正文
2018年10月29
日-2018年11月04日
本周漏洞态势研判情况
本周信息安全漏洞威胁整体评价级别为
中。
国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞203个，其中高危漏洞90个、中危漏洞106个、低危漏洞7个。漏洞平均分值为6.39。本周收录的漏洞中，涉及0day漏洞37个（占18%），其中互联网上出现“Wecodex Restaurant CMS 'Login' SQL注入漏洞、多款Tenda产品httpd缓冲区溢出漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数1005个，与上周（914个）环比增长10%。
图1 CNVD收录漏洞近10周平均分值分布图
图2 CNVD 0day漏洞总数按周统计
本周漏洞事件处置情况
本周，CNVD向基础电信企业通报漏洞事件1起，向保险、能源等重要行业单位通报漏洞事件11起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件130起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件17起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件9起。
图3 CNVD各行业漏洞处置情况按周统计
图4 CNCERT各分中心处置情况按周统计
图5 CNVD教育行业应急组织处置情况按周统计
此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：
郑州路之易科技有限公司、灵宝简好网络科技有限公司、长春凌展软件有限责任公司、中国科技创新网、武汉噢易云计算股份有限公司、北京新启科技有限公司、大米CMS。
本周漏洞报送情况统计
本周报送情况如表1所示。其中，哈尔滨安天科技股份有限公司、新华三技术有限公司、华为技术有限公司、北京数字观星科技有限公司、中国电信集团系统集成有限责任公司等单位报送公开收集的漏洞数量较多。山东云天安全技术有限公司、北京圣博润高新技术股份有限公司、远江盛邦（北京）网络安全科技股份有限公司、任子行网络技术股份有限公司、中新网络信息安全股份有限公司、内蒙古奥创科技有限公司、山石网科通信技术有限公司、安徽锋刃信息科技有限公司、北京明朝万达科技股份有限公司（安元实验室）、北京市电子产品质量检测中心、江苏省信息安全测评中心及其他个人白帽子向CNVD提交了1005个以事件型漏洞为主的原创漏洞，其中包括360网神（补天平台）和漏洞盒子向CNVD共享的白帽子报送的694条原创漏洞信息。
表1 漏洞报送情况统计表
本周漏洞按类型和厂商统计
本周，CNVD收录了200个漏洞。应用程序漏洞93个，WEB应用漏洞72个，网络设备漏洞16个，操作系统漏洞15个，安全产品漏洞7个。
表2 漏洞按影响类型统计表
图6 本周漏洞按影响类型分布
CNVD整理和发布的漏洞涉及IBM、Apple、Google等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。
表3 漏洞产品涉及厂商分布统计表
本周行业漏洞收录情况
本周，收录了16个电信行业漏洞，8个移动互联网行业漏洞，4个工控行业漏洞（如下图所示）。其中，“D-Link DIR-823G存在命令注入漏洞、IBM WebSphere Commerce开放重定向漏洞、Apple iOS FaceTime内存破坏漏洞、Foxit Reader和Foxit PhantomPDF for Windows内存错误引用漏洞（CNVD-2018-22404）、GAIN Electronic Co. Ltd SAGA1-L Series命令伪造漏洞”等漏洞的综合评级为“高危”。相关厂商已经发布了上述漏洞的修补程序，请参照CNVD相关行业漏洞库链接。
电信行业漏洞链接：http://telecom.cnvd.org.cn/
移动互联网行业漏洞链接：http://mi.cnvd.org.cn/
工控系统行业漏洞链接：http://ics.cnvd.org.cn/
图7 电信行业漏洞统计
图
8 移动互联网行业漏洞统计
图9 工控系统行业漏洞统
计
本周重要漏洞安全告警
本周，CNVD整理和发布以下重要安全漏洞信息。
1、IBM产品安全漏
洞
IBM WebSphere Application Server（WAS）是一款应用服务器产品，它是Java EE和Web服务应用程序的平台，也是IBM WebSphere软件平台的基础。IBM WebSphere Commerce是一套电子商务解决方案。IBM Daeja ViewONE Virtual是一款文档查看器，支持查看TIFF、PDF和基于Office的文档。IBM Kenexa LCMS Premier on Cloud是一套可调节的用于开发、维护和提供高效的员工培训的学习内容管理系统 (LCMS)。IBM Security Access Manager是一款应用于信息安全管理的产品。IBM FlashSystem 840 MTMs 9840-AE1等都是企业级存储解决方案。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，执行未授权的操作，执行任意代码，发起拒绝服务攻击。
CNVD收录的相关漏洞包括：IBM WebSphere Commerce信息泄露漏洞（CNVD-2018-22087、CNVD-2018-22088）、IBM WebSphere Commerce开放重定向漏洞、IBM Daeja ViewONE Virtual XXE漏洞、IBM WebSphere Application Server Liberty OpenID Connect代码执行漏洞、IBM Kenexa LCMS Premier on Cloud SQL注入漏洞、IBM Security Access Manager未授权操作漏洞、多款IBM产品GUI权限提升漏洞。其中，除“IBM WebSphere Commerce信息泄露漏洞（CNVD-2018-22087、CNVD-2018-22088）”外，其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
h
ttp:
//www.cnvd.org.cn/flaw/show/CNVD-2018-22087
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22088
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22089
