返回列表 发帖

国家信息安全漏洞库(CNNVD)8月月报

本帖最后由 水月渺渺 于 2017-9-8 13:35 编辑

111.jpg
本期导读

    漏洞态势

    根据国家信息安全漏洞库(CNNVD)统计,2017年8月份采集安全漏洞共1072个,Android平台成为黑客重要攻击目标。

    本月接报漏洞共计1818个,其中信息技术产品漏洞(通用型漏洞)79个,网络信息系统漏洞(事件型漏洞)1739个。

    重大漏洞预警

    本月,CNNVD收到关于美国Netsarang公司多款软件存在恶意代码情况的报送。该公司的Xshell、Xmanager等远程连接产品使用的nssock2.dll模块中存在恶意代码,可导致用户服务器账号、密码等信息上传至特定服务器。目前,Netsarang公司已针对上述受影响产品发布升级版本,用户可通过查看nssock2.dll的版本来确定是否受此影响,如受到此安全问题影响,请尽快将相关产品升级至最新版本。



漏洞态势
一、公开漏洞情况

根据国家信息安全漏洞库(CNNVD)统计,2017年8月份新增安全漏洞共1072个。从厂商分布来看,本月Google公司产品的漏洞数量最多,共发布119个;从漏洞类型来看,缓冲区错误类的漏洞占比最大,达到18.28%。本月新增漏洞中,超危漏洞190个、高危漏洞132个、中危漏洞685个、低危漏洞65个。相应修复率分别为97.37%、78.79%、78.83%以及86.15%。根据统计,合计885个漏洞已有修复补丁发布,本月整体修复率82.56%。

截至2017年8月31日,CNNVD发布漏洞总量已达99672个。
1.1 漏洞增长概况

2017年8月新增漏洞数量有所下降,共1072个,与上月(1190个)相比减少了9.92%。根据近6个月来漏洞新增数量统计图,平均每月漏洞数量达到1145个。
640wx_fmt=jpeg&wxfrom=5&wx_lazy=1.jpg
图1 2017年3月至2017年8月漏洞新增数量统计图

1.2 漏洞分布情况

1.2.1 漏洞厂商分布

8月厂商漏洞数量分布情况如表1所示,Google公司产品的漏洞数据最多,共发布119个,占本月漏洞总量的11.10%。本月Google、Adobe、ImageMagickStudio等公司的漏洞数量均有所上升。与之相反,Microsoft、IBM、Cisco等厂商的漏洞数量出现较不同程度的下降。
640wx_fmt=jpeg&wxfrom=5&wx_lazy=1(1).jpg
表1  2017年8月排名前十厂商新增安全漏洞统计表

1.2.2 漏洞产品分布

8月主流操作系统的漏洞统计情况如表2所示。本月Windows系列操作系统漏洞数量共10条。本月Android漏洞数量最多,达到113个,占主流操作系统漏洞总量的53.55%,排名第一。
640wx_fmt=jpeg&wxfrom=5&wx_lazy=1(2).jpg
表2  2017年8月主流操作系统漏洞数量统计

*由于Windows整体市占率高达百分之九十以上,所以上表针对不同的Windows版本分别进行统计。

*上表漏洞数量为影响该版本的漏洞数量,由于同一漏洞可能影响多个版本操作系统,计算某一系列操作系统漏洞总量时,不能对该系列所有操作系统漏洞数量进行简单相加。
1.2.3 漏洞类型分布

8月份发布的漏洞类型分布如表3所示,其中缓冲区错误类漏洞所占比例最大,约为18.28%。
640wx_fmt=jpeg&wxfrom=5&wx_lazy=1(3).jpg
表3  2017年8月漏洞类型统计表
1.2.4 漏洞危害等级分布

根据漏洞的影响范围、利用方式、攻击后果等情况,从高到低可将其分为四个危害等级,即超危、高危、中危和低危级别。8月漏洞危害等级分布如图2所示,其中超危漏洞190条,占本月漏洞总数的17.72%。
640wx_fmt=jpeg&wxfrom=5&wx_lazy=1(4).jpg
图2  2017年8月漏洞危害等级分布
1.3漏洞修复情况
1.3.1  整体修复情况

