CNNVD：信息安全漏洞周報（2021年第38期） - 網安 - 專業的網絡安全產業、社區、知識平臺

公開漏洞情況

本周CNNVD采集安全漏洞427個。

接報漏洞情況

本周CNNVD接報漏洞1666個，其中信息技術產品漏洞（通用型漏洞）44個，網絡信息系統漏洞（事件型漏洞）429個，漏洞平臺推送漏洞1193個。

重大漏洞預警

VMware多個安全漏洞：包括VMware vCenter Server 授權問題漏洞(CNNVD-202109-1479、CVE-2021-22017)、VMware vCenter Server 權限許可和訪問控制問題漏洞(CNNVD-202109-1482、CVE-2021-21991)等9個漏洞。VMware vCenter Server 6.5、VMware vCenter Server 6.7、VMware vCenter Server7.0版本均受漏洞影響。目前，VMware官方已經發布漏洞修復補丁，建議用戶及時確認是否受到漏洞影響，盡快采取修補措施。

公開漏洞情況

根據國家信息安全漏洞庫（CNNVD）統計，本周新增安全漏洞427個，漏洞新增數量有所下降。從廠商分布來看WordPress基金會新增漏洞最多，有42個；從漏洞類型來看，代碼問題類的安全漏洞占比最大，達到11.71%。新增漏洞中，超危漏洞16個，高危漏洞144個，中危漏洞255個，低危漏洞12個。相應修復率分別為93.75%、98.61%、95.29%和100%。根據補丁信息統計，合計412個漏洞已有修復補丁發布，整體修復率為96.49%。

（一）安全漏洞增長數量情況

本周CNNVD采集安全漏洞427個。

圖1 近五周漏洞新增數量統計圖

（二）安全漏洞分布情況

從廠商分布來看，WordPress基金會新增漏洞最多，有42個。各廠商漏洞數量分布如表1所示。

表1 新增安全漏洞排名前五廠商統計表

本周國內廠商漏洞9個，友訊公司漏洞數量最多，有5個。國內廠商漏洞整體修復率為100%。請受影響用戶關注廠商修復情況，及時下載補丁修復漏洞。

從漏洞類型來看, 代碼問題類的安全漏洞占比最大，達到11.71%。漏洞類型統計如表2所示。

表2 漏洞類型統計表

（三）安全漏洞危害等級與修復情況

本周共發布超危漏洞16個，高危漏洞144個，中危漏洞255個，低危漏洞12個。相應修復率分別為93.75%、98.61%、95.29%和100%。根據補丁信息統計，合計412個漏洞已有修復補丁發布，整體修復率為96.49%。詳細情況如表3所示。

表3 漏洞危害等級與修復情況

（四）本周重要漏洞實例

本期漏重要洞實例如表4所示。

表4 本期重要漏洞實例

1. VMware vCenter Server 代碼問題漏洞（CNNVD-202109-1486）

Vmware VMware vCenter Server是美國威睿（Vmware）公司的一套服務器和虛擬化管理軟件。該軟件提供了一個用于管理VMware vSphere環境的集中式平臺，可自動實施和交付虛擬基礎架構。

VMware vCenter Server 存在代碼問題漏洞，該漏洞源于在Analytics服務中上傳文件時文件驗證不足導致。未經身份驗證的攻擊者可以通過網絡訪問443端口，在目標系統上傳和執行任意文件。

目前廠商已發布升級補丁以修復漏洞，補丁獲取鏈接：

https://www.vmware.com/security/advisories/VMSA-2021-0020.html

2. Google Chrome 資源管理錯誤漏洞（CNNVD-202109-1506）

Google Chrome是美國谷歌（Google）公司的一款Web瀏覽器。

Google Chrome 存在資源管理錯誤漏洞，該漏洞源于網絡系統或產品對系統資源（如內存、磁盤空間、文件等）的管理不當。目前廠商已發布升級補丁以修復漏洞，補丁獲取鏈接：

https://chromereleases.googleblog.com/2021/09/stable-channel-update-for-desktop_21.html

3. Amazon WorkSpaces 注入漏洞（CNNVD-202109-1598）

Amazon WorkSpaces是美國亞馬遜（Amazon）公司的一種完全托管的持久桌面虛擬化服務，可讓您的用戶隨時隨地通過任何受支持的設備訪問他們需要的數據、應用程序和資源。

Amazon WorkSpaces client 存在注入漏洞，該漏洞源于在3.1.9 版本之前的 Amazon AWS WorkSpaces 客戶端中，workspaces URL處理程序中的參數注入可能會導致遠程代碼執行。

目前廠商已發布升級補丁以修復漏洞，補丁獲取鏈接：

https://docs.aws.amazon.com/workspaces/latest/userguide/amazon-workspaces-windows-client.html#windows-release-notes

