正文
2018年07月23
日-2018年07月29日
本周漏洞态势研判情况
本周信息安全漏洞威胁整体评价级别为
中。
国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞214个，其中高危漏洞50个、中危漏洞158个、低危漏洞6个。漏洞平均分值为5.84。本周收录的漏洞中，涉及0day漏洞66个（占31%），其中互联网上出现“ZOHO ManageEngine ServiceDesk Plus用户权举漏洞、EMS Master Calendar跨站脚本漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数807个，与上周（566个）环比增长42%。
图1 CNVD收录漏洞近10周平均分值分布图
图2 CNVD 0day漏洞总数按周统计
本周漏洞事件处置情况
本周，CNVD向基础电信企业通报漏洞事件15起，向银行、证券、保险、能源等重要行业单位通报漏洞事件10起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件215起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件27起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件10起。
图3 CNVD各行业漏洞处置情况按周统计
图4 CNCERT各分中心处置情况按周统计
图5 CNVD教育行业应急组织处置情况按周统计
此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：
聊城亿鼎金属材料有限公司、深圳市万邦速达国际物流有限公司、安徽安科生物工程(集团)股份有限公司、北方勘察设计研究院有限公司、广船国际有限公司、哈尔滨伟成科技有限公司、灵吉网络科技有限公司、大唐财富投资管理有限公司、中铁建工集团诺德投资有限公司、聊城鑫润来钢管制造有限公司、江西钢盛贸易有限公司、天津市利达钢管集团有限公司、八达光电科技股份有限公司、广东省科源工程监理咨询公司、昆山优网信息科技有限公司、中铁二局贵阳驾驶培训有限公司、宿迁鑫潮信息技术限公司、中建三局第一建设工程有限责任公司、中粮集团有限公司、基强联行投资管理（中国）有限公司、中外运空运发展股份有限公司、杭州巴零科技有限公司、江苏鑫跃科技、深圳小微金融服务有限公司、宿迁鑫潮信息技术有限公司、北京一网天行科技有限公司、冠县冠美交通设施有限公司、中建二局第二建筑工程有限公司、中铁二十局集团第五工程有限公司、郑州路之易科技有限公司、青岛软媒网络科技有限公司、郑州路之易科技有限公司、长沙米拓信息技术有限公司、成都天睿信息技术有限公司、上海中城联盟投资管理股份有限公司、成都康菲顿特网络科技有限公司、校无忧科技、掌易科技、图联科技、金泰集团、天津镀锌角钢厂、中国国际青年旅舍、凤凰网财经、北京东方时尚驾校、康睿教育集团、京宽网络、互动营销、AppCMS、易优CMS、PCWAP、emlsoft、phpmywind、seacms、Gxlcms、凤凰网、中国知网、中国蚯蚓养殖企业联盟网、中国招标信息网、中国干燥设备网、中国机械工业联合会、中国中药协会、中华儿童文化艺术促进会语言艺术专业委员会、中国营养学会、中国显微镜学会、中国生化制药工业协会、中国人才研究会金融人才专业委员会、相变材料科技委员会。
本周漏洞报送情况统计
本周报送情况如表1所示。其中，北京天融信网络安全技术有限公司、哈尔滨安天科技股份有限公司、华为技术有限公司、中国电信集团系统集成有限责任公司、新华三技术有限公司等单位报送公开收集的漏洞数量较多。山东云天安全技术有限公司、南京联成科技发展股份有限公司、中新网络信息安全股份有限公司、河南信安世纪科技有限公司、任子行网络技术股份有限公司、河北盾安科技有限公司、新疆海狼科技有限公司、北京智游网安科技有限公司、山石网科通信技术有限公司、江苏君立华域信息安全技术有限公司、河北网信智安信息技术有限公司、上海银基信息安全技术股份有限公司、广州万方计算机科技有限公司、北京国舜科技股份有限公司、北京明朝万达科技股份有限公司（安元实验室）、安徽锋刃信息科技有限公司、国家互联网应急中心研究所，北京同余科技有限公司及其他个人白帽子向CNVD提交了807个以事件型漏洞为主的原创漏洞，其中包括360网神（补天平台）和漏洞盒子向CNVD共享的白帽子报送的481条原创漏洞信息。
表1 漏洞报送情况统计表
本周漏洞按类型和厂商统计
本周，CNVD收录了214个漏洞。其中应用程序漏洞144个，WEB应用漏洞41个，网络设备漏洞27个，操作系统漏洞1个，数据库漏洞1个。
表2 漏洞按影响类型统计表
图6 本周漏洞按影响类型分布
CNVD整理和发布的漏洞涉及Cisco、Foxit、IBM等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。
表3 漏洞产品涉及厂商分布统计表
本周行业漏洞收录情况
本周，CNVD收录了22个电信行业漏洞，4个移动互联网行业漏洞，4个工控行业漏洞（如下图所示）。其中，“多款Advantech产品堆缓冲区溢出漏洞、Cisco Nexus 9000 Series Fabric Switches DHCPv6功能拒绝服务漏洞、多款Advantech产品权限提升漏洞、Cisco SD-WAN Solution远程文件覆盖漏洞、Polaris Office任意代码执行漏洞”的综合评级为“高危”。相关厂商已经发布了上述漏洞的修补程序，请参照CNVD相关行业漏洞库链接。
电信行业漏洞链接：http://telecom.cnvd.org.cn/
移动互联网行业漏洞链接：http://mi.cnvd.org.cn/
工控系统行业漏洞链接：http://ics.cnvd.org.cn/
图7 电信行业漏洞统计
图8 移动互联网行业漏洞统计
图9 工控系统行业漏洞统计
本周重要漏洞安全告警
本周，CNVD整理和发布以下重要安全漏洞信息。
1、Cisco产品安全漏洞
Cisco vBond Orchestrator Software和vManage Network Management Software都是网络管理软件。Smart Controller Software是一套智能网络控制软件。SD-WAN Solution是运行在其中的一套网络扩展解决方案。vEdge 100 Series Routers是一款100系列的路由器产品。Cisco Nexus 9000 Series Fabric Switches是一款9000系列交换机产品。Cisco Webex Teams是一款团队协作应用程序。该程序包括视频会议、消息群发和文件共享等功能。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞执行任意代码或发起拒绝服务攻击。
CNVD收录的相关漏洞包括：Cisco SD-WAN Configuration and Management Database远程代码执行漏洞、Cisco SD-WAN Solution远程命令注入漏洞（CNVD-2018-14074、CNVD-2018-14079、CNVD-2018-14083）、Cisco SD-WAN Solution远程文件覆盖漏洞、Cisco SD-WAN Zero Touch Provisioning拒绝服务漏洞、Cisco Nexus 9000 Series Fabric Switches DHCPv6功能拒绝服务漏洞、Cisco Webex Teams远程代码执行漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14073