8月漏洞修复情况按危害等级进行统计见图3,其中超危漏洞修复率最高,达到97.37%,高危漏洞修复率最低,比例为78.79%,本月超危、中危和低危漏洞修复率有所上升,高危漏洞修复率有所下降,导致本月整体修复率上升,由上月的75.38%上升至本月的82.56%,上升了7.18个百分点。
640wx_fmt=jpeg&wxfrom=5&wx_lazy=1(5).jpg
图3   2017年8月漏洞修复数量统计
1.3.2  厂商修复情况

8月漏洞修复情况按漏洞数量前十厂商进行统计,多数知名厂商对产品安全高度重视,产品漏洞修复比较及时,其中KDDI、Liferay、Cloud4Wi、Splunk、Polycom、iniNet Soluti**、Joyent、Access Validation Error、Creolabs、Adobe等公司共518条漏洞已全部修复,占本月漏洞的48.32%。详细情况见表4。
640wx_fmt=jpeg&wxfrom=5&wx_lazy=1(6).jpg
表4  2017年8月厂商修复情况统计表

1.4 重要漏洞实例
1.4.1 超危漏洞实例

本月超危漏洞共190个,其中重要漏洞实例如表5所示。

表5  2017年8月超危漏洞实例


1. Novell openSUSE 代码注入漏洞(CNNVD-201708-774)

Novell openSUSE是美国Novell公司的一套基于Linux的自由操作系统。

Novell openSUSE中存在代码注入漏洞。攻击者可利用该漏洞执行任意代码。

解决措施:目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://bugzilla.suse.com/show_bug.cgi?id=679325

2. Unitrends Backup 授权问题漏洞(CNNVD-201708-304)

Unitrends Backup(UB)是美国Unitrends公司的一套数据保护软件。该软件提供数据备份、数据恢复和重复数据删除等功能。

UB 10.0.0之前的版本中的api/storage Web界面中存在安全漏洞,该漏洞源于程序没有验证输入参数。远程攻击者可利用该漏洞以root权限绕过身份验证,在目标系统上执行任意命令。

解决措施:目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://support.unitrends.com/UnitrendsBackup/s/article/000005756

3. Android Media framework(avc decoder) 权限许可和访问控制漏洞(CNNVD-201708-391)

Android是美国谷歌(Google)公司和开放手持设备联盟(简称OHA)共同开发的一套以Linux为基础的开源操作系统。Media framework(avc decoder)是其中的一个用于多媒体开发的avc解码器。

Android中的Media framework(avc decoder)存在远程代码执行漏洞。远程攻击者可利用该漏洞以提升的权限执行任意代码。以下版本受到影响:

- Android  4.4.4版本

- Android  5.0.2版本

- Android  5.1.1版本

- Android  6.0版本

- Android  6.0.1版本

- Android  7.0版本

- Android  7.1.1版本

- Android  7.1.2版本

解决措施:目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://source.android.com/security/bulletin/2017-08-01

4. Microsoft Windows JET Database Engine 缓冲区错误漏洞(CNNVD-201708-352)

Microsoft Windows是美国微软(Microsoft)公司发布的一系列操作系统。JET Database Engine是其中的一个数据库引擎。

Microsoft Windows中的JET Database Engine存在缓冲区溢出漏洞。远程攻击者可借助特制的数据库文件利用该漏洞在受影响的系统上执行代码。以下版本受到影响:

-  Windows Server 2008 SP2和R2 SP1

-   Windows 7 SP1

-   Windows 8.1

-  Windows Server 2012 Gold和R2

-   Windows RT 8.1

-   Windows 10

-  Windows 10版本1511

-  Windows 10版本1607

-  Windows 10版本1703

-   Windows Server 2016

解决措施:目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://portal.msrc.microsoft.co ... isory/CVE-2017-0250

5. Android Qualcomm闭源组件输入验证漏洞(CNNVD-201708-852)

Android是美国谷歌(Google)公司和开放手持设备联盟(简称OHA)共同开发的一套以Linux为基础的开源操作系统。Qualcomm closed-source components是其中的一个美国高通(Qualcomm)公司开发的闭源组件。

Android中的Qualcomm闭源组件存在安全漏洞。攻击者可利用该漏洞执行未授权的操作。

解决措施:目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://source.android.com/security/bulletin/2017-07-01
1.4.2 高危漏洞实例

