已收录公众号数量：91 个
 |
强制性国标GB40050-2021《网络关键设备安全通用要求》发布 2021.02.25 07:12:50 93 |
 |
【安全热点周报】第183期:PoC和EXP流出,CVE-2021-21972 ... 2021.03.01 17:31:43 85 |
 |
漏洞情报 | SaltStack多个高危漏洞风险通告 2021.02.26 11:34:13 84 |
 |
VMware多个高危漏洞通告 2021.02.24 18:00:20 83 |
 |
和月薪3万的腾讯安全工程师聊天后,我想辞职了..... 2021.02.25 16:07:24 77 |
 |
Python 被爆大 Bug,攻击者可远程代码执行漏洞! 2021.02.26 17:00:59 73 |
 |
Vmware vcenter未授权任意文件/RCE漏洞的复现与分析 2021.02.28 13:13:56 69 |
 |
微软NetLogon特权提升漏洞复现(CVE-2020-1472) 2021.02.28 10:29:01 67 |
 |
《涉密信息系统集成资质管理办法》明日起正式实施(附全文) 2021.02.28 09:41:59 65 |
 |
SaltStack多个高危漏洞(CVE-2021-25283/25281/3197等) 2021.02.26 17:57:22 63 |
|
序号 |
厂商名称 |
漏洞数量（个） |
所占比例 |
|
1 |
谷歌 |
9 |
3.53% |
|
2 |
IBM |
6 |
2.35% |
|
3 |
Red Hat |
6 |
2.35% |
|
4 |
Linux 基金会 |
6 |
2.35% |
|
5 |
西科姆 |
6 |
2.35% |
本周国内 厂商漏洞16个，研华公司漏洞数量最多，有6个。国内厂商漏洞整体修复率为87.50%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。
从漏洞类型来看, 跨站脚本类的安全漏洞占比最大，达到9.02%。漏洞类型统计如表2所示。
表2 漏洞类型统计表
|
序号 |
漏洞类型 |
漏洞数量（个） |
所占比例 |
|
1 |
跨站脚本 |
23 |
9.02% |
|
2 |
SQL 注入 |
18 |
7.06% |
|
3 |
缓冲区错误 |
14 |
5.49% |
|
4 |
信息泄露 |
12 |
4.71% |
|
5 |
权限许可和访问控制问题 |
11 |
4.31% |
|
6 |
路径遍历 |
11 |
4.31% |
|
7 |
输入验证错误 |
9 |
3.53% |
|
8 |
访问控制错误 |
7 |
2.75% |
|
9 |
命令注入 |
7 |
2.75% |
|
10 |
操作系统命令注入 |
7 |
2.75% |
|
11 |
代码问题 |
6 |
2.35% |
|
12 |
资源管理错误 |
6 |
2.35% |
|
13 |
跨站请求伪造 |
6 |
2.35% |
|
14 |
注入 |
5 |
1.96% |
|
15 |
授权问题 |
3 |
1.18% |
|
16 |
信任管理问题 |
1 |
0.39% |
|
17 |
代码注入 |
1 |
0.39% |
|
18 |
加密问题 |
1 |
0.39% |
|
19 |
数据伪造问题 |
1 |
0.39% |
|
20 |
其他 |
105 |
41.18% |
（三）安全漏洞危害等级与修复情况
本周共发布超危漏洞20个，高危漏洞99个，中危漏洞127个，低危漏洞9个。相应修复率分别为80.00%、82.83%、70.87%和100.00%。根据补丁信息统计，合计197个漏洞已有修复补丁发布，整体修复率为77.25%。详细情况如表3所示。
表3 漏洞危害等级与修复情况
|
序号 |
危害等级 |
漏洞数量（个） |
修复数量（个） |
修复率 |
|
1 |
超危 |
20 |
16 |
80.00% |
|
2 |
高危 |
99 |
82 |
82.83% |
|
3 |
中危 |
127 |
90 |
70.87% |
|
4 |
低危 |
9 |
9 |
100.00% |
|
合计 |
255 |
197 |
77.25% |
|
（四）本周重要漏洞实例
本期重要漏洞实例如表4所示。
