正文
2018年06月04
日-2018年06月10日
本周漏洞态势研判情况
本周信息安全漏洞威胁整体评价级别为
中。
国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞212个，其中高危漏洞70个、中危漏洞127个、低危漏洞15个。漏洞平均分值为6.07。本周收录的漏洞中，涉及0day漏洞59个（占29%），其中互联网上出现“Bitmain Antminer D3、L3+和S9代码执行漏洞、NUUO NVRmini 2任意文件上传漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数 630个，与上周（465个）环比增长35%。
图1 CNVD收录漏洞近10周平均分值分布图
图2 CNVD 0day漏洞总数按周统计
本周漏洞事件处置情况
本周，CNVD向基础电信企业通报漏洞事件5起，向银行、证券、保险、能源等重要行业单位通报漏洞事件17起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件264起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件62起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件18起。
图3 CNVD各行业漏洞处置情况按周统计
图4 CNCERT各分中心处置情况按周统计
图5 CNVD教育行业应急组织处置情况按周统计
此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：
桂林崇胜网络科技有限公司、科擎科技有限公司、镇江市云优网络科技有限公司、海南创想未来文化传媒有限公司、云迈电子商务有限公司、深圳市点当圈科技有限公司、深圳市凌盟科技有限公司、北京桔色基业电子商务有限公司、广州国微软件科技有限公司、广州市三今网络技术有限公司、深圳市德顺鑫商贸有限公司、深圳市万事富科技有限公司、郑州路之易科技有限公司、大连理工计算机控制工程有限公司、济南爱程网络科技有限公司、北京中海通科技有限公司、普联技术有限公司、梦想cms、SeaCMS、帝国软件、优客365、UQcms、江苏鑫跃科技、elasticsearch、性福社、中国医卫网。
本周漏洞报送情况统计
本周报送情况如表1所示。其中，华为技术有限公司、哈尔滨安天科技股份有限公司、北京天融信网络安全技术有限公司、新华三技术有限公司、恒安嘉新(北京)科技股份公司等单位报送公开收集的漏洞数量较多。中新网络信息安全股份有限公司、上海观安信息技术股份有限公司、四川虹微技术有限公司（子午攻防实验室）、南京联成科技发展股份有限公司、河南信安世纪科技有限公司、上海谋乐网络科技有限公司、北京同余科技有限公司、北京明朝万达科技股份有限公司（安元实验室）、中国科学院信息工程研究所、安徽锋刃信息科技有限公司、任子行网络技术股份有限公司及其他个人白帽子向CNVD提交了630个以事件型漏洞为主的原创漏洞，其中包括360网神（补天平台）和漏洞盒子向CNVD共享的白帽子报送的486条原创漏洞信息。
表1 漏洞报送情况统计表
本周漏洞按类型和厂商统计
本周，CNVD收录了212个漏洞。其中应用程序漏洞142个，WEB应用漏洞24个，网络设备漏洞22个，操作系统漏洞16个，安全产品漏洞8个。
表2 漏洞按影响类型统计表
图6 本周漏洞按影响类型分布
CNVD整理和发布的漏洞涉及Microsoft、Oracle、Adobe等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。
表3 漏洞产品涉及厂商分布统计表
本周行业漏洞收录情况
本周，CNVD收录了7个电信行业漏洞，6个移动互联网行业漏洞，4个工控行业漏洞（如下图所示）。其中，“GE MDS PulseNET and MDS PulseNET Enterprise远程代码执行漏洞、JCG-AC836捷稀路由器安卓客户端存在拒绝服务漏洞、JCG-AC836M捷稀路由器安卓客户端存在信息泄露漏洞”的综合评级为“高危”。相关厂商已经发布了上述漏洞的修补程序，请参照CNVD相关行业漏洞库链接。
电信行业漏洞链接：http://telecom.cnvd.org.cn/
移动互联网行业漏洞链接：http://mi.cnvd.org.cn/
工控系统行业漏洞链接：
http://ics.cnvd.org.cn/
图7 电信行业漏洞统计
图8 移动互联网行业漏洞统
图9 工控行业漏洞统计
本周重要漏洞安全告警
本周，CNVD整理和发布以下重要安全漏洞信息。
1
、
Microsoft
产品安全漏洞
Microsoft Office 2016 for Mac是美国微软（Microsoft）公司开发的一款基于Mac平台的办公软件套件产品。PowerPoint是Office套件中的一个文档演示工具。MicrosoftWindows是美国微软公司研发的一套操作系统，Windows采用了图形化模式GUI。MicrosoftSharePoint Enterprise Server 2013 SP1、SharePoint EnterpriseServer 2016和SharePoint Server 2010 SP2都是企业业务协作平台，用于对业务信息进行整合，并能够共享工作、与他人协同工作、组织项目和工作组、搜索人员和信息。Access是其中的一个数据库组件。本周，上述产品被披露存在权限提升和远程代码执行漏洞，攻击者可利用漏洞提升权限、执行任意代码。
CNVD收录的相关漏洞包括：MicrosoftPowerPoint远程代码执行漏洞（CNVD-2018-10942）、Microsoft Windows权限提升漏洞（CNVD-2018-10982）、MicrosoftWindows Win32k权限提升漏洞（CNVD-2018-10986、CNVD-2018-10987）、MicrosoftWindows远程代码执行漏洞（CNVD-2018-10992、CNVD-2018-11048）、MicrosoftSharePoint Server权限提升漏洞（CNVD-2018-11000）、MicrosoftWindows Image权限提升漏洞，上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-10942
http://www.cnvd.org.cn/flaw/show/CNVD-2018-10982
http://www.cnvd.org.cn/flaw/show/CNVD-2018-10986
http://www.cnvd.org.cn/flaw/show/CNVD-2018-10987
http://www.cnvd.org.cn/flaw/show/CNVD-2018-10992
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11048
