CNVD漏洞周報2021年第41期 - 網安 - 專業的網絡安全產業、社區、知識平臺

本周漏洞態勢研判情況

本周信息安全漏洞威脅整體評價級別為中。

國家信息安全漏洞共享平臺（以下簡稱CNVD）本周共收集、整理信息安全漏洞159個，其中高危漏洞51個、中危漏洞92個、低危漏洞16個。漏洞平均分值為6.11。本周收錄的漏洞中，涉及0day漏洞52個（占33%），其中互聯網上出現“WordPressSocial Warfare遠程代碼執行漏洞（CNVD-2021-77611）、WordPress插件Current Book 'Book Title and Author field'跨站腳本漏洞”等零日代碼攻擊漏洞。本周CNVD接到的涉及黨政機關和企事業單位的原創漏洞總數5750個，與上周合刊（9212個）環比減少38%。

圖1 CNVD收錄漏洞近10周平均分值分布圖

圖2 CNVD 0day漏洞總數按周統計

本周漏洞事件處置情況

本周，CNVD向銀行、保險、能源等重要行業單位通報漏洞事件25起，向基礎電信企業通報漏洞事件62起，協調CNCERT各分中心驗證和處置涉及地方重要部門漏洞事件497起，協調教育行業應急組織驗證和處置高校科研院所系統漏洞事件88起，向國家上級信息安全協調機構上報涉及部委門戶、子站或直屬單位信息系統漏洞事件120起。

