正文
2018年07月09
日-2018年07月15日
本周漏洞态势研判情况
本周信息安全漏洞威胁整体评价级别为
中。
国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞257个，其中高危漏洞76个、中危漏洞176个、低危漏洞5个。漏洞平均分值为5.92。本周收录的漏洞中，涉及0day漏洞101个（占39%），其中互联网上出现“Dicoogle PACS文件包含漏洞、WordPress file-away插件文件泄露漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数456个，与上周（283个）环比增长61%。
图1 CNVD收录漏洞近10周平均分值分布图
图2 CNVD 0day漏洞总数按周统计
本周漏洞事件处置情况
本周，CNVD向基础电信企业通报漏洞事件4起，向银行、证券、保险、能源等重要行业单位通报漏洞事件26起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件145起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件15起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件10起。
图3 CNVD各行业漏洞处置情况按周统计
图4 CNCERT各分中心处置情况按周统
图5 CNVD教育行业应急组织处置情况按周统计
此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：
河南翔腾通用航空科技有限公司、湖南强智科技发展有限公司、维科控股集团股份有限公司、聊城市领胜网络科技有限公司、哈尔滨伟成科技有限公司、台安科技(无锡)有限公司、天津市企商汇创科技有限公司、北京通达信科科技有限公司、长沙翱云网络科技有限公司、昌蓝智科技有限公司、台安科技(无锡)有限公司 、青岛易软天创网络科技有限公司、中软国际有限公司、广西玉柴重工有限公司、山东安在信息技术有限公司、西安市易合一科技有限责任公司、国电南京自动化股份有限公司、江苏鑫跃科技、友讯集团（D-Link）、Pablo Software Solutions、SemCms、Xiaocms、xdcms、润资财税、速通快运、中国机电产品进出口商会、江铃汽车集团工会、中国营养学会、教学资源网、北京号码网、电池招聘网、北海新闻网、中国教育出版网、中国财税网、中国生物质产业网。
本周，CNVD发布了《Microsoft发布2018年7月安全更新》。详情参见CNVD网站公告内容。
http://www.cnvd.org.cn/webinfo/show/4591
本周漏洞报送情况统计
本周报送情况如表1所示。其中，华为技术有限公司、北京天融信网络安全技术有限公司、沈阳东软系统集成工程有限公司、哈尔滨安天科技股份有限公司、阿里云计算有限公司等单位报送公开收集的漏洞数量较多。山东云天安全技术有限公司、中新网络信息安全股份有限公司、南京联成科技发展股份有限公司、上海银基信息安全技术股份有限公司、四川虹微技术有限公司（子午攻防实验室）、任子行网络技术股份有限公司、福建省海峡信息技术公司、北京明朝万达科技股份有限公司（安元实验室）及其他个人白帽子向CNVD提交了456个以事件型漏洞为主的原创漏洞，其中包括360网神（补天平台）和漏洞盒子向CNVD共享的白帽子报送的230条原创漏洞信息。
表1 漏洞报送情况统计表
本周漏洞按类型和厂商统计
本周，CNVD收录了257个漏洞。其中应用程序漏洞180个，网络设备漏洞28个，WEB应用漏洞25个，操作系统漏洞21个，安全产品漏洞3个。
表2 漏洞按影响类型统计表
图6 本周漏洞按影响类型分布
CNVD整理和发布的漏洞涉及Adobe、Google、Microsoft等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。
表3 漏洞产品涉及厂商分布统计表
本周行业漏洞收录情况
本周，CNVD收录了10个电信行业漏洞，20个移动互联网行业漏洞，3个工控行业漏洞（如下图所示）。其中，“多款OSIsoft PI产品远程代码执行漏洞、Android Qualcom power_stats debugfs node权限提升漏洞、ADB Broadband Gateways/Routers权限提升漏洞、Google Android Media framework权限提升漏洞（CNVD-2018-13166）、ADB Broadband Gateways/Routers本地root越狱漏洞”的综合评级为“高危”。相关厂商已经发布了上述漏洞的修补程序，请参照CNVD相关行业漏洞库链接。
电信行业漏洞链接：http://telecom.cnvd.org.cn/
移动互联网行业漏洞链接：http://mi.cnvd.org.cn/
工控系统行业漏洞链接：http://ics.cnvd.org.cn/
图7 电信行业漏洞统计
图8 移动互联网行业漏洞统计
图9 工控行业漏洞统计
本周重要漏洞安全告警
本周，CNVD整理和发布以下重要安全漏洞信息。
1、Adobe产品安全漏洞
Adobe Acrobat是一款PDF编辑软件。Adobe Reader(也被称为AcrobatReader)是一款PDF文件阅读软件。本周，上述产品被披露存在堆溢出漏洞，攻击者可利用漏洞执行任意代码。
CNVD收录的相关漏洞包括：Adobe Acrobat和Reader堆溢出漏洞（CNVD-2018-12938、CNVD-2018-12942、CNVD-2018-12943、CNVD-2018-13063、CNVD-2018-13064、CNVD-2018-13065、CNVD-2018-13066、CNVD-2018-13067）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12938
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12942
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12943
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13063
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13064
