网络与信息安全情况通报

2024年第 14期

 

第四师可克达拉市网络与信息安全信息通报中心       2024年2月20日

 

2024年CNVD漏洞周报

（20240205-20240218）

 

一、本周漏洞态势研判情况

本周信息安全漏洞威胁整体评价级别为中。

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞517个，其中高危漏洞188个、中危漏洞305个、低危漏洞24个。漏洞平均分值为6.16。本周收录的漏洞中，涉及0day漏洞438个（占85%），其中互联网上出现“Yifan YF325 cgi_handler函数缓冲区溢出漏洞、Yifan YF325 gozila_cgi函数缓冲区溢出漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的漏洞总数7723个，与上周（13040个）环比减少41%。

 

 

        图1 CNVD收录漏洞近10周平均分值分布图

二、本周漏洞事件处置情况

本周，CNVD向银行、保险、能源等重要行业单位通报漏洞事件15起，向基础电信企业通报漏洞事件6起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件335起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件54起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件42起。

三、本周漏洞按类型和厂商统计

本周，CNVD收录了517个漏洞。WEB应用278个，应用程序115个，网络设备（交换机、路由器等网络端设备）58个，智能设备（物联网终端设备）25个，操作系统20个，数据库8个，车联网7个，安全产品6个。

图2 本周漏洞按影响类型分布

四、本周行业漏洞收录情况

本周，CNVD收录了45个电信行业漏洞，38个移动互联网行业漏洞，8个工控行业漏洞（如下图所示）。其中，“Advantech WebAccess信息泄露漏洞（CNVD-2024-07863）、Google Android权限提升漏洞（CNVD-2024-07857）”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序，请参照CNVD相关行业漏洞库链接。

 

电信行业漏洞链接：http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接：http://mi.cnvd.org.cn/

工控系统行业漏洞链接：http://ics.cnvd.org.cn/       

图3 电信行业漏洞统计

图4 移动互联网行业漏洞统计

 

图5 工控系统行业漏洞统计

五、本周重要漏洞安全告警

本周，CNVD整理和发布以下重要安全漏洞信息。

1、 IBM产品安全漏洞

IBM Tivoli Application Dependency Discovery Manager（TADDM）是美国国际商业机器（IBM）公司的一套IT服务管理解决方案中的产品。该产品提供了健全的自动化应用程序映射和发现，帮助管理员了解业务应用程序的结构、状态、配置和变更历史记录。IBM Security Access Manager是一款应用于信息安全管理的产品。该产品通过面向Web、移动和云计算的集成设备来实现访问管理控制。IBM Cloud Pak System是一套具有可配置、预集成软件的全栈、融合基础架构。该产品支持跨混合云部署、管理和移动应用程序环境。IBM Tivoli Application Dependency Discovery Manager（TADDM）是一套IT服务管理解决方案中的产品。该产品提供了健全的自动化应用程序映射和发现，帮助管理员了解业务应用程序的结构、状态、配置和变更历史记录。IBM Security Verify Access（ISAM）是一款提高用户访问安全的服务。该服务通过使用基于风险的访问、单点登录、集成访问管理控制、身份联合以及移动多因子认证实现对Web、移动、IoT和云技术等平台安全简单的访问。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，消耗内存资源，提升权限等。

CNVD收录的相关漏洞包括：IBM Tivoli Application Dependency Discovery Manager权限提升漏洞、IBM Security Access Manager未授权访问漏洞、IBM Cloud Pak System信息泄露漏洞（CNVD-2024-07607）、IBM Tivoli Application Dependency Discovery Manager HTTP头部注入漏洞、IBM Security Verify Access权限提升漏洞、IBM Security Verify Access拒绝服务漏洞、IBM Security Access Manager数据伪造问题漏洞、IBM Security Access Manager XML外部实体注入漏洞。其中，“IBM Security Access Manager未授权访问漏洞、IBM Cloud Pak System信息泄露漏洞（CNVD-2024-07607）、IBM Tivoli Application Dependency Discovery Manager HTTP头部注入漏洞、IBM Security Access Manager XML外部实体注入漏洞”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07603