圖3 CNVD各行業漏洞處置情況按周統計

圖4 CNCERT各分中心處置情況按周統計

圖5 CNVD教育行業應急組織處置情況按周統計

此外，CNVD通過已建立的聯系機制或涉事單位公開聯系渠道向以下單位通報了其信息系統或軟硬件產品存在的漏洞，具體處置單位情況如下所示：

重慶紅杉軟件有限公司、中國電信集團公司、鄭州單點科技軟件有限公司、長沙米拓信息技術有限公司、長沙冠訊網絡科技有限公司、友訊電子設備（上海）有限公司、徐州億優網架鋼結構工程有限公司、兄弟（中國）商業有限公司、新開普電子股份有限公司、新都（青島）辦公系統有限公司、西安兄弟信息科技有限公司、武漢中巖測控技術有限公司、武漢舜通智能科技有限公司、武漢光谷聯合集團有限公司、微軟（中國）有限公司、網件（北京）網絡技術有限公司、天津市津購科技有限公司、唐橋科技（杭州）有限公司、太原迅易科技有限公司、松下電器（中國）有限公司、石家莊市征紅網絡科技有限公司、深圳市長鑫盛通科技有限公司、深圳市騰訊計算機系統有限公司、深圳市騰狐物聯科技有限公司、深圳市美力高集團有限公司、深圳市美科星通信技術有限公司、深圳市臉萌科技有限公司、深圳市理才網信息技術有限公司、深圳市科曼醫療設備有限公司、深圳市巨龍科教網絡有限公司、深圳市巨鼎醫療股份有限公司、深圳市皓峰通訊技術有限公司、上海縱之格科技有限公司、上海熠知電子科技有限公司、上海宜實信息科技有限公司、上海喜馬拉雅科技有限公司、上海企炬網絡科技有限公司、上海秒優供應鏈管理有限公司、上海肯特儀表股份有限公司、上海寰創通信科技股份有限公司、上海華測導航技術股份有限公司、上海斐訊數據通信技術有限公司、熵基科技股份有限公司、陜西硅峰網絡科技有限公司、山東濰微科技股份有限公司、山東金鐘科技集團股份有限公司、廈門四信通信科技有限公司、廈門市靈鹿谷科技有限公司、瑞斯康達科技股份有限公司、青島東軟載波智能電子有限公司、青島艾瑪信息技術有限公司、奇安信科技集團股份有限公司、南京懷宇科技有限公司、美國菲力爾公司、景騰多媒體股份有限公司、江西類友網絡科技有限公司、濟寧易搜信息科技有限公司、濟南有人物聯網技術有限公司、惠普貿易（上海）有限公司、華特數字科技有限公司、華平信息技術股份有限公司、河北南昊高新技術開發有限公司、杭州海康威視系統技術有限公司、杭州海康威視數字技術股份有限公司、杭州當虹科技股份有限公司、杭州貝騰科技有限公司、杭州安恒信息技術股份有限公司、哈爾濱偉成科技有限公司、廣州領立斯網絡科技有限公司、廣州酷狗計算機科技有限公司、廣州巨杉軟件開發有限公司、廣州安網通信技術有限公司、廣西壯族自治區農村信用社聯合社、廣東卓銳軟件有限公司、福建星網銳捷通訊股份有限公司、福建四創軟件有限公司、福建科立訊通信有限公司、福建福昕軟件開發股份有限公司、東方博冠（北京）科技有限公司、大唐電信科技股份有限公司、成都青軟青之軟件有限公司、暢捷通信息技術股份有限公司、北京智邦國際軟件技術有限公司、北京致遠互聯軟件股份有限公司、北京云創聯合科技有限公司、北京印象筆記科技有限公司、北京星網銳捷網絡技術有限公司、北京文網億聯科技有限公司、北京網御星云信息技術有限公司、北京網易有道計算機系統有限公司、北京萬戶網絡技術有限公司、北京通達信科科技有限公司、北京天融信網絡安全技術有限公司、北京搜狗信息服務有限公司、北京仁和匯智信息技術有限公司、北京清元優軟科技有限公司、北京米爾偉業科技有限公司、北京昆侖縱橫科技發展有限公司、北京酷我科技有限公司、北京凱特偉業科技有限公司、北京德惠眾合信息技術有限公司、北京愛奇藝科技有限公司、百度安全應急響應中心、安徽鑫洲網絡科技有限公司、安徽品格網絡科技有限公司、安徽朋德信息科技有限公司、安徽吉爾信息科技有限公司、中央電視臺、清華大學、無憂網絡、信呼、巡云輕論壇、小說精品屋、夢想CMS、MIP建站系統、ZZCMS、XnSoft、WorldCast Systems、TuziCMS、The Apache Software Foundation、TaoCMS、SEMCMS、Overmax、Lexmark、KYOCERA、jfinalcms、Elefant CMS、DataGear、BlueCMS、AxisCommunications AB、AOKaspersky Lab、Adobe和ACDSystems International。

本周，CNVD發布了《Microsoft發布2021年10月安全更新》。詳情參見CNVD網站公告內容。

https://www.cnvd.org.cn/webinfo/show/6916

本周漏洞報送情況統計

本周報送情況如表1所示。其中，北京神州綠盟科技有限公司、哈爾濱安天科技集團股份有限公司、廈門服云信息科技有限公司、新華三技術有限公司、華為技術有限公司等單位報送公開收集的漏洞數量較多。廣東藍爵網絡安全技術股份有限公司、山東云天安全技術有限公司、南京眾智維信息科技有限公司、河南靈創電子科技有限公司、北京信聯科匯科技有限公司、京東云安全、杭州海康威視數字技術股份有限公司、北京安帝科技有限公司、信聯科技（南京）有限公司、杭州迪普科技股份有限公司、北京網御星云信息技術有限公司、安徽長泰科技有限公司、北京云科安信科技有限公司（Seraph安全實驗室）、北京天地和興科技有限公司、浙江木鏈物聯網科技有限公司、內蒙古洞明科技有限公司、重慶都會信息科技有限公司、江蘇快頁信息技術有限公司、內蒙古云科數據服務股份有限公司、新疆海狼科技有限公司、北京遠禾科技有限公司、平安銀河實驗室、云南南天電子信息產業股份有限公司、北京惠而特科技有限公司、北京機沃科技有限公司、奇安信-工控安全實驗室、華泰人壽保險股份有限公司、銀保信科技（北京）有限公司及其他個人白帽子向CNVD提交了5750個以事件型漏洞為主的原創漏洞，其中包括斗象科技（漏洞盒子）、奇安信網神（補天平臺）和上海交大向CNVD共享的白帽子報送的3794條原創漏洞信息。

