科技有限公司、北京玛格泰克科技发展有限公司、广州国微软件科技有限公司、上海吉祥航空股份有限公司、南京点墨网络科技有限公司、苏州托普斯网络科技有限公司、深圳市荣光信息有限公司、中国航发商用航空发动机有限责任公司、中铁十局集团建筑工程有限公司、惠普公司、斐讯数据通信技术有限公司、重庆圣特石油科技开发有限责任公司、微软(中国)有限公司、用友网络科技股份有限公司、长沙米拓信息技术有限公司、四川云百特科技有限公司、酷溜网（北京）科技有限公司、中国科学技术协会、宜软通网、大米CMS、八哥软件、UCMS、蓝科外贸网站、中国新闻传媒网、南昌蓝智科技、校无忧科技、中环工作室、中国政府采购招标网、TaoCMS、PHPMyWind、PbootCMS、国家水泥质量检验中心、兴化信网、中国交通建设网、中国科技论文网、北京和利时集团、海洋CMS、Harmonic, Inc.。
本周漏洞报送情况统计
本周报送情况如表1所示。其中，北京天融信网络安全技术有限公司、哈尔滨安天科技股份有限公司、新华三技术有限公司、华为技术有限公司、北京神州绿盟科技有限公司等单位报送公开收集的漏洞数量较多。山东云天安全技术有限公司、南京联成科技发展股份有限公司、中新网络信息安全股份有限公司、任子行网络技术股份有限公司、河南信安世纪科技有限公司、上海银基信息安全技术股份有限公司、新疆海狼科技有限公司、山石网科通信技术有限公司、河北网信智安信息技术有限公司、江苏省信息安全测评中心、福建六壬网安股份有限公司、上海纽盾科技股份有限公司及其他个人白帽子向CNVD提交了893个以事件型漏洞为主的原创漏洞，其中包括360网神（补天平台）和漏洞盒子向CNVD共享的白帽子报送的582条原创漏洞信息。
表1 漏洞报送情况统计表
本周漏洞按类型和厂商统计
本周，CNVD收录了213个漏洞。应用程序漏洞166个，网络设备漏洞19个，WEB应用漏洞17个，操作系统漏洞10个，数据库漏洞1个。
表2 漏洞按影响类型统计表
图6 本周漏洞按影响类型分布
CNVD整理和发布的漏洞涉及Foxit、Adobe、Apple等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。
表3 漏洞产品涉及厂商分布统计表
本周行业漏洞收录情况
本周，CNVD收录了2个电信行业漏洞，11个移动互联网行业漏洞（如下图所示）。其中，“Apple iOS Wi-Fi内存破坏漏洞、Apple iOS任意代码执行漏洞（CNVD-2018-14963）”的综合评级为“高危”。相关厂商已经发布了上述漏洞的修补程序，请参照CNVD相关行业漏洞库链接。
电信行业漏洞链接：http://telecom.cnvd.org.cn/
移动互联网行业漏洞链接：http://mi.cnvd.org.cn/
工控系统行业漏洞链接：http://ics.cnvd.org.cn/
图7 电信行业漏洞统计
图8 移动互联网行业漏洞统计
本周重要漏洞安全告警
本周，CNVD整理和发布以下重要安全漏洞信息。
1、Foxit产品安全漏洞
Foxit Reader（旧名：Foxit PDF Reader）是一套用来阅读PDF格式文件的软件。Foxit Reader是一套自由使用的软件，操作系统主要以Microsoft Windows为主，且只要有Win32执行环境的操作系统上皆可使用。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞执行任意代码。
CNVD收录的相关漏洞包括：Foxit Reader类型混淆远程代码执行漏洞（CNVD-2018-15068、CNVD-2018-15067、CNVD-2018-15070、CNVD-2018-15069、CNVD-2018-15071）、Foxit Reader任意文件写入远程代码执行漏洞（CNVD-2018-15093）、Foxit PDF Reader JavaScript引擎内存错误引用漏洞（CNVD-2018-15095、CNVD-2018-15096）。其中，“Foxit Reader任意文件写入远程代码执行漏洞（CNVD-2018-15093）、Foxit PDF Reader JavaScript引擎内存错误引用漏洞（CNVD-2018-15095、CNVD-2018-15096）”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-15068
http://www.cnvd.org.cn/flaw/show/CNVD-2018-15067
http://www.cnvd.org.cn/flaw/show/CNVD-2018-15070
http://www.cnvd.org.cn/flaw/show/CNVD-2018-15069
http://www.cnvd.org.cn/flaw/show/CNVD-2018-15071
http://www.cnvd.org.cn/flaw/show/CNVD-2018-15093
http://www.cnvd.org.cn/flaw/show/CNVD-2018-15095
http://www.cnvd.org.cn/flaw/show/CNVD-2018-15096
2、Adobe产品安全漏洞
Adobe Acrobat是一款PDF编辑软件。Adobe Reader(也被称为Acrobat Reader)是一款PDF文件阅读软件。本周，上述产品被披露存在越界写入漏洞，攻击者可利用漏洞执行任意代码。
CNVD收录的相关漏洞包括：Adobe Acrobat和Reader越界写入漏洞（CNVD-2018-14926、CNVD-2018-14927、CNVD-2018-14928、CNVD-2018-14929、CNVD-2018-14932、CNVD-2018-14930、CNVD-2018-14931、CNVD-2018-14933）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14926
