2021年CNVD漏洞周报第49期（2021年12月06日-2021年12月12日）

本周漏洞态势研判情况

本周信息安全漏洞威胁整体评价级别为中。

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞658个，其中高危漏洞176个、中危漏洞430个、低危漏洞52个。漏洞平均分值为5.73。本周收录的漏洞中，涉及0day漏洞387个（占59%），其中互联网上出现“WordPress Survey And Poll SQL注入漏洞、Sourcecodester Alumni Management System跨站脚本漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的原创漏洞总数35692个，与上周（10359个）环比增加245%。

图1 CNVD收录漏洞近10周平均分值分布图

本周漏洞事件处置情况

本周，CNVD向银行、保险、能源等重要行业单位通报漏洞事件24起，向基础电信企业通报漏洞事件32起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件581起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件191起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件90起。

此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：

淄博闪灵网络科技有限公司、重庆聚合科技有限公司、中科博华信息科技有限公司、长沙市灵心康复器材有限公司、友讯电子设备（上海）有限公司、兄弟（中国）商业有限公司、新天科技股份有限公司、武汉捷讯信息技术有限公司、武汉烽火众智数字技术有限责任公司、网经科技（苏州）有限公司、天津神州浩天科技有限公司、苏州万户网络科技有限公司、苏州托普斯网络科技有限公司、泗洪雷速软件有限公司、四平市九州易通科技有限公司、四创科技有限公司、世邦通信股份有限公司、石家庄市征红网络科技有限公司、深圳市西迪特科技有限公司、深圳市微耕实业有限公司、深圳市必联电子有限公司、上海卓卓网络科技有限公司、上海亿速网络科技有限公司、上海蓝山办公软件有限公司、上海斐讯数据通信技术有限公司、上海泛微网络科技股份有限公司、上海贝锐信息科技股份有限公司、上海阿法迪智能数字科技股份有限公司、山西先启科技有限公司、山东潍微科技股份有限公司、山东金钟科技集团股份有限公司、厦门昕桐科技有限公司、厦门海为科技有限公司、三星（中国）投资有限公司、普联技术有限公司、欧姆龙（中国）有限公司、南京云网汇联软件技术有限公司、茉柏枘（上海）软件科技有限公司、迈普通信技术股份有限公司、辽宁畅通数据通信有限公司、浪潮通用软件有限公司、金华市宁志网络科技有限公司、江苏金智教育信息股份有限公司、佳能（中国）有限公司、惠普贸易（上海）有限公司、湖南强智科技发展有限公司、湖南翱云网络科技有限公司、衡水金航计算机科技有限公司、杭州奕锐电子有限公司、杭州三汇信息工程有限公司、杭州合泰软件有限公司、杭州迪普科技股份有限公司、海南驰豹科技有限公司、海尔集团电子商务有限公司、贵州觅新科技有限公司、广州图创计算机软件开发有限公司、广州齐博网络科技有限公司、广州南方卫星导航仪器有限公司、广州合优网络科技有限公司、广东紫旭科技有限公司、广东环天电子技术发展有限公司、甘肃成兴信息科技有限公司、富士胶片（中国）投资有限公司、福建银达汇智信息科技股份有限公司、福建福昕软件开发股份有限公司、佛山市顺德区出格软件设计有限公司、成都索贝数码科技股份有限公司、成都思必得信息技术有限公司、常州文庭软件有限公司、北京中航讯科技股份有限公司、北京易讯思达科技开发有限公司、北京信安世纪科技股份有限公司、北京文网亿联科技有限公司、北京万户网络技术有限公司、北京天星组态软件有限公司、北京天生创想信息技术有限公司、北京魔方恒久软件有限公司、北京美特软件技术有限公司、北京猎豹移动科技有限公司、北京慧图科技（集团）股份有限公司、北京爱奇艺科技有限公司、百度安全应急响应中心、爱普生（中国）有限公司、信呼、大米CMS、中环CMS、小说精品屋、物美智能、工作易人才招聘系统、XnSoft、Typecho、TwoThink、TOTOLINK、SEMCMS、Sapido Technology Inc、Opto22、Irfan Skiljan、Emerson、Dnsmasq、Belkin International,Inc、Bandisoft、Apache Software Foundation、Deciso B.V.和Adobe。