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14074
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14076
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14079
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14078
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14080
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14081
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14083
2、Foxit产品安全漏洞
Foxit Reader for Windows是一款基于Windows平台的PDF文档阅读器。本周，上述产品被披露存在内存错误引用、缓冲区溢出和远程代码执行漏洞，攻击者可利用执行任意代码。
CNVD收录的相关漏洞包括：Foxit Reader缓冲区溢出漏洞（CNVD-2018-13985）、Foxit Reader ExpaseFDF任意文件编写远程代码执行漏洞、Foxit Reader内存错误引用漏洞（CNVD-2018-14146、CNVD-2018-14147、CNVD-2018-14148、CNVD-2018-14149、CNVD-2018-14150、CNVD-2018-14151）。其中，“Foxit Reader缓冲区溢出漏洞（CNVD-2018-13985）、Foxit Reader ExpaseFDF任意文件编写远程代码执行漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13985
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14066
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14146
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14147
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14148
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14149
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14150
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14151
3、IBM产品安全漏洞
IBM InfoSphere Data Replication Dashboard是一套数据同步解决方案。IBM Sterling B2B Integrator是一套集成了重要的B2B流程、交易和关系的软件。IBM Sterling File Gateway是的一套文件传输软件。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，读取任意文件，注入任意的Web脚本或HTML。
CNVD收录的相关漏洞包括：IBM InfoSphere Data Replication Dashboard跨站脚本漏洞、IBM InfoSphere Data Replication Dashboard路径遍历漏洞、IBM InfoSphere Data Replication Dashboard SQL注入漏洞、IBM Sterling B2B Integrator信息泄露漏洞（CNVD-2018-14084、CNVD-2018-14085）、IBM Sterling File Gateway信息泄露漏洞（CNVD-2018-14087、CNVD-2018-14088、CNVD-2018-14094）。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13683
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13685
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13684
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14084
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14087
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14085
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14088
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14094
4、Mozilla产品安全漏洞
Mozilla Firefox是一款开源Web浏览器；Firefox ESR是Firefox的一个延长支持版本。Skia是其中的一个开放源码的2D图形库，能够提供可在各种硬件和软件平台上工作的常见API。Mozilla Thunderbird是、从Mozilla Application Suite独立出来的电子邮件客户端软件，支持IMAP、POP邮件协议以及HTML邮件格式。本周，该产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，执行任意代码或发起拒绝服务攻击。
CNVD收录的相关漏洞包括：Mozilla Thunderbird信息泄露漏洞（CNVD-2018-13663、CNVD-2018-13662、CNVD-2018-14109）、Mozilla Firefox代码执行漏洞（CNVD-2018-13863、CNVD-2018-13891）、Mozilla Firefox整数溢出漏洞（CNVD-2018-13885）、Mozilla Firefox越权漏洞、Mozilla Firefox信息泄露漏洞（CNVD-2018-13964）。其中，“Mozilla Firefox代码执行漏洞（CNVD-2018-13863、CNVD-2018-13891）、Mozilla Firefox越权漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13663
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13662
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13863
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13885
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13891
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13890
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13964
http://www.cnvd.org.cn/flaw/show/CNVD-2018-14109
