信息安全漏洞周报（2023年第40期）
信息安全漏洞周报（2023年第40期）
CNNVD CNNVD安全动态 2023-10-12 16:10
点击蓝字 关注我们
根据国家信息安全漏洞库（CNNVD）统计，本周（2023年10月2日至2023年10月8日）安全漏洞情况如下：
公开漏洞情况
本周CNNVD采集安全漏洞467个。
接报漏洞情况
本周CNNVD接报漏洞2391个，其中信息技术产品漏洞（通用型漏洞）88个，网络信息系统漏洞（事件型漏洞）32个，漏洞平台推送漏洞2271个。
一、公开漏洞情况
根据国家信息安全漏洞库（CNNVD）统计，本周新增安全漏洞467个，漏洞新增数量有所下降。从厂商分布来看WordPress基金会新增漏洞最多，有98个；从漏洞类型来看，跨站脚本类的安全漏洞占比最大，达到15.63%。新增漏洞中，超危漏洞52个，高危漏洞146个，中危漏洞262个，低危漏洞7个。
（一） 安全漏洞增长数量情况
本周CNNVD采集安全漏洞467个。
图1 近五周漏洞新增数量统计图
（二） 安全漏洞分布情况
从厂商分布来看，WordPress基金会新增漏洞最多，有98个。各厂商漏洞数量分布如表1所示。
表1 新增安全漏洞排名前五厂商统计表
|
序号 |
厂商名称 |
漏洞数量（个） |
所占比例 |
|
1 |
WordPress基金会 |
98 |
20.99% |
|
2 |
紫光展锐 |
24 |
5.14% |
|
3 |
高通 |
22 |
4.71% |
|
4 |
友讯 |
14 |
3.00% |
|
5 |
Acronis |
14 |
3.00% |
本周国内厂商漏洞67个，紫光展锐公司漏洞数量最多，有24个。国内厂商漏洞整体修复率为82.09%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。
从漏洞类型来看, 跨站脚本类的安全漏洞占比最大，达到15.63%。漏洞类型统计如表2所示。
表2 漏洞类型统计表
|
序号 |
漏洞类型 |
漏洞数量（个） |
所占比例 |
|
1 |
跨站脚本 |
73 |
15.63% |
|
2 |
跨站请求伪造 |
67 |
14.35% |
|
3 |
SQL注入 |
22 |
4.71% |
|
4 |
缓冲区错误 |
21 |
4.50% |
|
5 |
代码问题 |
18 |
3.85% |
|
6 |
输入验证错误 |
15 |
3.21% |
|
7 |
操作系统命令注入 |
13 |
2.78% |
|
8 |
授权问题 |
9 |
1.93% |
|
9 |
资源管理错误 |
8 |
1.71% |
|
10 |
路径遍历 |
8 |
1.71% |
|
11 |
访问控制错误 |
4 |
0.86% |
|
12 |
日志信息泄露 |
4 |
0.86% |
|
13 |
注入 |
2 |
0.43% |
|
14 |
信息泄露 |
2 |
0.43% |
|
15 |
信任管理问题 |
2 |
0.43% |
|
16 |
代码注入 |
1 |
0.21% |
|
17 |
命令注入 |
2 |
0.21% |
|
18 |
其他 |
197 |
42.18% |
（三） 安全漏洞危害等级与修复情况
本周共发布超危漏洞52个，高危漏洞146个，中危漏洞262个，低危漏洞7个。相应修复率分别为65.38%、87.67%、85.50%和100.00%。根据补丁信息统计，合计393个漏洞已有修复补丁发布，整体修复率为84.15%。详细情况如表3所示。
表3 漏洞危害等级与修复情况
|
序号 |
危险等级 |
漏洞数量（个） |
修复数量（个） |
修复率 |
|
1 |
超危 |
52 |
34 |
65.38% |
|
2 |
高危 |
146 |
128 |
87.67% |
|
3 |
中危 |
262 |
224 |
85.50% |
|
4 |
低危 |
7 |
7 |
100.00% |
|
合计 |
467 |
393 |
84.15% |
|
（四） 本周重要漏洞实例
本周重要漏洞实例如表4所示。
表4 本期重要漏洞实例
|
序号 |
漏洞类型 |
漏洞编号 |
厂商 |
漏洞实例 |
是否修复 |
危害等级 |
|
1 |
其他 |
CNNVD-202310-240 |
IBM |
IBM Observability with Instana 安全漏洞 |
是 |
超危 |
|
2 |
其他 |
CNNVD-202310-219 |
谷歌 |
Google Chrome 安全漏洞 |
是 |
高危 |
|
3 |
资源管理错误 |
CNNVD-202310-083 |
Linux基金会 |
Linux kernel 资源管理错误漏洞 |
是 |
高危 |
1. IBM Observability with Instana 安全漏洞（CNNVD-202310-240）
IBM Observability with Instana是美国国际商业机器（IBM）公司的一个强大的应用程序性能监控解决方案，可以更快地跟踪性能和解决事件。
IBM Observability with Instana 存在安全漏洞。攻击者利用该漏洞可以在主机上执行任意代码。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://exchange.xforce.ibmcloud.com/vulnerabilities/259789