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22367
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22368
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22371
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22370
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22375
2、Apple产品安全漏
洞
Apple macOS Sierra是为Mac计算机所开发的一套专用操作系统。Apple iOS是为移动设备所开发的一套操作系统。本周，上述产品被披露存在内存破坏漏洞，攻击者可利用漏洞以系统权限执行任意代码（内存破坏）。
CNVD收录的相关漏洞包括：Apple macOS mDNSOffloadUserClient内存破坏漏洞、Apple iOS FaceTime内存破坏漏洞、Apple macOS Sierra Kernel内存破坏漏洞（CNVD-2018-22359、CNVD-2018-22360、CNVD-2018-22361、CNVD-2018-22363、CNVD-2018-22366）、Apple macOS内存损坏漏洞（CNVD-2018-22365）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22356
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22358
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22359
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22360
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22361
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22363
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22366
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22365
3、Google产品安全漏
洞
Google Chrome是一款Web浏览器。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，造成堆破坏。
CNVD收录的相关漏洞包括：Google Chrome Blink内存错误引用漏洞（CNVD-2018-22389）、Google Chrome Blink信息泄露漏洞、Google Chrome安全绕过漏洞（CNVD-2018-22395、CNVD-2018-22396）、Google Chrome Skia堆缓冲区溢出漏洞（CNVD-2018-22399）、Google Chrome PDFium内存错误引用漏洞（CNVD-2018-22400、CNVD-2018-22401）、Google Chrome V8类型混淆漏洞（CNVD-2018-22402）。其中，除“Google Chrome Blink信息泄露漏洞、Google Chrome安全绕过漏洞（CNVD-2018-22395、CNVD-2018-22396）”外，其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22389
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22393
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22395
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22396
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22399
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22400
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22401
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22402
4、Foxit产品安全漏
洞
CFoxit Reader for Windows是一款基于Windows平台的PDF文档阅读器。Foxit PhantomPDF for Windows是它的商业版。本周，该产品被披露存在内存错误引用漏洞，攻击者可利用漏洞在当前进程的上下文中执行代码。
CNVD收录的相关漏洞包括：Foxit Reader for Windows内存错误引用漏洞（CNVD-2018-22397）、Foxit Reader和Foxit PhantomPDF for Windows内存错误引用漏洞（CNVD-2018-22404、CNVD-2018-22405、CNVD-2018-22406、CNVD-2018-22407、CNVD-2018-22408、CNVD-2018-22410、CNVD-2018-22409）。上述漏洞的综合评级为“高危”。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22397
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22404
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22405
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22406
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22407
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22408
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22410
http://www.cnvd.org.cn/flaw/show/CNVD-2018-22409
5、GNU Binutils 'elf_link_input_bfd'函数拒绝服务漏
