亚洲成a人片在线不卡一二三区,亚洲AAAAA特级,欧美亚洲欧美亚洲

您所在的位置：首頁 > 安全研究 > 安全通告 > 信息安全漏洞月報（2023年9月）

信息安全漏洞月報（2023年9月）

漏洞態(tài)勢

根據(jù)國家信息安全漏洞庫(CNNVD)統(tǒng)計，2023年9月采集安全漏洞共2047個。

本月接報漏洞55519個，其中信息技術產(chǎn)品漏洞(通用型漏洞)626個，網(wǎng)絡信息系統(tǒng)漏洞(事件型漏洞)54893個，其中漏洞平臺推送漏洞54454個。

重大漏洞通報

Linux kernel 安全漏洞(CNNVD-202309-2146、CVE-2023-42753)情況的報送。成功利用漏洞的攻擊者可導致系統(tǒng)崩潰或提升本地用戶權(quán)限。linux kernel 6.6、linux kernel 7.0、linux kernel 8.0、linux kernel 9.0等版本均受漏洞影響。目前，Linux官方已經(jīng)發(fā)布了版本更新修復了該漏洞，建議用戶及時確認產(chǎn)品版本，盡快采取修補措施。

漏洞態(tài)勢

一、公開漏洞情況

根據(jù)國家信息安全漏洞庫(CNNVD)統(tǒng)計，2023年9月新增安全漏洞共2047個，從廠商分布來看，WordPress基金會公司產(chǎn)品的漏洞數(shù)量最多，共發(fā)布195個;從漏洞類型來看，跨站腳本類的漏洞占比最大，達到19.93%。本月新增漏洞中，超危漏洞354個、高危漏洞701個、中危漏洞938個、低危漏洞54個，相應修復率分別為62.71%、79.03%、80.38%以及83.33%。合計1575個漏洞已有修復補丁發(fā)布，本月整體修復率76.94%。

截至2023年9月30日，CNNVD采集漏洞總量已達220188個。

1.1 漏洞增長概況

2023年9月新增安全漏洞2047個，與上月(2487個)相比減少了17.69%。根據(jù)近6個月漏洞新增數(shù)量統(tǒng)計圖，平均每月漏洞數(shù)量達到2293個。

信息安全漏洞月報（2023年9月）圖1

圖1 2023年4月至2023年9月漏洞新增數(shù)量統(tǒng)計圖

1.2 漏洞分布情況

1.2.1 漏洞廠商分布

2023年9月廠商漏洞數(shù)量分布情況如表1所示，WordPress基金會公司漏洞達到195個，占本月漏洞總量的9.53%。

信息安全漏洞月報（2023年9月）表1

1.2.2 漏洞產(chǎn)品分布

2023年9月主流操作系統(tǒng)的漏洞統(tǒng)計情況如表2所示。本月Windows系列操作系統(tǒng)漏洞數(shù)量共27個，Apple macOS漏洞數(shù)量最多，共53個，占主流操作系統(tǒng)漏洞總量的16.77%，排名第一。

信息安全漏洞月報（2023年9月）表2

1.2.3 漏洞類型分布

2023年9月發(fā)布的漏洞類型分布如表3所示，其中跨站腳本類漏洞所占比例最大，約為19.93%。表3 2023年9月漏洞類型統(tǒng)計表序號漏洞類型漏洞數(shù)量(個)所占比例

信息安全漏洞月報（2023年9月）表3

1.2.4 漏洞危害等級分布

根據(jù)漏洞的影響范圍、利用方式、攻擊后果等情況，從高到低可將其分為四個危害等級，即超危、高危、中危和低危級別。2023年9月漏洞危害等級分布如圖2所示，其中超危漏洞354條，占本月漏洞總數(shù)的17.29%。

CNNVD信息安全漏洞月報（2023年9月）圖2

圖2 2023年9月漏洞危害等級分布

1.3漏洞修復情況

1.3.1 整體修復情況

2023年9月漏洞修復情況按危害等級進行統(tǒng)計見圖3。其中低危漏洞修復率最高，達到83.33%，超危漏洞修復率最低，比例為62.71%。總體來看，本月整體修復率由上月的78.09%下降至本月的76.94%。