表1 漏洞報送情況統計表

本周漏洞按類型和廠商統計

本周， CNVD收錄了159個漏洞。應用程序55個，WEB應用34個，操作系統33個，智能設備（物聯網終端設備）21個，網絡設備（交換機、路由器等網絡端設備）16個。

表2 漏洞按影響類型統計表

圖6 本周漏洞按影響類型分布

CNVD整理和發布的漏洞涉及SIEMENS、Brother、Microsoft等多家廠商的產品，部分漏洞數量按廠商統計如表3所示。

表3 漏洞產品涉及廠商分布統計表

本周行業漏洞收錄情況

本周，CNVD收錄了11個電信行業漏洞，12個移動互聯網行業漏洞，5個工控行業漏洞（如下圖所示）。其中，“Google Android權限提升漏洞（CNVD-2021-77618）、MoxaEDR-G902和EDR-G903堆棧緩沖區溢出漏洞、Siemens RUGGEDCOM ROX設備拒絕服務漏洞”等漏洞的綜合評級為“高危”。相關廠商已經發布了漏洞的修補程序，請參照CNVD相關行業漏洞庫鏈接。

電信行業漏洞鏈接：http://telecom.cnvd.org.cn/

移動互聯網行業漏洞鏈接：http://mi.cnvd.org.cn/

工控系統行業漏洞鏈接：http://ics.cnvd.org.cn/

圖7 電信行業漏洞統計

圖8 移動互聯網行業漏洞統計

圖9 工控系統行業漏洞統計

本周重要漏洞安全告警

本周，CNVD整理和發布以下重要安全漏洞信息。

1、Google產品安全漏洞

Android是美國Google公司和開放手持設備聯盟（簡稱OHA）共同開發的一套以Linux為基礎的開源操作系統。本周，上述產品被披露存在多個漏洞，攻擊者可利用漏洞獲取敏感信息，提升權限，執行任意代碼。

CNVD收錄的相關漏洞包括：Google Android代碼執行漏洞（CNVD-2021-77613）、Google Android權限提升漏洞（CNVD-2021-77616、CNVD-2021-77618、CNVD-2021-77617）、Google Android信息泄露漏洞（CNVD-2021-77622、CNVD-2021-77621、CNVD-2021-77620、CNVD-2021-77624）。其中，“Google Android代碼執行漏洞（CNVD-2021-77613）、Google Android權限提升漏洞（CNVD-2021-77616、CNVD-2021-77618、CNVD-2021-77617）”的綜合評級為“高危”。目前，廠商已經發布了上述漏洞的修補程序。CNVD提醒用戶及時下載補丁更新，避免引發漏洞相關的網絡安全事件。

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-77613

https://www.cnvd.org.cn/flaw/show/CNVD-2021-77616

https://www.cnvd.org.cn/flaw/show/CNVD-2021-77618

https://www.cnvd.org.cn/flaw/show/CNVD-2021-77617

https://www.cnvd.org.cn/flaw/show/CNVD-2021-77622

https://www.cnvd.org.cn/flaw/show/CNVD-2021-77621

https://www.cnvd.org.cn/flaw/show/CNVD-2021-77620

https://www.cnvd.org.cn/flaw/show/CNVD-2021-77624

2、PortlandLabs產品安全漏洞

PortlandLabs Concrete Cms是美國PortlandLabs公司的一個面向團隊的開源內容管理系統。本周，上述產品被披露存在多個漏洞，攻擊者可利用漏洞向服務器發送非預期的請求，導致客戶端代碼執行等。