2. Google Chrome 安全漏洞（CNNVD-202310-219）
Google Chrome是美国谷歌（Google）公司的一款Web浏览器。V8是其中的一套开源JavaScript引擎。
Google Chrome 117.0.5938.149之前版本存在安全漏洞，该漏洞源于存在类型混淆问题。攻击者利用该漏洞可通过特制的HTML页面导致堆损坏。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://chromereleases.googleblog.com/2023/10/stable-channel-update-for-desktop.html
3. Linux kernel 资源管理错误漏洞（CNNVD-202310-083）
Linux kernel是美国Linux基金会的开源操作系统Linux所使用的内核。
Linux kernel存在资源管理错误漏洞，该漏洞源于fs/smb/client组件存在内存释放后重用问题。攻击者利用该漏洞可以提升权限。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=e6e43b8aa7cd3c3af686caf0c2e11819a886d705
二、漏洞平台推送情况
本周CNNVD接收漏洞平台推送漏洞2271个。
表5 本周漏洞平台推送情况
|
序号 |
漏洞平台 |
漏洞总量 |
|
1 |
漏洞盒子 |
974 |
|
2 |
补天平台 |
794 |
|
3 |
360漏洞云 |
503 |
|
推送总计 |
2271 |
|
三、接报漏洞情况
本周CNNVD接报漏洞120个，其中信息技术产品漏洞（通用型漏洞）88个，网络信息系统漏洞（事件型漏洞）32个。
表6 本周漏洞报送情况
|
序号 |
报送单位 |
漏洞总量 |
|
1 |
星云博创科技有限公司 |
22 |
|
2 |
个人 |
21 |
|
3 |
上海斗象信息科技有限公司 |
8 |
|
4 |
北方实验室（沈阳）股份有限公司 |
6 |
|
5 |
南京国云电力有限公司 |
6 |
|
6 |
广州锦行网络科技有限公司 |
5 |
|
7 |
杭州迪普科技股份有限公司 |
5 |
|
8 |
内蒙古中叶信息技术有限责任公司 |
5 |
|
9 |
北京时代新威信息技术有限公司 |
3 |
|
10 |
北京小佑网络科技有限公司 |
3 |
|
11 |
河南灵创电子科技有限公司 |
3 |
|
12 |
奇安信网神信息技术（北京）股份有限公司 |
3 |
|
13 |
北京安普诺信息技术有限公司 |
2 |
|
14 |
北京安天网络安全技术有限公司 |
2 |
|
15 |
北京奇虎科技有限公司 |
2 |
|
16 |
北京赛克艾威科技有限公司 |
2 |
|
17 |
博智安全科技股份有限公司 |
2 |
|
18 |
广州竞远安全技术股份有限公司 |
2 |
|
19 |
湖南泛联新安信息科技有限公司 |
2 |
|
20 |
湖南罗洪科技有限公司 |
2 |
|
21 |
华为技术有限公司 |
2 |
|
22 |
中国电信股份有限公司网络安全产品运营中心 |
2 |
|
23 |
北京墨云科技有限公司 |
1 |
|
24 |
北京中睿天下信息技术有限公司 |
1 |
|
25 |
杭州默安科技有限公司 |
1 |
|
26 |
河南天祺信息安全技术有限公司 |
1 |
|
27 |
河南悦海数安科技有限公司 |
1 |
|
28 |
赛尔网络有限公司 |
1 |
|
29 |
苏州棱镜七彩信息科技有限公司 |
1 |
|
30 |
天翼数智科技（北京）有限公司 |
1 |
|
31 |
网宿科技股份有限公司 |
1 |
|
32 |
远江盛邦(北京)网络安全科技股份有限公司 |
1 |
|
报送总计 |
120 |
|
四、收录漏洞通报情况
本周CNNVD收录漏洞通报67份。
表7本周漏洞通报情况
|
序号 |
报送单位 |
通报总量 |
|
1 |
内蒙古中叶信息技术有限责任公司 |
19 |
|
2 |
亚信科技（成都）有限公司 |
7 |
|
3 |
南京禾盾信息科技有限公司 |
6 |
|
4 |
奇安信网神信息技术（北京）股份有限公司 |
5 |
|
5 |
北京奇虎科技有限公司 |
4 |
|
6 |
广州锦行网络科技有限公司 |
4 |
|
7 |
北京安天网络安全技术有限公司 |
3 |
|
8 |
杭州迪普科技股份有限公司 |
3 |
|
9 |
北京门石信息技术有限公司 |
2 |
|
10 |
博智安全科技股份有限公司 |
2 |
|
11 |
河南灵创电子科技有限公司 |
2 |
|
12 |
深圳市魔方安全科技有限公司 |
2 |
|
13 |
天翼数智科技（北京）有限公司 |
2 |
|
14 |
北京山石网科信息技术有限公司 |
1 |
|
15 |
北京天融信网络安全技术有限公司 |
1 |
|
16 |
北京知道创宇信息技术股份有限公司 |
1 |
|
17 |
宁波和利时信息安全研究院有限公司 |
1 |
|
18 |
新华三技术有限公司 |
1 |
|
19 |
远江盛邦(北京)网络安全科技股份有限公司 |
1 |
|
收录总计 |
67 |
|