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11000
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11047
2、Adobe产品安全漏洞
Adobe Acrobat和Reader都是美国奥多比（Adobe）公司的产品。前者是一套PDF文件编辑和转换工具，后者是一套PDF文档阅读软件。本周，上述产品被披露存在缓冲区溢出漏洞，攻击者可利用漏洞执行任意代码。
CNVD收录的相关漏洞包括：AdobeAcrobat/Reader堆溢出漏洞（CNVD-2018-10976、CNVD-2018-10977、CNVD-2018-10978）、AdobeAcrobat/Reader缓冲区溢出漏洞（CNVD-2018-10886、CNVD-2018-10996、CNVD-2018-10998、CNVD-2018-10997、CNVD-2018-10999）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-10976
http://www.cnvd.org.cn/flaw/show/CNVD-2018-10977
http://www.cnvd.org.cn/flaw/show/CNVD-2018-10978
http://www.cnvd.org.cn/flaw/show/CNVD-2018-10886
http://www.cnvd.org.cn/flaw/show/CNVD-2018-10996
http://www.cnvd.org.cn/flaw/show/CNVD-2018-10998
http://www.cnvd.org.cn/flaw/show/CNVD-2018-10997
http://www.cnvd.org.cn/flaw/show/CNVD-2018-10999
3、IBM产品安全漏洞
IBM API Connect（又名APIConnect）是美国IBM公司的一套用于管理API生命周期的集成解决方案。IBM BigFixPlatform是一款系统管理软件。IBM InfoSphere Information Server是市场领先的数据集成平台，其中包括一系列产品。IBM SAN VolumeController（SVC）是存储系统。IBM SVC是一套虚拟化存储系统；Storwize是一套专为中小型企业定制的磁盘存储系统；SpectrumVirtualize是一套光谱存储系统；FlashSystem是一套全闪存存储系统。本周，上述产品被披露存在信息泄露和权限提升漏洞，攻击者可利用漏洞获取敏感信息或提升权限。
CNVD收录的相关漏洞包括：IBM APIConnect信息泄露漏洞（CNVD-2018-10950）、IBM InfoSphereInformation Server权限提升漏洞、IBM BigFix Platform信息泄露漏洞（CNVD-2018-11073）、IBM InfoSphereInformation Server信息泄露漏洞（CNVD-2018-11080）、多款IBM产品信息泄露漏洞（CNVD-2018-11111、CNVD-2018-11110、CNVD-2018-11113、CNVD-2018-11112）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-10950
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11072
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11073
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11080
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11111
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11110
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11113
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11112
4、Oracle产品安全漏洞
Oracle Fusion Middleware（Oracle融合中间件）是美国甲骨文（Oracle）公司的一套面向企业和云环境的业务创新平台。该平台提供了中间件、软件集合等功能。OracleHospitality Applications是一套用于酒店管理的业务应用程序、服务器和存储解决方案。Oracle RetailApplications是一套零售应用商店解决方案。本周，该产品被披露存在拒绝服务和未授权操作漏洞，攻击者可利用漏洞未授权访问、更新、插入或删除数据或发起拒绝服务攻击。
CNVD收录的相关漏洞包括：Oracle FusionMiddleware Outside In Technology组件拒绝服务漏洞（CNVD-2018-10966、CNVD-2018-10969）、Oracle FusionMiddleware WebCenter Content组件未授权操作漏洞、Oracle Fusion MiddlewareData Visualization Desktop组件拒绝服务漏洞、Oracle HospitalityApplications Hospitality Suite8组件拒绝服务漏洞、Oracle RetailApplications Retail Integration Bus组件未授权操作漏洞、Oracle RetailApplications Retail Back Office组件未授权操作漏洞、Oracle RetailApplications Retail Point-of-Service组件未授权操作漏洞。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-10966
http://www.cnvd.org.cn/flaw/show/CNVD-2018-10969
http://www.cnvd.org.cn/flaw/show/CNVD-2018-10993
http://www.cnvd.org.cn/flaw/show/CNVD-2018-10994
http://www.cnvd.org.cn/flaw/show/CNVD-2018-10995
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11039
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11042
http://www.cnvd.org.cn/flaw/show/CNVD-2018-11041
5、