CNVD收錄的相關漏洞包括：PortlandLabs Concrete CMS路徑遍歷漏洞（CNVD-2021-76076、CNVD-2021-76078、CNVD-2021-76081、CNVD-2021-76089、CNVD-2021-76092）、PortlandLabs Concrete CMS跨站腳本漏洞（CNVD-2021-76079、CNVD-2021-76088）、PortlandLabs Concrete CMS跨站請求偽造漏洞（CNVD-2021-76080）。其中，“PortlandLabs Concrete CMS路徑遍歷漏洞（CNVD-2021-76076、CNVD-2021-76092）”的綜合評級為“高危”。目前，廠商已經發布了上述漏洞的修補程序。CNVD提醒用戶及時下載補丁更新，避免引發漏洞相關的網絡安全事件。

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-76076

https://www.cnvd.org.cn/flaw/show/CNVD-2021-76078

https://www.cnvd.org.cn/flaw/show/CNVD-2021-76081

https://www.cnvd.org.cn/flaw/show/CNVD-2021-76089

https://www.cnvd.org.cn/flaw/show/CNVD-2021-76092

https://www.cnvd.org.cn/flaw/show/CNVD-2021-76079

https://www.cnvd.org.cn/flaw/show/CNVD-2021-76088

https://www.cnvd.org.cn/flaw/show/CNVD-2021-76080

3、Siemens產品安全漏洞

Siemens Solid Edge是一款3D CAD、參數化特征和同步技術實體建模軟件。SINEC NMS是Siemens推出的用于監控和管理工業網絡的網絡管理系統。ROX-based VPN端點和防火墻設備用于連接在惡劣環境中運行的設備，如電力設施變電站和交通控制柜。SINUMERIK CNC為車間、車間和大型批量生產環境提供自動化解決方案。本周，上述產品被披露存在多個漏洞，攻擊者可利用漏洞獲取敏感信息，執行任意代碼，造成拒絕服務等。

CNVD收錄的相關漏洞包括：Siemens Solid Edge釋放后重用漏洞（CNVD-2021-75888、CNVD-2021-75891、CNVD-2021-75894）、Siemens Solid Edge信息泄露漏洞、Siemens SINEC NMS代碼問題漏洞、Siemens SINEC NMS任意文件刪除漏洞、Siemens RUGGEDCOM ROX設備拒絕服務漏洞、Siemens SINUMERIK Controllers拒絕服務漏洞。其中，“Siemens SINEC NMS代碼問題漏洞、Siemens SINEC NMS任意文件刪除漏洞、Siemens RUGGEDCOM ROX設備拒絕服務漏洞、Siemens SINUMERIK Controllers拒絕服務漏洞”的綜合評級為“高危”。目前，廠商已經發布了上述漏洞的修補程序。CNVD提醒用戶及時下載補丁更新，避免引發漏洞相關的網絡安全事件。

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-75888

https://www.cnvd.org.cn/flaw/show/CNVD-2021-75891

https://www.cnvd.org.cn/flaw/show/CNVD-2021-75894

https://www.cnvd.org.cn/flaw/show/CNVD-2021-75893

https://www.cnvd.org.cn/flaw/show/CNVD-2021-77585

https://www.cnvd.org.cn/flaw/show/CNVD-2021-77596

https://www.cnvd.org.cn/flaw/show/CNVD-2021-77598

https://www.cnvd.org.cn/flaw/show/CNVD-2021-77605

4、Microsoft產品安全漏洞

Microsoft Windows是一套個人設備使用的操作系統。Microsoft Windows Server是一套服務器操作系統。本周，上述產品被披露存在多個漏洞，攻擊者可利用漏洞提升權限，在受害者系統上執行任意代碼，導致DNS服務無響應。