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07609

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07607

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07606

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07613

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07612

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07611

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07610

2、 Google产品安全漏洞

Google Chrome是美国谷歌（Google）公司的一款Web浏览器。Google Android是一套以Linux为基础的开源操作系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞绕过安全限制，在系统上执行任意代码，获得提升的特权等。

CNVD收录的相关漏洞包括：Google Chrome安全绕过漏洞（CNVD-2024-07840）、Google Chrome Canvas模块内存错误引用漏洞、Google Chrome Network模块内存错误引用漏洞、Google Chrome WebRTC模块内存错误引用漏洞、Google Chrome Reading Mode模块内存错误引用漏洞、Google Chrome Passwords模块内存错误引用漏洞、Google Chrome Web Audio模块内存错误引用漏洞、Google Android权限提升漏洞（CNVD-2024-07854）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07840

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07841

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07842

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07844

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07845

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07846

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07847

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07854

3、 Linux产品安全漏洞

Linux kernel是美国Linux基金会的开源操作系统Linux所使用的内核。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞导致cgroup blkio内存泄漏，系统崩溃，提升权限等。

CNVD收录的相关漏洞包括：Linux Kernel资源管理错误漏洞（CNVD-2024-08096、CNVD-2024-08091、CNVD-2024-08094、CNVD-2024-08093）、Linux kernel拒绝服务漏洞（CNVD-2024-08090）、Linux kernel代码问题漏洞（CNVD-2024-08095、CNVD-2024-08087）、Linux Kernel ksmbd SMB2_SESSION_SETUP拒绝服务漏洞。其中，“Linux Kernel ksmbd SMB2_SESSION_SETUP拒绝服务漏洞”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-08087

https://www.cnvd.org.cn/flaw/show/CNVD-2024-08091

https://www.cnvd.org.cn/flaw/show/CNVD-2024-08090

https://www.cnvd.org.cn/flaw/show/CNVD-2024-08095

https://www.cnvd.org.cn/flaw/show/CNVD-2024-08094

https://www.cnvd.org.cn/flaw/show/CNVD-2024-08093

https://www.cnvd.org.cn/flaw/show/CNVD-2024-08097

https://www.cnvd.org.cn/flaw/show/CNVD-2024-08096

4、 Microsoft产品安全漏洞

Microsoft Edge是美国微软（Microsoft）公司的一款Windows 10之后版本系统附带的Web浏览器。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞绕过安全限制，获取敏感信息，在系统上获得提升的权限等 。

CNVD收录的相关漏洞包括：Microsoft Edge for Android欺骗漏洞、Microsoft Edge for Android信息泄露漏洞、Microsoft Edge (Chromium-based)安全绕过漏洞、Microsoft Edge (Chromium-based)信息泄露漏洞（CNVD-2024-07804、CNVD-2024-07803）、Microsoft Edge (Chromium-based)权限提升漏洞（CNVD-2024-07816、CNVD-2024-07817、CNVD-2024-07793）。其中，“Microsoft Edge (Chromium-based)安全绕过漏洞、Microsoft Edge (Chromium-based)权限提升漏洞（CNVD-2024-07816、CNVD-2024-07817）”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07793

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07799

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07797

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07800

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07804

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07803

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07816

https://www.cnvd.org.cn/flaw/show/CNVD-2024-07817

5、TOTOLINK EX1800T lanIp参数命令执行漏洞

TOTOLINK EX1800T是中国吉翁电子（TOTOLINK）公司的一款Wi-Fi范围扩展器。本周，TOTOLINK EX1800T被披露存在命令执行漏洞。攻击者可利用此漏洞在系统上执行任意命令。目前，厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

参考链接：https://www.cnvd.org.cn/flaw/show/CNVD-2024-07858

六、小结

本周，IBM产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，消耗内存资源，提升权限等。此外，Google、Linux、Microsoft等多款产品被披露存在多个漏洞，攻击者可利用漏洞绕过安全限制，获取敏感信息，在系统上执行任意代码，获得提升的特权等。另外，TOTOLINK EX1800T被披露存在命令执行漏洞。攻击者可利用此漏洞在系统上执行任意命令。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。