表4 本期重要漏洞实例
|
序号 |
漏洞 |
漏洞编号 |
厂商 |
漏洞实例 |
是否修复 |
危害等级 |
|
类型 |
||||||
|
1 |
操作系统命令注入 |
CNNVD-202102-1249 |
Accellion |
Accellion FTA 操作系统命令注入漏洞 |
是 |
超危 |
|
2 |
操作系统命令注入 |
CNNVD-202102-1136 |
Nagios |
Nagios XI 操作系统命令注入漏洞 |
是 |
高危 |
|
3 |
数据伪造问题 |
CNNVD-202102-1301 |
思科 |
思科 Cisco AnyConnect Secure Mobility Client 数据伪造问题漏洞 |
是 |
高危 |
1. Accellion FTA 操作系统命令注入漏洞（CNNVD-202102-1249）
Accellion FTA 是美国Accellion公司的一个企业内容防火墙。提供了一个防止来自第三方网络风险的数据泄露和违规行为。
Accellion FTA 中存在操作系统命令注入漏洞，该漏洞源于外部输入数据构造操作系统可执行命令过程中，网络系统或产品未正确过滤其中的特殊字符、命令导致。攻击者可利用该漏洞执行非法操作系统命令。
目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：
https://www.accellion.com/products/fta/
2. Nagios XI 操作系统命令注入漏洞（CNNVD-202102-1136）
NagiosXI 是美国Nagios公司的一套IT基础设施监控解决方案。该方案支持对应用、服务、操作系统等进行监控和预警。
NagiosXI xi-5.7.5 中存在操作系统命令注入漏洞，该漏洞源于外部输入数据构造可执行命令过程中，网络系统或产品未正确过滤其中的特殊元素。攻击者可利用该漏洞执行非法命令。
目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：
https://www.nagios.com/
3. 思科 Cisco AnyConnect Secure Mobility Client 数据伪造问题漏洞（CNNVD-202102-1301）
Cisco Anyconnect Secure Mobility Client 是美国思科（Cisco）公司的一款用于安全连接的VPN客户端软件。
Cisco AnyConnect Secure Mobility Client 中存在数据伪造问题漏洞，该漏洞源于网络系统或产品未充分验证数据的来源或真实性。攻击者可利用伪造的数据进行攻击。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-anyconnect-dll-hijac-JrcTOQMC
二、接报漏洞情况
本周CNNVD接报漏洞1493个，其中信息技术产品漏洞（通用型漏洞）13个，网络信息系统漏洞（事件型漏洞）1480个。
表5 本周漏洞报送情况
|
序号 |
报送单位 |
漏洞总量 |
|
1 |
上海斗像信息科技有限公司 |
980 |
|
2 |
网神信息技术（北京）股份有限公司 |
429 |
|
3 |
北京天地和兴科技有限公司 |
30 |
|
4 |
山东华鲁科技发展股份有限公司 |
16 |
|
5 |
北京数字观星科技有限公司 |
13 |
|
6 |
任子行网络技术股份有限公司 |
8 |
|
7 |
北京圣博润高新技术股份有限公司 |
5 |
|
8 |
河南听潮盛世信息技术有限公司 |
5 |
|
9 |
北京威努特技术有限公司 |
3 |
|
10 |
山东云天安全技术有限公司 |
3 |
|
11 |
恒安嘉新（北京）科技股份公司 |
1 |
|
报送总计 |
1493 |
|
三、接报漏洞预警情况
本周CNNVD接报漏洞预警6份。
|
序号 |
报送单位 |
预警总量 |
|
1 |
北京华云安信息技术有限公司 |
2 |
|
2 |
北京天融信网络安全技术有限公司 |
1 |
|
3 |
北京安天网络安全技术有限公司 |
1 |
|
4 |
北京华顺信安科技有限公司 |
1 |
|
5 |
内蒙古奥创科技有限公司 |
1 |
|
报送总计 |
6 |
|