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14927
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14928
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14929
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14932
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14930
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14931
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14933
3、Apple产品安全漏洞
Apple iOS是为移动设备所开发的一套操作系统。macOS是为Mac系列产品开发的专属操作系统。Apple Safari是一款Web浏览器，是Mac OS X和iOS操作系统附带的默认浏览器。Safari是其中的一个用于Safari浏览器的专用组件。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，执行任意代码或发起拒绝服务攻击。
CNVD收录的相关漏洞包括：Apple iOS Wi-Fi内存破坏漏洞、Apple Safari地址栏欺骗漏洞（CNVD-2018-14959）、Apple iOS拒绝服务漏洞（CNVD-2018-14961）、Apple macOS/OS X敏感信息泄露漏洞、Apple iOS任意代码执行漏洞（CNVD-2018-14963）、Apple macOS/OS X提权漏洞、Apple macOS/OS X敏感信息泄露漏洞（CNVD-2018-14965）、Apple iOS信息泄露漏洞（CNVD-2018-14968）。其中，“Apple iOS Wi-Fi内存破坏漏洞、Apple iOS任意代码执行漏洞（CNVD-2018-14963）、Apple macOS/OS X提权漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14957
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14959
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14961
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14960
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14963
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14964
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14965
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14968
4、Mozilla产品安全漏洞
Mozilla Firefox是一款开源Web浏览器，Firefox ESR是Firefox的一个延长支持版本。Thunderbird是从Mozilla Application Suite中独立出来的一套电子邮件客户端软件。本周，该产品被披露存在多个漏洞，攻击者可利用漏洞越边界读取内存数据，执行任意代码或发起拒绝服务攻击。
CNVD收录的相关漏洞包括：多款Mozilla产品内存破坏漏洞、多款Mozilla产品越界写入漏洞、多款Mozilla产品越边界读取漏洞（CNVD-2018-14973）、多款Mozilla产品缓冲区溢出漏洞（CNVD-2018-14974）、多款Mozilla产品内存错误引用漏洞（CNVD-2018-14971、CNVD-2018-14972）、Mozilla Firefox和Firefox ESR拒绝服务漏洞（CNVD-2018-14985）、Mozilla Firefox和Firefox ESR内存破坏漏洞（CNVD-2018-14986）。其中，除“多款Mozilla产品缓冲区溢出漏洞（CNVD-2018-14974）、Mozilla Firefox和Firefox ESR拒绝服务漏洞（CNVD-2018-14985）”外，其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14969
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14970
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14973
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14974
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14971
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14972
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14985
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14986
5、Samsung Syncthru Web Service跨站请求伪造漏洞
