以下内容转载自公众号：CNVD漏洞平台
微信号：CNVDTS
2018年05月07日-2018年05月13日
本周漏洞态势研判情况
本周信息安全漏洞威胁整体评价级别为
中
。
国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞260个，其中高危漏洞62个、中危漏洞184个、低危漏洞14个。漏洞平均分值为5.70。本周收录的漏洞中，涉及0day漏洞59个（占23%），其中互联网上出现“D-Link DIR-601存在信息泄露漏洞、WordPress wunderfarm WFCookie Consent插件跨站脚本漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数614个，与上周（534个）环比增长15%。
图1 CNVD收录漏洞近10周平均分值
分布图
图2 CNVD 0day漏洞总数按周统计
本周漏洞事件处置情况
本周，CNVD向基础电信企业通报漏洞事件6起，向银行、证券、保险、能源等重要行业单位通报漏洞事件16起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件216起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件43起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件13起。
图3 CNVD各行业漏洞处置情况按周统计
图4 CNCERT各分中心处置情况按周统计
图5 CNVD教育行业应急组织处置情况按周统计
此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：
合肥一浪网络科技有限公司、云迈电子商务有限公司、成都炬诚信息科技有限公司、广州国微软件科技有限公司、宝鸡市世纪网络技术有限公司、北京派网软件有限公司、福州富昌维控电子科技有限公司、中国铁道建筑总公司、镇江市远航网络科技有限公司、北京建工集团有限责任公司、长沙米拓信息技术有限公司、上海卓卓网络科技有限公司、河北嗖嗖汽车租赁服务有限公司、深圳市铭大网络技术有限公司、中国机电产品进出口商会、YXcms、yzmCMS、UCMS、中国二维码注册认证中心。
本周漏洞报送情况统计
本周报送情况如表1所示。其中，蓝盾信息安全技术有限公司、北京天融信网络安全技术有限公司、哈尔滨安天科技股份有限公司、中国电信集团系统集成有限责任公司、新华三技术有限公司等单位报送公开收集的漏洞数量较多。四川虹微技术有限公司（子午攻防实验室）、南京联成科技发展股份有限公司、中新网络信息安全股份有限公司、广西网信信息安全等级保护测评有限公司、安徽锋刃信息科技有限公司、山石网科通信技术有限公司、福建省海峡信息技术有限公司、北京同余科技有限公司及其他个人白帽子向CNVD提交了614个以事件型漏洞为主的原创漏洞，其中包括360网神（补天平台）和漏洞盒子向CNVD共享的白帽子报送的453条原创漏洞信息。
表1 漏洞报送情况统计表
本周漏洞按类型和厂商统计
本周，CNVD收录了260个漏洞。其中应用程序漏洞188个，网络设备漏洞26个，WEB应用漏洞22个，操作系统漏洞17个，安全产品漏洞4个，数据库漏洞3个。
表2 漏洞按影响类型统计表
图6 本周漏洞按影响类型分布
CNVD整理和发布的漏洞涉及Oracle、IBM、Google等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。
表3 漏洞产品涉及厂商分布统计表
本周行业漏洞收录情况
本周，CNVD收录了19个电信行业漏洞，12个移动互联网行业漏洞，6个工控行业漏洞（如下图所示）。其中，“ymantec NortonCore router命令注入漏洞、GPon路由器远程命令执行漏洞、多款Sierra Wireless产品任意代码执行漏洞、Adobe DigitalEditions缓冲区溢出漏洞（CNVD-2018-09333）、Philips Brilliance CTScanners硬编码证书漏洞”的综合评级为“高危”。相关厂商已经发布了上述漏洞的修补程序，请参照CNVD相关行业漏洞库链接。
电信行业漏洞链接：http://telecom.cnvd.org.cn/
移动互联网行业漏洞链接：http://mi.cnvd.org.cn/
工控系统行业漏洞链接：http://ics.cnvd.org.cn/
图7 电信行业漏洞统计
图8 移动互联网行业漏洞统计
图9 工控行业漏洞统计
本周重要漏洞安全告警
本周，CNVD整理和发布以下重要安全漏洞信息。
1
、
Google
产品安全漏洞
Google Chrome是美国谷歌（Google）公司开发的一款Web浏览器。V8是其中的一套开源JavaScript引擎。Flash是其中的一个用于处理Flash的插件。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞提升权限、执行任意代码或造成拒绝服务等。
CNVD收录的相关漏洞包括：Google ChromeFlash内存错误引用漏洞、Google Chrome Flash内存错误引用漏洞（CNVD-2018-09117）、Google Chrome权限提升漏洞（CNVD-2018-09120、CNVD-2018-09121）、Google ChromeV8竞争条件漏洞、Google Chrome V8类型混淆漏洞（CNVD-2018-09122）、Google ChromeV8整数溢出漏洞、Google Chrome设计漏洞。除“Google Chrome V8整数溢出漏洞、Google Chrome设计漏洞”外，其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09118
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09117
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09120
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09121
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09119
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09122
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09123