二、漏洞平臺推送情況

本周漏洞平臺推送漏洞1193個。

三、接報漏洞情況

本周CNNVD接報漏洞473個，其中信息技術產品漏洞（通用型漏洞）44個，網絡信息系統漏洞（事件型漏洞）429個。

表5 本周漏洞報送情況

四、接報漏洞預警情況

本周CNNVD接報漏洞預警55份

五、重大漏洞預警

VMware vCenter Server多個安全漏洞的預警

近日，VMware 官方發布了多個安全漏洞公告，包括VMware vCenter Server 授權問題漏洞(CNNVD-202109-1479、CVE-2021-22017)、VMware vCenter Server 權限許可和訪問控制問題漏洞(CNNVD-202109-1482、CVE-2021-21991)等9個漏洞。VMware vCenter Server 6.5、VMware vCenter Server 6.7、VMware vCenter Server 7.0版本均受漏洞影響。成功利用上述漏洞的攻擊者可實現遠程代碼攻擊、未授權訪問等操作，最終完全控制相關設備。目前，VMware官方已經發布漏洞修復補丁，建議用戶及時確認是否受到漏洞影響，盡快采取修補措施。

.漏洞介紹

VMware vCenter Server是美國威睿（Vmware）公司的一套服務器和虛擬化管理軟件。該軟件提供了一個用于管理VMware vSphere環境的集中式平臺，可自動實施和交付虛擬基礎架構。

1、VMware vCenter Server 授權問題漏洞(CNNVD-202109-1479、CVE-2021-22017)

VMware vCenter Server 存在授權問題漏洞，該漏洞源于對URL規范化存在缺陷。遠程攻擊者可利用該漏洞發送一個特制的URL，繞過認證并訪問內部端點。

2、VMware vCenter Server 權限許可和訪問控制問題漏洞(CNNVD-202109-1482、CVE-2021-21991)

VMware vCenter Server 存在權限許可和訪問控制問題漏洞，該漏洞源于vCenter Server處理會話令牌的方式存在問題。本地用戶可以通過vSphere Client(HTML5)或vCenter Server vSphere Web Client (FLEX Flash)將用戶權限升級為管理員權限。

3、VMware vCenter Server 安全漏洞(CNNVD-202109-1483、CVE-2021-22015)

VMware vCenter Server 存在安全漏洞，該漏洞源于系統設置的文件和文件夾默認權限不正確。本地用戶在vCenter Server一體機中可以將訪問權限提升為root權限。

4、VMware vCenter Server 代碼問題漏洞(CNNVD-202109-1484、CVE-2021-21993)

VMware vCenter Server 存在代碼問題漏洞，該漏洞源于對用戶提供的輸入驗證不足導致。遠程用戶可以發送一個特別設計的HTTP請求，進而上傳文件。

5、VMware vCenter Server 代碼問題漏洞(CNNVD-202109-1486、CVE-2021-22005)

6、VMware vCenter Server 代碼注入漏洞(CNNVD-202109-1487、CVE-2021-22014)

VMware vCenter Server 存在代碼注入漏洞，該漏洞源于VAMI(虛擬設備管理基礎設施)中的輸入驗證不正確。通過身份驗證的遠程VAMI用戶可以向5480端口發送一個特別設計的請求，并在目標系統上執行任意代碼。

7、VMware vCenter Server 授權問題漏洞(CNNVD-202109-1489、CVE-2021-22006)

VMware vCenter Server 存在授權問題漏洞，利用該漏洞遠程攻擊者可以在未經授權的情況下訪問系統。

8、VMware vCenter Server 授權問題漏洞(CNNVD-202109-1492、CVE-2021-22011)

VMware vCenter Server 存在授權問題漏洞，該漏洞源于vCenter Server Content Library中API端點缺少認證。未經身份驗證的攻擊可以通過網絡訪問443端口，利用漏洞獲得對系統的訪問權限，并執行虛擬機網絡設置操作。

9、VMware vCenter Server 授權問題漏洞(CNNVD-202109-1493、CVE-2021-22012)

VMware vCenter Server 存在授權問題漏洞，該漏洞源于缺少對設備管理API的身份驗證。遠程未經身份驗證的攻擊者可利用該漏洞訪問443端口，從而訪問系統上的敏感信息。

.危害影響

VMware vCenter Server 6.5、VMware vCenter Server 6.7、VMware vCenter Server 7.0均受漏洞影響。具體影響范圍可訪問下列鏈接進行查看：

https://www.vmware.com/security/advisories/VMSA-2021-0020.html

.修復建議

目前，VMware官方已經發布漏洞修復補丁，建議用戶及時確認是否受到漏洞影響，采取修補措施。官方鏈接如下：

https://www.vmware.com/security/advisories/VMSA-2021-0020.html