信息安全漏洞周报（2024年第25期）
点击蓝字 关注我们
漏洞情况
根据国家信息安全漏洞库（CNNVD）统计，本周（2024年6月10日至2024年6月16日）安全漏洞情况如下：
公开漏洞情况
本周CNNVD采集安全漏洞1012个。
接报漏洞情况
本周CNNVD接报漏洞5666个，其中信息技术产品漏洞（通用型漏洞）227个，网络信息系统漏洞（事件型漏洞）9个，漏洞平台推送漏洞5430个。
重大漏洞通报
PHP 操作系统命令注入漏洞(CNNVD-202406-852、CVE-2024-4577)：未经身份认证的攻击者可以使用特定的字符序列绕过防护，通过参数注入的方式在目标服务器上远程执行代码。PHP多个版本受该漏洞影响。目前，PHP官方已发布新版本修复了该漏洞，建议用户及时确认产品版本，尽快采取修补措施。
一
公开漏洞情况
根据国家信息安全漏洞库（CNNVD）统计，本周新增安全漏洞1012个，漏洞新增数量有所上升。从厂商分布来看WordPress基金会新增漏洞最多，有219个；从漏洞类型来看，跨站脚本类的安全漏洞占比最大，达到14.82%。新增漏洞中，超危漏洞42个，高危漏洞190个，中危漏洞759个，低危漏洞21个。
（一） 安全漏洞增长数量情况
本周CNNVD采集安全漏洞1012个。
图1 近五周漏洞新增数量统计图
（二） 安全漏洞分布情况
从厂商分布来看，WordPress基金会新增漏洞最多，有219个。各厂商漏洞数量分布如表1所示。
表1 新增安全漏洞排名前五厂商统计表
序号
厂商名称
漏洞数量(个)
所占比例
1
WordPress基金会
219
21.64%
2
Adobe
165
16.30%
3
谷歌
63
6.23%
4
微软
52
5.14%
5
Toshiba
43
4.25%
本周国内厂商漏洞44个，吉翁电子公司漏洞数量最多，有9个。国内厂商漏洞整体修复率为37.78%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。
从漏洞类型来看, 跨站脚本类的安全漏洞占比最大，达到14.82%。漏洞类型统计如表2所示。
表2 漏洞类型统计表
序号
漏洞类型
漏洞数量(个)
所占比例
1
跨站脚本
150
14.82%
2
SQL注入
29
2.87%
3
代码问题
21
2.08%
4
输入验证错误
16
1.58%
5
访问控制错误
11
1.09%
6
资源管理错误
11
1.09%
7
路径遍历
10
0.99%
8
缓冲区错误
9
0.89%
9
信息泄露
9
0.89%
10
授权问题
7
0.69%
11
后置链接
6
0.59%
12
跨站请求伪造
6
0.59%
13
信任管理问题
3
0.30%
14
注入
2
0.20%
15
日志信息泄露
1
0.10%
16
安全特征问题
1
0.10%
17
操作系统命令注入
1
0.10%
18
数字错误
1
0.10%
19
权限许可和访问控制问题
1
0.10%
20
代码注入
1
0.10%
21
竞争条件问题
1
0.10%
22
其他
715
70.65%
（三） 安全漏洞危害等级与修复情况
本周共发布超危漏洞42个，高危漏洞190个，中危漏洞759个，低危漏洞21个。相应修复率分别为95.24%、94.21%、87.09%和85.71%。根据补丁信息统计，合计898个漏洞已有修复补丁发布，整体修复率为88.74%。详细情况如表3所示。
表3 漏洞危害等级与修复情况
序号
危害等级
漏洞数量(个)
修复数量(个)
修复率
1
超危
42
40
95.24%
2
高危
190
179
94.21%
3
中危
759
661
87.09%
4
低危
21
18
85.71%
合计
1012
898
88.74%
（四） 本周重要漏洞实例
本周重要漏洞实例如表4所示。
表4 本期重要漏洞实例
序****号
漏洞编号
危害等级
1
CNNVD-202406-1028
超危
2
CNNVD-202406-1529
高危
3
CNNVD-202406-1145
高危
1.WordPress plugin BBlog2Social: Social Media Auto Post & Scheduler 安全漏洞（CNNVD-202406-1028）
WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。
WordPress plugin BBlog2Social: Social Media Auto Post & Scheduler 7.4.1版本及之前版本存在安全漏洞，该漏洞源于对用户提供的参数转义不足。攻击者利用该漏洞可以从数据库中提取敏感信息。
目前厂商已发布升级补丁以修复漏洞，参考链接：
2.Adobe Substance 3D Stager 缓冲区错误漏洞（CNNVD-202406-1529）
Adobe Substance 3D Stager是美国奥多比（Adobe）公司的一个虚拟3D工作室。
Adobe Substance 3D Stager 2.1.4之前版本存在缓冲区错误漏洞，该漏洞源于允许越界写入内存。攻击者利用该漏洞在当前用户的环境中可以执行任意代码。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://helpx.adobe.com/security/products/substance3d\_stager/apsb24-43.html
3.Microsoft Windows Routing and Remote Access Service 安全漏洞（CNNVD-202406-1145）
Microsoft Windows Routing and Remote Access Service是美国微软（Microsoft）公司的一种网络服务，用于实现网络路由、虚拟专用网络（VPN）和拨号连接等功能。
Microsoft Windows Routing and Remote Access Service (RRAS)存在安全漏洞。Windows多个版本均受此漏洞影响，攻击者利用该漏洞可以远程执行代码。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-30095
二
漏洞平台推送情况
本周CNNVD接收漏洞平台推送漏洞5430个。
表5 本周漏洞平台推送情况
序号
漏洞平台
漏洞总量
1
漏洞盒子
2833
2
补天平台
1890
3
360漏洞云
707
推送总计
5430
三
接报漏洞情况
本周CNNVD接报漏洞236个，其中信息技术产品漏洞（通用型漏洞）227个，网络信息系统漏洞（事件型漏洞）9个。
表6 本周漏洞报送情况
序号
报送单位
漏洞总量
1
北京天融信网络安全技术有限公司
17
2
成都创信华通信息技术有限公司
15
3
北京赛博昆仑科技有限公司
12
4
零日信安（武汉市）技术有限责任公司
11
5
安恒愿景（成都）信息科技有限公司
10
6
个人
10
7
杭州安恒信息技术股份有限公司
8
8
苏州棱镜七彩信息科技有限公司
8
9
北京安博通科技股份有限公司
7
10
北京华云安信息技术有限公司
7
11
北京神州绿盟科技有限公司
7
12
北京天地和兴科技有限公司
7
13
内蒙古旌云科技有限公司
7
14
北京安信天行科技有限公司
6
15
途耀信息技术（上海）有限公司
6
16
浙江大华技术股份有限公司
6
17
中资网络信息安全科技有限公司
6
18
北京灰度科技有限公司
5
19
河南天祺信息安全技术有限公司
5
20
山石网科通信技术股份有限公司
5
21
河南东方云盾信息技术有限公司
4
22
浙江极安信息科技有限公司
4
23
广州竞远安全技术股份有限公司
3
24
河南灵创电子科技有限公司
3
25
江苏嘉恩网络安全科技有限公司
3
26
天津市兴先道科技有限公司
3
27
北京安胜华信科技有限公司
2
28
北京卓识网安技术股份有限公司
2
29
黑龙江智泽测评科技有限公司
2
30
恒安嘉新(北京)科技股份公司
2
31
湖南中测网安信息技术有限公司
2
32
江苏嘉玖信息科技有限公司
2
33
京东科技信息技术有限公司
2
34
南京聚铭网络科技有限公司
2
35
赛尔网络有限公司
2
36
三六零数字安全科技集团有限公司
2
37
上海云盾信息技术有限公司
2
38