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09125
2
、
Adobe
产品安全漏洞
Adobe Digital Editions（DE）是美国奥多比（Adobe）公司的一套电子书阅读管理软件。Adobe FlashPlayer是多媒体程序播放器。Adobe Creative Cloud是包括平面设计、影片编辑、网页开发应用的云端套装软件。Adobe InDesignCC是一套排版编辑应用程序。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞执行任意代码或提升权限等。
CNVD收录的相关漏洞包括：Adobe CreativeCloud权限提升漏洞、Adobe Creative Cloud权限提升漏洞（CNVD-2018-09211）、Adobe DigitalEditions缓冲区溢出漏洞（CNVD-2018-09333、CNVD-2018-09334）、Adobe FlashPlayer代码执行漏洞（CNVD-2018-09032）、Adobe Flash Player类型混淆远程代码执行漏洞（CNVD-2018-09212）、Adobe InDesignCC内存破坏漏洞、Adobe PhoneGap Push插件代码执行漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09213
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09211
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09333
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09334
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09032
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09212
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09336
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09335
3
、
Oracle
产品安全漏洞
Oracle Sun Solaris是最初由SunMicrosystems开发的Unix操作系统。Oracle Hospitality Simphony提供现代化的用户体验。本周，上述产品被披露存在安全漏洞，攻击者可利用该漏洞影响机密性、完整性及可用性。
CNVD收录的相关漏洞包括：OracleHospitality Simphony存在未明漏洞（CNVD-2018-09086、CNVD-2018-09082、CNVD-2018-09083、CNVD-2018-09084）、Oracle SunSolaris存在未明漏洞（CNVD-2018-09050、CNVD-2018-09045、CNVD-2018-09047、CNVD-2018-09048）。其中，“OracleHospitality Simphony存在未明漏洞（CNVD-2018-09084）、Oracle SunSolaris存在未明漏洞（CNVD-2018-09050、CNVD-2018-09045）”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09086
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09082
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09083
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09084
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09050
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09045
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09047
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09048
4
、
D-Link
产品安全漏洞
SAP Disclosure Management是德国思爱普（SAP）公司的一套自动化财务披露管理系统。SAP CrystalReports Server OEM Edition（CRSE）是一套报表解决方案。SAP CloudPlatform是一套开放式平台即服务（PaaS）式云平台。SAP SolutionManager是一套集系统监控、SAP支持桌面、自助服务、ASAP实施等多个功能为一体的系统管理平台。本周，上述产品被披露存在多个漏洞，攻击者可利用漏上传任意文件、提升权限或进行跨站脚本攻击等。
CNVD收录的相关漏洞包括：D-Link DIR-601存在信息泄露漏洞、D-Link DIR-615远程代码执行漏洞、D-LinkDSL-3782代码执行漏洞、D-Link DSL-3782缓冲区溢出漏洞（CNVD-2018-09178、CNVD-2018-09179、CNVD-2018-09180、CNVD-2018-09181、CNVD-2018-09182）。除“D-Link DIR-601存在信息泄露漏洞”外，其余漏洞的综合评级为“高危”。目前，厂商尚未发布漏洞修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09185
http://www.cnvd.org.cn/flaw/show/CNVD-2018-08994
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09195
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09178
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09179
http://www.cnvd.org.cn/flaw/show/CNVD-2018-09180
