当前位置:病毒专区 \ 安全预警
CNNVD | 信息安全漏洞月报(2018年5月)
新闻来源:CNNVD安全动态
发布人:计算机安全协会
点击率:225
发布日期:2018.06.06
本期导读

漏洞态势

公开漏洞情况

根据国家信息安全漏洞库(CNNVD)统计,20185月采集漏洞共951个。

未公开漏洞情况

根据国家信息安全漏洞库(CNNVD)统计,2018年5月接报漏洞共877个,其中信息技术产品漏洞(通用型漏洞)90个,网络信息系统漏洞(事件型漏洞)787个。

重大漏洞预警

手机程序第三方解压缩库输入验证安全漏洞(CNNVD-201805-440):手机程序第三方解压缩库输入验证安全漏洞存在于使用了第三方解压缩库的应用中。漏洞源于手机程序中的第三方解压缩库,在解压zip压缩包时并未对“../”进行过滤。手机程序在调用第三方解压缩库解压zip压缩包时未对解压路径进行检查,当从不安全的来源获得zip格式压缩包文件并解压缩时,如果该zip压缩文件被劫持插入恶意代码,可能导致任意代码执行。

漏洞态势

一、公开漏洞情况

根据国家信息安全漏洞库(CNNVD)统计,2018年5月份采集安全漏洞共951个,从厂商分布来看,福昕公司产品的漏洞数量最多,共发布90个;从漏洞类型来看,缓冲区错误类的漏洞占比最大,达到10.41%。本月新增漏洞中,超危漏洞9个、高危漏洞41个、中危漏洞738个、低危漏洞163个,相应修复率分别为77.78%、68.29%、70.19%以及71.17%。合计669个漏洞已有修复补丁发布,本月整体修复率70.35%。

截至2018年5月31日,CNNVD采集漏洞总量已达109085个。

1.1 漏洞增长概况

2018年5月新增安全漏洞951个,与上月(1496个)相比减少了36.43%。根据近6个月来漏洞新增数量统计图,平均每月漏洞数量达到1061个。

图1  2017年12月至2018年5月漏洞新增数量统计图

1.2 漏洞分布情况

1.2.1漏洞厂商分布

5月厂商漏洞数量分布情况如表1所示,福昕公司达到90个,占本月漏洞总量的9.46%。本月福昕、2345、友讯等公司的漏洞数量均有所上升。与之相反, IBM的漏洞数量出现下降。

5月厂商漏洞数量分布情况如表1所示,福昕公司达到90个,占本月漏洞总量的9.46%。本月福昕、2345、友讯等公司的漏洞数量均有所上升。与之相反,IBM的漏洞数量出现下降。

表1  2018年5月排名前十厂商新增安全漏洞统计表

1.2.2漏洞产品分布

5月主流操作系统的漏洞统计情况如表2所示。本月Windows系列操作系统漏洞数量共44条,其中桌面操作系统43条,服务器操作系统36条。本月Microsoft Windows 10漏洞数量最多,达到42个,占主流操作系统漏洞总量的20.49%,排名第一。

表2  2018年5月主流操作系统漏洞数量统计

*由于Windows整体市占率高达百分之九十以上,所以上表针对不同的Windows版本分别进行统计

*上表漏洞数量为影响该版本的漏洞数量,由于同一漏洞可能影响多个版本操作系统,计算某一系列操作系统漏洞总量时,不能对该系列所有操作系统漏洞数量进行简单相加。

1.2.3 漏洞类型分布

5月份发布的漏洞类型分布如表3所示,其中缓冲区错误类漏洞所占比例最大,约为10.41%。

表3  2018年5月漏洞类型统计表

1.2.4 漏洞危害等级分布

根据漏洞的影响范围、利用方式、攻击后果等情况,从高到低可将其分为四个危害等级,即超危、高危、中危和低危级别。5月漏洞危害等级分布如图2所示,其中超危漏洞9条,占本月漏洞总数的0.95%。

图2  2018年5月漏洞危害等级分布

1.3漏洞修复情况

1.3.1  整体修复情况

5月漏洞修复情况按危害等级进行统计见图3。其中超危漏洞修复率最高,达到77.78%,高危漏洞修复率最低,比例为68.29%,本月中危、低危漏洞修复率有所上升,超危、高危漏洞修复率有所下降,导致本月整体修复率下降,由上月的81.27%下降至本月的70.35%,下降了10.92%。