CNNVD信息安全漏洞月報（2023年9月）圖3

圖3 2023年9月漏洞修復數(shù)量統(tǒng)計

1.3.2 廠商修復情況

2023年9月漏洞修復情況按漏洞數(shù)量前十廠商進行統(tǒng)計，其中WordPress基金會、Apple、Microsoft等十個廠商共577條漏洞，占本月漏洞總數(shù)的28.19%，漏洞修復率為94.11%，詳細情況見表4。多數(shù)知名廠商對產(chǎn)品安全高度重視，產(chǎn)品漏洞修復比較及時，其中Apple、Microsoft、Google、Qualcomm、Cisco、Siemens、IBM等公司本月漏洞修復率均為100%，共543條漏洞已全部修復。

信息安全漏洞月報（2023年9月）表4

1.4 重要漏洞實例

1.4.1 超危漏洞實例

2023年9月超危漏洞共354個，其中重要漏洞實例如表5所示。

表5 2023年9月超危漏洞實例（詳情略）

1、MRV Tech Logging Administration Panel SQL注入漏洞(CNNVD-202309-2452)

MRV Tech Logging Administration Panel是美國MRV Tech公司的一個日志管理面板。

MRV Tech Logging Administration Panel 20230915之前版本存在SQL注入漏洞，該漏洞源于存在SQL注入漏洞。

目前廠商已發(fā)布升級補丁以修復漏洞，詳情請關注廠商主頁：

http://www.mrv.com.tr/default

2、Apple Safari 代碼問題漏洞(CNNVD-202309-2063)

Apple Safari是美國蘋果(Apple)公司的一款Web瀏覽器，是Mac OS X和iOS操作系統(tǒng)附帶的默認瀏覽器。

Safari 16.6.1之前版本存在代碼問題漏洞，該漏洞源于在處理網(wǎng)頁內(nèi)容時可能會導致任意代碼執(zhí)行。

目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：

https://support.apple.com/en-us/HT213930

3、Cisco Catalyst SD-WAN Manager 授權(quán)問題漏洞(CNNVD-202309-2468)

Cisco Catalyst是美國思科(Cisco)公司的一系列交換機。

Cisco Catalyst SD-WAN Manager 存在安全漏洞，該漏洞源于安全斷言標記語言 (SAML) API 中的漏洞可能允許未經(jīng)身份驗證的遠程攻擊者以任意用戶身份獲得對應用程序的未經(jīng)授權(quán)的訪問。

目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-vman-sc-LRLfu2z

4、Thinkreed F-RevoCRM 操作系統(tǒng)命令注入漏洞(CNNVD-202309-406)

Thinkreed F-RevoCRM是日本Thinkreed公司的一套開源的客戶關系管理軟件。

Thinkreed F-RevoCRM 存在安全漏洞，該漏洞源于可以在 F-RevoCRM 的操作操作系統(tǒng)上執(zhí)行任何命令。

目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：

https://f-revocrm.jp/2023/08/9394/

5、Mozilla Firefox 緩沖區(qū)錯誤漏洞(CNNVD-202309-2281)

Mozilla Firefox是美國Mozilla基金會的一款開源Web瀏覽器。

Mozilla Firefox存在安全漏洞，該漏洞源于FilterNodeD2D1存在越界寫入漏洞。

目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：

https://www.mozilla.org/en-US/security/advisories/mfsa2023-41/

6、sing-box 訪問控制錯誤漏洞(CNNVD-202309-2202)

sing-box是Project S開源的一個通用代理平臺。

Sing-box 1.5.0-rc.5之前版本存在訪問控制錯誤漏洞，該漏洞源于允許攻擊者繞過身份驗證。

目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：

https://github.com/SagerNet/sing-box/security/advisories/GHSA-r5hm-mp3j-285g

7、Mozilla Firefox 資源管理錯誤漏洞(CNNVD-202309-2277)