本周，CNVD发布了《关于Apache Log4j2存在远程代码执行漏洞的安全公告》。详情参见CNVD网站公告内容。

https://www.cnvd.org.cn/webinfo/show/7116

本周漏洞报送情况统计

本周报送情况如表1所示。其中，厦门服云信息科技有限公司、北京天融信网络安全技术有限公司、新华三技术有限公司、哈尔滨安天科技集团股份有限公司、恒安嘉新（北京）科技股份公司等单位报送公开收集的漏洞数量较多。新疆海狼科技有限公司、北京华顺信安科技有限公司、北京信联科汇科技有限公司、河南信安世纪科技有限公司、河南灵创电子科技有限公司、广东蓝爵网络安全技术股份有限公司、山东新潮信息技术有限公司、山东云天安全技术有限公司、南京树安信息技术有限公司、北京山石网科信息技术有限公司、快页信息技术有限公司、浙江木链物联网科技有限公司、京东云安全、北京安帝科技有限公司、重庆都会信息科技有限公司、上海纽盾科技股份有限公司、南京领行科技股份有限公司、博智安全科技股份有限公司、北京云科安信科技有限公司（Seraph安全实验室）、广州易东信息安全技术有限公司、福建省海峡信息技术有限公司、安徽长泰科技有限公司、平安银河实验室、浙江大华技术股份有限公司、星云博创科技有限公司、北京机沃科技有限公司、深圳市魔方安全科技有限公司、北京百度网讯科技有限公司、河南天祺信息安全技术有限公司、思而听网络科技有限公司、百度AIoT安全团队、浙江大学控制科学与工程学院、内蒙古洞明科技有限公司、北京时代新威信息技术有限公司、四川博恩信息技术有限公司、北京君云天下科技有限公司、北京边界无限科技有限公司、杭州天谷信息科技有限公司及其他个人白帽子向CNVD提交了35692个以事件型漏洞为主的原创漏洞，其中包括奇安信网神（补天平台）、斗象科技（漏洞盒子）和上海交大向CNVD共享的白帽子报送的30259条原创漏洞信息。

表1 漏洞报送情况统计表

本周漏洞按类型和厂商统计

本周，CNVD收录了658个漏洞。WEB应用345个，应用程序192个，网络设备（交换机、路由器等网络端设备）71个，智能设备（物联网终端设备）23个，操作系统17个， 安全产品7个，数据库3个。

表2 漏洞按影响类型统计表

图2 本周漏洞按影响类型分布

CNVD整理和发布的漏洞涉及石家庄市征红网络科技有限公司、淄博闪灵网络科技有限公司、D-Link等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。

表3 漏洞产品涉及厂商分布统计表

本周行业漏洞收录情况

本周，CNVD收录了58个电信行业漏洞，7个移动互联网行业漏洞，6个工控行业漏洞（如下图所示）。其中，“D-Link DIR-615缓冲区溢出漏洞、D-LINK DIR-3040信息泄露漏洞（CNVD-2021-94832）”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序，请参照CNVD相关行业漏洞库链接。

电信行业漏洞链接：http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接：http://mi.cnvd.org.cn/

工控系统行业漏洞链接：http://ics.cnvd.org.cn/

图3 电信行业漏洞统计

图4 移动互联网行业漏洞统计

图5 工控系统行业漏洞统计

本周重要漏洞安全告警

本周，CNVD整理和发布以下重要安全漏洞信息。

1、Adobe产品安全漏洞

Adobe Reader（也被称为Acrobat Reader）是Adobe公司开发的一款PDF文件阅读软件。Adobe Acrobat是由Adobe公司开发的一款PDF编辑软件。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞读取任意文件系统，执行任意代码等。

CNVD收录的相关漏洞包括：Adobe Acrobat/Reader释放后重用漏洞（CNVD-2021-94911、CNVD-2021-94912、CNVD-2021-94913、CNVD-2021-94914）、Adobe Acrobat/Reader栈缓冲区溢出漏洞（CNVD-2021-94917、CNVD-2021-94916）、Adobe Acrobat/Reader越界写入漏洞（CNVD-2021-94918）、Adobe Acrobat/Reader越界读取漏洞（CNVD-2021-94939）。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94911

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94912

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94913

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94914

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94917

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94916

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94918

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94939

2、D-Link产品安全漏洞

D-Link DIR-809是中国友讯（D-Link）公司的一款双频路由器。D-Link DIR-605L是D-link公司推出的第一款云路由器，传输速度为300Mpbs。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取用户名和密码，导致拒绝服务或执行任意代码等。

CNVD收录的相关漏洞包括：D-Link DIR-809 formStaticDHCP缓冲区溢出漏洞、D-Link DIR-809 formSetPortTr缓冲区溢出漏洞（CNVD-2021-94717）、D-Link DIR-809 formVirtualApp缓冲区溢出漏洞、D-Link DIR-809 formVirtualServ缓冲区溢出漏洞（CNVD-2021-94719）、D-Link DIR-809 formSetPortTr缓冲区溢出漏洞、D-Link DIR-809 formWlanSetup缓冲区溢出漏洞、D-Link DIR-809 formAdvFirewall缓冲区溢出漏洞、D-Link DIR-605L信息泄露漏洞。其中，除“D-Link DIR-605L信息泄露漏洞”外，其余漏洞综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94716