图3  2018年5月漏洞修复数量统计

1.3.2  厂商修复情况

5月漏洞修复情况按漏洞数量前十厂商进行统计,其中福昕、Microsoft、IBM等十个厂商共312条漏洞,占本月漏洞总数的32.81%,漏洞修复率为89.74%,详细情况见表4。多数知名厂商对产品安全高度重视,产品漏洞修复比较及时,其中福昕、Microsoft、IBM、Adobe、华为、研华等公司本月漏洞修复率均为100%,共397条漏洞已全部修复。

表4  2018年5月厂商修复情况统计表

1.4 重要漏洞实例

1.4.1 超危漏洞实例

本月超危漏洞共9个,其中重要漏洞实例如表5所示。

表5  2018年5月超危漏洞实例

1.Dell EMC RecoverPoint和RecoverPoint for Virtual Machines 命令注入漏洞(CNNVD-201805-792)

Dell EMC RecoverPoint和RecoverPointfor Virtual Machines都是美国戴尔(Dell)公司的产品。前者是一套灾难恢复和数据保护软件,后者是一套面向VMware环境的灾难恢复解决方案。

Dell EMC RecoverPoint 5.1.2之前版本和RecoverPoint for Virtual Machines 5.1.1.3之前版本中存在命令注入漏洞。远程攻击者可利用该漏洞以root权限在受影响的系统上执行任意命令。

解决措施:目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://github.com/bao7uo/dell-emc_recoverpoint/blob/master/EMC_RPT_CVE-2018-1242.md

2.Cisco Digital Network Architecture Center API gateway 授权问题漏洞(CNNVD-201805-631)

Cisco Digital Network Architecture(DNA)Center是美国思科(Cisco)公司的一套数字网络体系结构解决方案。该方案能够扩展并保护网络内的设备、应用程序等。API gateway是其中的一个API(应用程序接口)网关。

Cisco DNA Center 1.1.2之前版本中的APIgateway存在授权问题漏洞,该漏洞源于在执行请求之前程序没有标准化URLs。远程攻击者可通过提交特制的URL利用该漏洞绕过身份验证,访问重要的服务。

解决措施:目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180516-dna2

3.PHOENIX CONTACT FL SWITCH 3xxx、4xxx和48xxx Series 缓冲区错误漏洞(CNNVD-201805-517)

PHOENIX CONTACT FL SWITCH3xxx、4xxx和48xxxSeries等都是德国菲尼克斯电气(Phoenix Contact)集团的不同系列的交换机设备。

使用1.0版本至1.32版本固件的PHOENIX CONTACT FL SWITCH 3xxx、4xxx和48xxx Series产品中存在基于栈的缓冲区溢出漏洞。远程攻击者可利用该漏洞未授权访问交换机操作系统文件并向操作系统中注入可执行代码。

解决措施:目前厂商已发布升级补丁以修复漏洞,详情请关注厂商主页:

https://www.phoenixcontact.com/

1.4.2 高危漏洞实例

本月高危漏洞共41个,其中重点漏洞实例如表6所示。

表6  2018年5月高危漏洞实例

1.Microsoft Windows 权限许可和访问控制漏洞(CNNVD-201805-287)

Microsoft Windows 10等都是美国微软(Microsoft)公司发布的一系列操作系统。Microsoft Windows 10是一套个人电脑使用的操作系统。Windows Server 2008 SP2是一套服务器操作系统。

Microsoft Windows中存在提权漏洞,该漏洞源于Win32k组件没有正确的处理内存中的对象。攻击者可通过登录系统并运行特制的应用程序利用该漏洞在内核模式下以提升的权限执行任意代码。以下系统版本受到影响:

-    MicrosoftWindows 10

-    MicrosoftWindows 10版本1607

-    MicrosoftWindows 10版本1703

-    MicrosoftWindows 10版本1709

-    MicrosoftWindows 10版本1803

-    MicrosoftWindows 7 SP1

-    MicrosoftWindows 8.1

-    MicrosoftWindows RT 8.1

-    MicrosoftWindows Server 2008 SP2

-    MicrosoftWindows Server 2008 R2 SP1

-    MicrosoftWindows Server 2012

-    MicrosoftWindows Server 2012 R2

-    MicrosoftWindows Server 2016

-    MicrosoftWindows Server版本1709

-    MicrosoftWindows Server版本1803

解决措施:目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-8124

2.Adobe Acrobat和Reader 缓冲区错误漏洞(CNNVD-201805-649)

Adobe Acrobat和Reader都是美国奥多比(Adobe)公司的产品。前者是一套PDF文件编辑和转换工具,后者是一套PDF文档阅读软件。

Adobe Acrobat和Reader中存在缓冲区溢出漏洞。攻击者可利用该漏洞在当前用户的上下文中执行任意代码(越界写入)。基于Windows和Macintosh平台的以下产品和版本受到影响:

-    AcrobatDC (Continuous Track)2018.009.20050及之前的版本

-    Acrobat2017 2017.011.30070及之前的版本

-    AcrobatDC (Classic Track)2015.006.30394及之前版本

-    AcrobatReader DC (Continuous Track)2018.009.20050及之前版本

-    AcrobatReader 2017 2017.011.30070及之前版本

-    AcrobatReader DC (Classic Track)2015.006.30394及之前版本

解决措施:目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://helpx.adobe.com/security/products/acrobat/apsb18-02.html

3.Cisco Secure Access Control System ACS Report组件输入验证漏洞(CNNVD-201805-083)

Cisco Secure Access ControlSystem(ACS)是美国思科(Cisco)公司的一套安全访问控制系统。该系统可通过RADIUS、TACACS协议分别对网络访问和网络设备访问进行控制。ACS Report是其中的一个系统报告生成组件。

Cisco Secure ACS 5.8 Patch 7之前版本中的ACS Report组件存在输入验证漏洞,该漏洞源于Action Message Format (AMF)协议没有进行充分的校验。远程攻击者可通过发送带有恶意代码的特制AMF消息利用该漏洞在设备上执行任意命令。

解决措施:目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180502-acs1

4.Cisco Meeting Server Acano X-series Cisco Meeting Server Software 配置错误漏洞(CNNVD-201805-081)

Cisco Meeting Server(CMS)Acano X-series是美国思科(Cisco)公司的一款会议服务器。Cisco Meeting Server(CMS)Software是运行在其中的一套视频会议系统。

CMS Acano X-series平台上的CMS Software 2.2.11之前版本存在配置错误漏洞。远程攻击者可利用该漏洞获取配置和数据库文件及敏感会议信息的访问权限。

解决措施:目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180502-cms-cx

二、接报漏洞情况

本月接报漏洞共计877个,其中信息技术产品漏洞(通用型漏洞)90个,网络信息系统漏洞(事件型漏洞)787个。

表7 2018年5月漏洞接报情况

三、重大漏洞预警

CNNVD 关于手机程序第三方解压缩库输入验证安全漏洞情况的通报

近日,国家信息安全漏洞库(CNNVD)收到关于手机程序第三方解压缩库输入验证安全漏洞(CNNVD-201805-440)情况的报送。成功利用该漏洞的攻击者,可以远程读取应用数据、甚至执行任意代码,具体危害与受影响应用的功能和权限相关。iOS平台内置第三方解压缩库(经验证,包括但不限于SSZipArchive和ZipArchive两种库)的应用均可能受漏洞影响,安卓平台中使用第三方解压缩库进行解压缩的应用,如果没有对解压缩路径进行检查的可能也会受到漏洞影响。目前,相关厂商暂未发布解决方案,但可通过临时解决措施缓解漏洞造成的危害。

漏洞介绍

手机程序第三方解压缩库输入验证安全漏洞存在于使用了第三方解压缩库的应用中。漏洞源于手机程序中的第三方解压缩库,在解压zip压缩包时并未对“../”进行过滤。手机程序在调用第三方解压缩库解压zip压缩包时未对解压路径进行检查,当从不安全的来源获得zip格式压缩包文件并解压缩时,如果该zip压缩文件被劫持插入恶意代码,可能导致任意代码执行。

危害影响

成功利用漏洞的攻击者,可以远程读取应用数据、甚至执行任意代码,具体危害与受影响应用的功能和权限相关。iOS平台内置第三方解压缩库(经验证,包括但不限于SSZipArchive和ZipArchive两种库)的应用均可能受漏洞影响,安卓平台中使用第三方解压缩库进行解压缩的应用,如果没有对解压缩路径进行检查的可能也会受到漏洞影响。

修复建议

目前,相关厂商暂未发布解决方案,但可通过临时解决方案缓解漏洞造成的危害,具体措施如下:

1.在解压缩时对最终路径做“../”文件名和符号链接的过滤。

2.使用 https 下载资源,或者对下载的文件进行校验防止被恶意修改。

上一篇:没有了
下一篇:信息安全漏洞周报(2017.05.01-2017.05.07)
【打印此页】【返回顶部】【关闭本页】
宁波市计算机信息网络安全协会   版权所有 2011-2016   ICP备案号:浙ICP备06028402号   网站维护商:宁波公众
联系电话:0574-87815766/87815706    传真:0574-87815706
EMAIL:nbaqxh@163.com