CNVD收錄的相關漏洞包括：Microsoft Windows Server遠程代碼執行漏洞（CNVD-2021-76462、CNVD-2021-76465、CNVD-2021-76464、CNVD-2021-76463）、Microsoft Windows和Microsoft Windows Server遠程代碼執行漏洞（CNVD-2021-76466）、Microsoft Windows Server拒絕服務漏洞（CNVD-2021-76471）、Microsoft Windows和Windows Server權限提升漏洞（CNVD-2021-76473、CNVD-2021-76472）。其中，“Microsoft Windows和Microsoft Windows Server遠程代碼執行漏洞（CNVD-2021-76466）”的綜合評級為“高危”。目前，廠商已經發布了上述漏洞的修補程序。CNVD提醒用戶及時下載補丁更新，避免引發漏洞相關的網絡安全事件。

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-76462

https://www.cnvd.org.cn/flaw/show/CNVD-2021-76465

https://www.cnvd.org.cn/flaw/show/CNVD-2021-76464

https://www.cnvd.org.cn/flaw/show/CNVD-2021-76463

https://www.cnvd.org.cn/flaw/show/CNVD-2021-76466

https://www.cnvd.org.cn/flaw/show/CNVD-2021-76471

https://www.cnvd.org.cn/flaw/show/CNVD-2021-76473

https://www.cnvd.org.cn/flaw/show/CNVD-2021-76472

5、Irfanview無限循環漏洞

IrfanView是一款圖片瀏覽器，它支持圖片瀏覽、圖片編輯、圖片格式轉換等。本周，IrfanView被披露存在無限循環漏洞。攻擊者可利用漏洞導致拒絕服務（DOS）。目前，廠商尚未發布上述漏洞的修補程序。CNVD提醒廣大用戶隨時關注廠商主頁，以獲取最新版本。

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-76100

小結：本周，Google產品被披露存在多個漏洞，攻擊者可利用漏洞獲取敏感信息，提升權限，執行任意代碼。此外，PortlandLabs、Siemens、Microsoft等多款產品被披露存在多個漏洞，攻擊者可利用漏洞獲取敏感信息，提升權限，執行任意代碼，造成拒絕服務等。另外，Irfanview被披露存在無限循環漏洞。攻擊者可利用漏洞導致拒絕服務（DOS）。建議相關用戶隨時關注上述廠商主頁，及時獲取修復補丁或解決方案。

本周重要漏洞攻擊驗證情況

本周，CNVD建議注意防范以下已公開漏洞攻擊驗證情況。

1、WordPress Social Warfare遠程代碼執行漏洞（CNVD-2021-77611）

驗證描述

WordPress是基于PHP語言開發的博客平臺，可以用于在支持PHP和MySQL數據庫的服務器上架設網站，也可當做一個內容管理系統（CMS）。

WordPress Social Warfare存在遠程代碼執行漏洞，攻擊者可以利用該漏洞執行任意代碼。

驗證信息

POC鏈接：

https://cxsecurity.com/issue/WLB-2021070167

參考鏈接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-77611

信息提供者

深信服科技股份有限公司

注：以上驗證信息(方法)可能帶有攻擊性，僅供安全研究之用。請廣大用戶加強對漏洞的防范工作，盡快下載相關補丁。

關于CNVD

國家信息安全漏洞共享平臺（China National Vulnerability Database，簡稱CNVD）是CNCERT聯合國內重要信息系統單位、基礎電信運營商、網絡安全廠商、軟件廠商和互聯網企業建立的信息安全漏洞信息共享知識庫，致力于建立國家統一的信息安全漏洞收集、發布、驗證、分析等應急處理體系。

關于CNCERT

國家計算機網絡應急技術處理協調中心（簡稱“國家互聯網應急中心”，英文簡稱是CNCERT或CNCERT/CC），成立于2002年9月，為非政府非盈利的網絡安全技術中心，是我國網絡安全應急體系的核心協調機構。

作為國家級應急中心，CNCERT的主要職責是：按照“積極預防、及時發現、快速響應、力保恢復”的方針，開展互聯網網絡安全事件的預防、發現、預警和協調處置等工作，維護國家公共互聯網安全，保障基礎信息網絡和重要信息系統的安全運行。

網址：www.cert.org.cn

郵箱：vreport@cert.org.cn

電話：010-82991537