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94717

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94718

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94719

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94721

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94723

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94722

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94835

3、Dell产品安全漏洞

Dell EMC iDRAC9是美国戴尔（DELL）公司的一套包含硬件和软件的系统管理解决方案。该方案为Dell PowerEdge系统提供远程管理、崩溃系统恢复和电源控制等功能。Dell EMC PowerFlex是美国戴尔（DELL）公司的一个应用软件。提供极高的灵活性和可扩展性，以及企业级性能和弹性，同时简化基础设施的管理和操作。Dell OpenManage Enterprise是美国戴尔（DELL）公司的一款用于IT基础架构管理的易于使用的一对多系统管理控制台。 该软件支持一个控制台中经济高效地为 Dell EMC PowerEdge 服务器提供全面的生命周期管理。Dell PowerEdge Server BIOS是美国戴尔（DELL）公司的一款系统更新驱动程序。Dell Emc Streaming Data Platform是美国戴尔（Dell）公司的一个用于实时摄取、存储和分析连续流数据的平台。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞欺骗受害者用户点击恶意制作的链接，将用户重定向到任意的链接地址，执行非法SQL命令，导致客户端代码执行等。

CNVD收录的相关漏洞包括：Dell EMC iDRAC9跨站脚本漏洞（CNVD-2021-94891、CNVD-2021-94895、CNVD-2021-94894）、Dell EMC iDRAC9输入验证错误漏洞（CNVD-2021-94890）、Dell powerflex presentation server数据伪造问题漏洞、Dell OpenManage Enterprise操作系统命令注入漏洞、Dell PowerEdge缓冲区溢出漏洞、Dell EMC Streaming Data Platform SQL注入漏洞。其中，“Dell PowerEdge缓冲区溢出漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94891

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94890

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94896

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94895

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94894

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94898

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94897

https://www.cnvd.org.cn/flaw/show/CNVD-2021-95602

4、ZOHO产品安全漏洞

ZOHO ManageEngine SupportCenter Plus是ZOHO公司的一种基于Web的客户支持软件。ZOHO ManageEngine M365 Manager Plus是ZOHO公司的一个广泛 Microsoft 365工具。ZOHO ManageEngine ADManager Plus是美国Zoho公司的一个 Active Directory (AD) 管理和报告解决方案。ZOHO ManageEngine Log360是美国卓豪（ZOHO）公司的一个集成的日志管理和Active Directory审计和警报解决方案。ZOHO ManageEngine Network Configuration Manager是美国ZOHO公司的一种多供应商网络变更、配置和合规性管理 (Nccm) 解决方案。ZOHO ManageEngine ServiceDesk Plus（SDP）是美国卓豪（ZOHO）公司的一套基于ITIL架构的IT服务管理软件。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞通过SSO接管帐户，获取敏感数据，远程执行代码等。

CNVD收录的相关漏洞包括：ZOHO ManageEngine SupportCenter Plus跨站脚本漏洞（CNVD-2021-94825、CNVD-2021-94824）、ZOHO ManageEngine M365 Manager Plus文件上传漏洞、ZOHO ManageEngine ADManager Plus授权问题漏洞、ZOHO ManageEngine Log360访问控制错误漏洞、ZOHO ManageEngine Network Configuration Manager命令注入漏洞、ZOHO ManageEngine SupportCenter Plus服务器端请求伪造漏洞、ZOHO ManageEngine ServiceDesk Plus远程代码执行漏洞。其中，“ZOHO ManageEngine M365 Manager Plus文件上传漏洞、ZOHO ManageEngine ADManager Plus授权问题漏洞、ZOHO ManageEngine Log360访问控制错误漏洞、ZOHO ManageEngine Network Configuration Manager命令注入漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94825

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94824

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94823

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94829

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94828

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94827

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94826

https://www.cnvd.org.cn/flaw/show/CNVD-2021-94846

5、Philips Healthcare Tasy Electronic Medical Record (EMR) SQL注入漏洞

Philips Healthcare Tasy Electronic Medical Record (EMR)是一个全面的医疗信息学解决方案，涉及医疗环境的所有领域，将医疗保健连续体中临床和非临床领域的点连接起来。本周，Philips Healthcare Tasy Electronic Medical Record (EMR)被披露存在SQL注入漏洞。攻击者可通过CorCad_F2/executaConsultaEspecifico IE_CORPO_ASSIST或CD_USUARIO_CONVENIO参数利用该漏洞进行SQL注入攻击。目前，厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

参考链接：https://www.cnvd.org.cn/flaw/show/CNVD-2021-94943

更多高危漏洞如表4所示，详细信息可根据CNVD编号，在CNVD官网进行查询。参考链接：http://www.cnvd.org.cn/flaw/list.htm

表4 部分重要高危漏洞列表

小结：本周，Adobe产品被披露存在多个漏洞，攻击者可利用漏洞读取任意文件系统，执行任意代码等。此外，D-Link、Dell、ZOHO等多款产品被披露存在多个漏洞，攻击者可利用漏洞通过SSO接管帐户，获取敏感数据，执行非法SQL命令，远程执行代码等。另外，Philips Healthcare Tasy Electronic Medical Record (EMR) 被披露存在SQL注入漏洞。攻击者可通过CorCad_F2/executaConsultaEspecifico IE_CORPO_ASSIST或CD_USUARIO_CONVENIO参数利用该漏洞进行SQL注入攻击。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

（编辑：CNVD）