本月高危漏洞共132个,其中重点漏洞实例如表6所示。
640wx_fmt=jpeg&wxfrom=5&wx_lazy=1(8).jpg
表6  2017年8月高危漏洞实例


1. Fortinet FortiManager SQL注入漏洞(CNNVD-201708-581)

Fortinet FortiManager是美国飞塔(Fortinet)公司的一套集中化网络安全管理平台。该平台支持集中管理任意数量的Fortinet设备,并能够将设备进行分组到不同的管理域(ADOM)进一步简化多设备安全部署与管理。

Fortinet FortiManager 5.0.11之前的5.0.x版本和5.2.2之前的5.2.x版本中存在SQL注入漏洞。远程攻击者可借助特制的参数利用该漏洞执行任意命令。

解决措施:目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://fortiguard.com/psirt/FG-IR-15-011

2. 多款Lenovo产品BIOS SMI Handler 代码注入漏洞(CNNVD-201708-381)

Lenovo IdeaCentre 300-20ISH等都是中国联想(Lenovo)公司的产品。Lenovo IdeaCentre 300-20ISH是一款台式计算机;ThinkServer RD540是一款服务器设备。BIOS SMI Handler是其中的一个管理信息结构处理程序。

多款Lenovo产品中的BIOS SMI Handler存在安全漏洞,该漏洞源于程序没有执行输入验证。攻击者可利用该漏洞运行特制的代码,绕过系统保护。以下版本受到影响:

-  Lenovo IdeaCentre 300-20ISH

-  Lenovo M4550 ID

-  ThinkCentre E73s

-  ThinkCentre M4500k

-  ThinkServer RD540

-  ThinkServer TS140

-  Thinkstation P510

-  Thinkstation P910等

解决措施:目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://support.lenovo.com/us/zh/product_security/len-14695

3. Apache Pony Mail授权问题漏洞(CNNVD-201708-1011)

Apache Pony Mail是美国阿帕奇(Apache)软件基金会的一款具有邮件归档、查看和交互功能的插件。

Apache Pony Mail 0.6c版本至0.8b版本中存在安全漏洞。远程攻击者可利用该漏洞绕过身份验证。

解决措施:目前厂商已发布升级补丁以修复漏洞,详情请关注厂商主页:

https://www.apache.org/

4. Cisco Virtual Network Function Element Manager操作系统命令注入漏洞(CNNVD-201708-718)

Cisco Virtual Network Function (VNF) Element Manager是美国思科(Cisco)公司的一款VNF(虚拟网络功能)的元素管理器。

Cisco VNF Element Manager 5.0.4之前的版本和5.1.4之前的版本中存在任意命令执行漏洞。远程攻击者可利用该漏洞将权限提升至root,并以root权限执行命令。

解决措施:目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://tools.cisco.com/security ... isco-sa-20170816-em

5. NVIDIA Windows GPU Display Driver权限许可和访问控制漏洞(CNNVD-201707-1617)


NVIDIA Windows GPU Display Driver是美国英伟达(NVIDIA)公司的一套专用于Windows的图形处理器(GPU)显卡驱动程序。kernel mode layer handler for DxgkDdiEscape是其中的一个DxgkDdiEscape的内核模式层处理程序。

NVIDIA Windows GPU Display Driver中的kernel mode layer (nvlddmkm.sys) handler for DxgkDdiEscape存在安全漏洞,该漏洞源于程序没有正确的处理‘input’参数。攻击者可利用该漏洞造成拒绝服务或提升权限。

解决措施:目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

http://nvidia.custhelp.com/app/answers/detail/a_id/4525

6. Mozilla Firefox Venkman缓冲区错误漏洞(CNNVD-201708-846)

Mozilla Firefox是美国Mozilla基金会开发的一款开源Web浏览器。Venkman是一个脚本调试器。

Mozilla Firefox 2.0.0.8版本中的Venkman脚本调试器存在远程代码执行漏洞。远程攻击者可利用该漏洞执行任意代码。

解决措施:目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://bugzilla.mozilla.org/show_bug.cgi?id=325761