腾讯云计算（北京）有限责任公司
2
39
浙江齐安信息科技有限公司
2
40
中电智安科技有限公司
2
41
中孚安全技术有限公司
2
42
北京安华金和科技有限公司
1
43
北京触点互动信息技术有限公司
1
44
北京启明星辰信息安全技术有限公司
1
45
北京威努特技术有限公司
1
46
北京长亭科技有限公司
1
47
成都数默科技有限公司
1
48
广州纬安科技有限公司
1
49
杭州海康威视数字技术股份有限公司
1
50
河北东鼎电子科技有限公司
1
51
建信金融科技有限责任公司
安全攻防实验室
1
52
江苏通付盾科技有限公司
1
53
马鞍山书拓安全科技有限公司
1
54
奇安信网神信息技术（北京）股份有限公司
1
55
锐捷网络股份有限公司
1
56
山东鼎夏智能科技有限公司
1
57
山东云天安全技术有限公司
1
58
上海斗象信息科技有限公司
1
59
深圳市能信安科技股份有限公司
1
60
远江盛邦(北京)网络安全科技股份有限公司
1
61
浙江国利网安科技有限公司
1
62
中国电信股份有限公司网络安全产品运营中心
1
报送总计
236
四
收录漏洞通报情况
本周CNNVD收录漏洞通报79份。
表7本周漏洞通报情况
序号
报送单位
通报总量
1
中孚安全技术有限公司
15
2
安恒愿景（成都）信息科技有限公司
6
3
南京禾盾信息科技有限公司
4
4
河南灵创电子科技有限公司
3
5
华为技术有限公司
3
6
浙江大华技术股份有限公司
3
7
中国信息安全测评中心华中测评中心（湖南省信息安全测评中心）
3
8
北京安博通科技股份有限公司
2
9
北京天防安全科技有限公司
2
10
北京天融信网络安全技术有限公司
2
11
北京网藤科技有限公司
2
12
广东省信息安全测评中心
2
13
广州纬安科技有限公司
2
14
河南悦海数安科技有限公司
2
15
江西渝融云安全科技有限公司
2
16
上海斗象信息科技有限公司
2
17
上海矢安科技有限公司
2
18
北京安胜华信科技有限公司
1
19
北京安信天行科技有限公司
1
20
北京华云安信息技术有限公司
1
21
北京长亭科技有限公司
1
22
北京中金安服科技有限公司
1
23
成都卫士通信息安全技术有限公司
1
24
杭州默安科技有限公司
1
25
河南东方云盾信息技术有限公司
1
26
建信金融科技有限责任公司安全攻防实验室
1
27
江苏嘉恩网络安全科技有限公司
1
28
江苏嘉玖信息科技有限公司
1
29
马鞍山书拓安全科技有限公司
1
30
奇安信网神信息技术（北京）股份有限公司
1
31
三六零数字安全科技集团有限公司
1
32
深信服科技股份有限公司
1
33
深圳建安润星安全技术有限公司
1
34
苏州棱镜七彩信息科技有限公司
1
35
途耀信息技术（上海）有限公司
1
36
新华三技术有限公司
1
37
云上广济（贵州）信息技术有限公司
1
38
长扬科技（北京）股份有限公司
1
39
浙江极安信息科技有限公司
1
收录总计
79
五
重大漏洞通报
CNNVD关于PHP 操作系统
命令注入漏洞的通报
近日，国家信息安全漏洞库（CNNVD）收到关于PHP 操作系统命令注入漏洞（CNNVD-202406-852、CVE-2024-4577）情况的报送。未经身份认证的攻击者可以使用特定的字符序列绕过防护，通过参数注入的方式在目标服务器上远程执行代码。PHP多个版本受该漏洞影响。目前，PHP官方已发布新版本修复了该漏洞，建议用户及时确认产品版本，尽快采取修补措施。
1.漏洞介绍
PHP是一种在服务器端执行的脚本语言，适用于开发动态网站和Web应用程序。未经身份认证的攻击者可以使用特定的字符序列绕过防护，通过参数注入攻击在目标PHP服务器上远程执行代码，获取敏感信息或造成服务器崩溃。
2.危害影响
未经身份认证的攻击者可以使用特定的字符序列绕过防护，通过参数注入的方式在目标服务器上远程执行代码。PHP 8.1至8.1.29之前版本，PHP 8.3至8.3.8之前版本，PHP 8.2至8.2.20之前版本均受该漏洞影响。
3.修复建议
目前，PHP官方已发布新版本修复了该漏洞，建议用户及时确认产品版本，尽快采取修补措施。官方更新版本下载链接：