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13065
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13066
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13067
2、Google产品安全漏洞
Android是美国谷歌（Google）公司和开放手持设备联盟（简称OHA）共同开发的一套以Linux为基础的开源操作系统。本周，上述产品被披露存在权限提升漏洞，攻击者可利用漏洞提升权限。
CNVD收录的相关漏洞包括：Google AndroidMediaTek组件权限提升漏洞（CNVD-2018-13158、CNVD-2018-13159、CNVD-2018-13160、CNVD-2018-13163、CNVD-2018-13164、CNVD-2018-13165、CNVD-2018-13167、CNVD-2018-13168）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13158
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13159
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13160
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13163
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13164
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13165
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13167
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13168
3、Microsoft产品安全漏洞
Microsoft Windows 10是美国微软（Microsoft）公司发布的一套新一代跨平台操作系统，它适用于PC和笔记本电脑、平板电脑以及手机等设备。Edge是其中的一个系统附带的默认浏览器。本周，上述产品被披露存在内存破坏漏洞，攻击者可利用漏洞在当前用户的上下文中执行任意代码，从而可获得与当前用户相同的用户权限。
CNVD收录的相关漏洞包括：Microsoft Edge内存破坏漏洞（CNVD-2018-12883、CNVD-2018-12884、CNVD-2018-12885、CNVD-2018-12886、CNVD-2018-12887、CNVD-2018-12888）、Microsoft EdgeChakra脚本引擎内存破坏漏洞（CNVD-2018-12889、CNVD-2018-12890）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12883
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12884
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12885
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12886
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12887
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12888
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12889
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12890
4、Huawei产品安全漏洞
Huawei Mate 8、Huawei Mate 9、Huawei Mate 10、Huawei LYO-L21、HuaweiBerlin-L21HN和Prague-AL00A等都是智能手机产品。Huawei IPS Module是一款IPS安全设备。NGFW Module是一款防火墙设备。NIP6300等是下一代入侵防御系统。本周，该产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，提升权限，执行远程代码或发起拒绝服务攻击。
CNVD收录的相关漏洞包括：Huawei Mate 10拒绝服务漏洞、多款Huawei产品内存泄露漏洞（CNVD-2018-12787）、多款Huawei手机信息泄露漏洞、Huawei Mate 9Pro GPU驱动任意内存释放漏洞、多款Huawei手机拒绝服务漏洞、Huawei Mate 9Pro手机短信息模块拒绝服务漏洞、Huawei LYO-L21手机权限提升漏洞、Huawei Mate 10手机内存错误引用漏洞。其中，“多款Huawei手机信息泄露漏洞、Huawei Mate 9Pro GPU驱动任意内存释放漏洞、Huawei Mate 9 Pro手机短信息模块拒绝服务漏洞、Huawei LYO-L21手机权限提升漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12788
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12787
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12842
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12844
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12843
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12846
http://www.cnvd.org.cn/flaw/show/CNVD-2018-12845
http://www.cnvd.org.cn/flaw/show/CNVD-2018-13042
5、
D-Link DIR-620