Mozilla Firefox是美國Mozilla基金會的一款開源Web瀏覽器。

Mozilla Firefox存在安全漏洞，該漏洞源于Ion Engine存在內(nèi)存損壞漏洞。

目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：

https://www.mozilla.org/en-US/security/advisories/mfsa2023-41/

8、Google Android 輸入驗證錯誤漏洞(CNNVD-202309-626)

Google Android是美國谷歌(Google)公司的一套以Linux為基礎的開源操作系統(tǒng)。

Google Android 存在安全漏洞。目前尚無此漏洞的相關信息，請隨時關注CNNVD或廠商公告。

目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：

https://source.android.com/docs/security/bulletin/2023-09-01

1.4.2 高危漏洞實例

2023年9月高危漏洞共701個，其中重要漏洞實例如表6所示。

表6 2023年9月高危漏洞實例（詳情略）

1、BlackBerry AtHoc SQL注入漏洞(CNNVD-202309-880)

BlackBerry AtHoc是加拿大黑莓(BlackBerry)公司的一款面向聯(lián)邦、州和地方政府、公共安全和執(zhí)法機構(gòu)以及學校的危機通信解決方案。

BlackBerry AtHoc 7.15版本存在安全漏洞，該漏洞源于Management Console功能中存在SQL注入漏洞。攻擊者可利用該漏洞進行讀取敏感數(shù)據(jù)、修改數(shù)據(jù)等操作。

目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：

https://support.blackberry.com/kb/articleDetail?articleNumber=000112406

2、Ivanti Endpoint Manager 代碼問題漏洞(CNNVD-202309-2072)

Ivanti Endpoint Manager(EPM)是美國Ivanti公司的一套端點安全管理器。

Ivanti Endpoint Manager 2022 SU4 之前版本存在安全漏洞，該漏洞源于CSEP 組件中存在XML 外部實體注入，在 XML 解析器配置中啟用外部實體引用，攻擊者利用此漏洞可能會導致文件泄露或服務器端請求偽造。

目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：

https://www.ivanti.com/releases

3、Honeywell Products 授權(quán)問題漏洞(CNNVD-202309-895)

Honeywell Products是美國霍尼韋爾(Honeywell)公司的一系列產(chǎn)品。

Honeywell PM43 P10.19.050004之前版本存在授權(quán)問題漏洞，該漏洞源于存在會話固定漏洞，允許通過預測偽造會話憑證。

目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：

https://hsmftp.honeywell.com/en/Software/Printers/Industrial/PM23-PM23c-PM43-PM43c/Current/Firmware/firmwaresignedP1019050004

4、Aruba Networks Airwave 操作系統(tǒng)命令注入漏洞(CNNVD-202309-385)

Aruba Networks Airwave是美國安移通(Aruba Networks)公司的一個可對有線無線網(wǎng)絡進行可視、追蹤、管理的軟件。

Aruba Networks Airwave 7.7.14.2之前版本、8.x版本至8.0.7之前版本存在安全漏洞。攻擊者利用該漏洞遠程執(zhí)行操作系統(tǒng)命令，導致文件泄露。

目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：

https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2015-005.txt

5、Linux kernel 緩沖區(qū)錯誤漏洞(CNNVD-202309-2146)

Linux kernel是美國Linux基金會的開源操作系統(tǒng)Linux所使用的內(nèi)核。

Linux kernel 6.6 版本存在緩沖區(qū)錯誤漏洞，該漏洞源于netfilter 子系統(tǒng)中發(fā)現(xiàn)了一個數(shù)組索引，丟失的宏可能會導致h->nets數(shù)組偏移量計算錯誤，從而為攻擊者提供了任意增加或減少內(nèi)存緩沖區(qū)越界的原語，導致系統(tǒng)崩潰或權(quán)限提升。

目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：

https://github.com/torvalds/linux/commit/050d91c03b28ca479df13dfb02bcd2c60dd6a878

6、SolarWinds Serv-U FTP Server 訪問控制錯誤漏洞(CNNVD-202309-599)