7. IBM BigFix Platform Tivoli Endpoint Manager资源管理错误漏洞(CNNVD-201707-1577)


IBM BigFix Platform是美国IBM公司的一套动态的集成了消息内容驱动和管理系统的多技术平台。Tivoli Endpoint Manager是其中的一套终端控制软件。该软件可帮助用户查看和更新系统,向所有端点部署和管理补丁,并可通过持续管理修复问题。

IBM BigFix Platform 9.1版本、9.2版本和9.5版本中的Tivoli Endpoint Manager存在安全漏洞。攻击者可利用该漏洞造成拒绝服务(资源耗尽和系统崩溃)。

解决措施:目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

http://www-01.ibm.com/support/docview.wss?uid=swg22003222


二、接报漏洞情况

本月接报漏洞共计1818个,其中信息技术产品漏洞(通用型漏洞)79个,网络信息系统漏洞(事件型漏洞)1739个。
640wx_fmt=jpeg&wxfrom=5&wx_lazy=1(9).jpg
640wx_fmt=jpeg&wxfrom=5&wx_lazy=1(10).jpg
表7 2017年2月漏洞接报情况

三、重大漏洞预警

本月,CNNVD收到关于美国Netsarang公司多款软件存在恶意代码情况的报送。该公司的Xshell、Xmanager等远程连接产品使用的nssock2.dll模块中存在恶意代码,可导致用户服务器账号、密码等信息上传至特定服务器。目前,Netsarang公司已针对上述受影响产品发布升级版本,用户可通过查看nssock2.dll的版本来确定是否受此影响,如受到此安全问题影响,请尽快将相关产品升级至最新版本。国家信息安全漏洞库(CNNVD)对此进行了跟踪分析,具体情况如下:

    漏洞简介

NetSarang是美国的一家提供安全链接解决方案的公司,该公司的产品主要包括Xmanager, Xmanager 3D, Xshell, Xftp 和Xlpd等远程链接软件。

Xmanager, Xshell, Xftp, Xlpd等多款产品使用的nssock2.dll模块(5.0.0.26版本)中存在恶意代码。攻击者可能通过该恶意代码获取用户服务器账号、密码、网络信息等信息,进一步实施远程攻击。截止目前,下列版本的产品确认存在恶意代码:

Xshell Build 5.0.1322

Xshell Build 5.0.1325

Xmanager Enterprise 5.0 Build 1232

Xmanager 5.0 Build 1045

Xmanager 5.0 Build 1048

Xftp 5.0 Build 1218

Xftp 5.0 Build 1221

Xlpd 5.0 Build 1220

    漏洞危害

  Xshell 、Xmanager、Xftp等远程链接产品在安全运维中使用范围较广,如Xshell软件用于在Windows平台上安全访问Unix/Linux主机,Xmanager用于在本地电脑同时运行Unix/Linux和Windows图形化程序。上述存在恶意代码的产品会通过DNS隧道发送数据,其中可能包含了用户服务器的账号、密码、IP等信息,攻击者一旦获取以上信息,可进一步窃取或修改用户服务器的敏感信息,对用户服务器造成较为严重的影响。

    修复措施

目前,NetSarang官方已针对上述受影响产品发布升级版本以修复此安全问题。请受影响用户及时检查是否受影响。如确认受到影响,请尽快升级最新版本。

【自查方式】

用户可通过查看nssock2.dll的版本来确定是否受此影响,即在软件安装目录下找到nssock2.dll文件,右键该文件查看属性,如果版本号为5.0.0.26则存在后门代码。

【升级修复】

受影响的用户,可升级至NetSarang官方针对各软件发布的最新版本以消除漏洞影响, 链接:

https://www.netsarang.com/download/software.html


数据来源:CNNVD
640wx_fmt=jpeg&wxfrom=5&wx_lazy=1(7).jpg (64.07 KB) 640wx_fmt=jpeg&wxfrom=5&wx_lazy=1(7).jpg
1 评分人数
    1. 小雨9010: 楼主棒棒哒,辛苦金币 + 10 枚
收藏 1
竹杖芒鞋轻胜马 一蓑烟雨任平生
沙发
1 评分人数
    1. 小雨9010: 积极参与金币 + 5 枚
TOP
看看
TOP
返回列表
乐天堂官网