SolarWinds Serv-U FTP Server是美國SolarWinds公司的一套FTP和MFT文件傳輸軟件。

SolarWinds Serv-U FTP Server 15.4 HF2之前版本存在訪問控制錯誤漏洞，該漏洞源于攻擊者可以繞過多因素/雙因素身份驗證。

目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：

https://www.solarwinds.com/trust-center/security-advisories/CVE-2023-40060

7、Apple iOS 和 iPadOS 資源管理錯誤漏洞(CNNVD-202309-2213)

Apple iOS和Apple iPadOS都是美國蘋果(Apple)公司的產(chǎn)品。Apple iOS是一套為移動設備所開發(fā)的操作系統(tǒng)。Apple iPadOS是一套用于iPad平板電腦的操作系統(tǒng)。

Apple iOS 17 和 iPadOS 17 存在資源管理錯誤漏洞，該漏洞源于處理 Web 內(nèi)容可能會導致任意代碼執(zhí)行。

目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：

https://support.apple.com/en-us/HT213938

8、Cisco IOS XE Software 輸入驗證錯誤漏洞(CNNVD-202309-2471)

Cisco IOS XE Software是美國思科(Cisco)公司的一個操作系統(tǒng)。用于企業(yè)有線和無線訪問，匯聚，核心和WAN的單一操作系統(tǒng)，Cisco IOS XE降低了業(yè)務和網(wǎng)絡的復雜性。

Cisco IOS XE Software 存在安全漏洞，該漏洞源于 Web UI 中的漏洞可能允許經(jīng)過身份驗證的遠程攻擊者對受影響的設備執(zhí)行注入攻擊。

目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-webui-cmdij-FzZAeXAy

二、漏洞平臺推送情況

2023年9月漏洞平臺推送漏洞54454個。

信息安全漏洞月報（2023年9月）表7

三、接報漏洞情況

2023年9月接報漏洞1065個，其中信息技術產(chǎn)品漏洞(通用型漏洞)626個，網(wǎng)絡信息系統(tǒng)漏洞(事件型漏洞)439個。

表8 2023年9月接報漏洞情況表（詳情略）

四、重大漏洞通報

Linux kernel安全漏洞的通報

近日，Linux kernel 安全漏洞(CNNVD-202309-2146、CVE-2023-42753)情況的報送。成功利用漏洞的攻擊者可導致系統(tǒng)崩潰或提升本地用戶權(quán)限。linux kernel 6.6、linux kernel 7.0、linux kernel 8.0、linux kernel 9.0等版本均受漏洞影響。目前，Linux官方已經(jīng)發(fā)布了版本更新修復了該漏洞，建議用戶及時確認產(chǎn)品版本，盡快采取修補措施。

. 漏洞介紹

Linux kernel是美國Linux基金會的開源操作系統(tǒng)Linux所使用的內(nèi)核。Linux kernel存在安全漏洞，在Linux kernel中的子系統(tǒng)netfilter，主要用于過濾數(shù)據(jù)包、執(zhí)行網(wǎng)絡地址轉(zhuǎn)換等。該漏洞源于在netfilter中發(fā)現(xiàn)了一個數(shù)組索引，丟失的宏可能會使h->nets數(shù)組偏移量計算錯誤，從而導致系統(tǒng)崩潰或權(quán)限提升。

. 危害影響

成功利用漏洞的攻擊者可導致系統(tǒng)崩潰或提升本地用戶權(quán)限。linux kernel 6.6、linux kernel 7.0、linux kernel 8.0、linux kernel 9.0等版本均受漏洞影響。

. 修復建議

目前，Linux官方已經(jīng)發(fā)布了版本更新修復了該漏洞，建議用戶及時確認產(chǎn)品版本，盡快采取修補措施。參考鏈接如下：

https://access.redhat.com/security/cve/CVE-2023-42753

來源：CNNVD安全動態(tài)

您所在的位置： 首頁 > 安全研究 > 安全通告 > 信息安全漏洞月報（2023年9月）

您所在的位置：首頁 > 安全研究 > 安全通告 > 信息安全漏洞月報（2023年9月）