信息安全漏洞周报（2024年第32期 ）
点击蓝字 关注我们
漏洞情况
根据国家信息安全漏洞库（CNNVD）统计，本周（2024年7月29日至2024年8月4日）安全漏洞情况如下：
公开漏洞情况
本周CNNVD采集安全漏洞799个。
接报漏洞情况
本周CNNVD接报漏洞32103个，其中信息技术产品漏洞（通用型漏洞）254个，网络信息系统漏洞（事件型漏洞）23个，漏洞平台推送漏洞31826个。
一
公开漏洞情况
根据国家信息安全漏洞库（CNNVD）统计，本周新增安全漏洞799个，漏洞新增数量有所上升。从厂商分布来看Linux基金会新增漏洞最多，有195个；从漏洞类型来看，SQL注入类的安全漏洞占比最大，达到7.88%。新增漏洞中，超危漏洞14个，高危漏洞39个，中危漏洞740个，低危漏洞6个。
（一） 安全漏洞增长数量情况
本周CNNVD采集安全漏洞799个。
图1 近五周漏洞新增数量统计图
（二） 安全漏洞分布情况
从厂商分布来看，Linux基金会新增漏洞最多，有195个。各厂商漏洞数量分布如表1所示。
表1 新增安全漏洞排名前五厂商统计表
序号
厂商名称
漏洞数量(个)
所占比例
1
Linux基金会
195
24.41%
2
WordPress基金会
104
13.02%
3
苹果
79
9.89%
4
SourceCodester
34
4.26%
5
吉翁电子
28
3.50%
本周国内厂商漏洞69个，吉翁电子公司漏洞数量最多，有28个。国内厂商漏洞整体修复率为46.38%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。
从漏洞类型来看, SQL注入类的安全漏洞占比最大，达到7.88%。漏洞类型统计如表2所示。
表2 漏洞类型统计表
序号
漏洞类型
漏洞数量(个)
所占比例
1
SQL注入
63
7.88%
2
跨站脚本
39
4.88%
3
代码问题
20
2.50%
4
命令注入
7
0.88%
5
信息泄露
7
0.88%
6
跨站请求伪造
7
0.88%
7
路径遍历
7
0.88%
8
输入验证错误
6
0.75%
9
缓冲区错误
5
0.63%
10
操作系统命令注入
3
0.38%
11
资源管理错误
2
0.25%
12
加密问题
2
0.25%
13
代码注入
1
0.13%
14
日志信息泄露
1
0.13%
15
其他
629
78.72%
（三） 安全漏洞危害等级与修复情况
本周共发布超危漏洞14个，高危漏洞39个，中危漏洞740个，低危漏洞6个。相应修复率分别为85.71%、84.62%、69.19%和83.33%。根据补丁信息统计，合计562个漏洞已有修复补丁发布，整体修复率为70.34%。详细情况如表3所示。
表3 漏洞危害等级与修复情况
序号
危害等级
漏洞数量(个)
修复数量(个)
修复率
1
超危
14
12
85.71%
2
高危
39
33
84.62%
3
中危
740
512
69.19%
4
低危
6
5
83.33%
合计
799
562
70.34%
（四） 本周重要漏洞实例
本周重要漏洞实例如表4所示。
表4 本期重要漏洞实例
序号
漏洞编号
危害等级
1
CNNVD-202408-213
超危
2
CNNVD-202408-142
高危
3
CNNVD-202407-2920
高危
1.WordPress plugin YayExtra 安全漏洞（CNNVD-202408-213）
WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。
WordPress plugin YayExtra 1.3.7版本及之前版本存在安全漏洞，该漏洞源于handle_upload_file函数中缺少文件类型验证。攻击者利用该漏洞可以上传任意文件。
目前厂商已发布升级补丁以修复漏洞，参考链接：
2.Adobe InDesign 安全漏洞（CNNVD-202408-142）
Adobe InDesign是美国奥多比（Adobe）公司的一套排版编辑应用程序。
Adobe InDesign存在安全漏洞，该漏洞源于容易受到基于堆的缓冲区溢出影响。攻击者利用该漏洞可以在当前用户的环境中执行任意代码。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://helpx.adobe.com/security/products/indesign/apsb24-48.html
3.Apache SeaTunnel 安全漏洞（CNNVD-202407-2920）
Apache SeaTunnel是美国阿帕奇（Apache）基金会的一个简单易用的数据集成框架。
Apache SeaTunnel 1.0.0版本存在安全漏洞，该漏洞源于jwt密钥在应用程序中是以硬编码方式存储的。攻击者利用该漏洞可以伪造令牌以任意用户登录。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://lists.apache.org/thread/1tdxfjksx0vb9gtyt77wlr6rdcy1qwmw
二
漏洞平台推送情况
本周CNNVD接收漏洞平台推送漏洞31826个。
表5 本周漏洞平台推送情况
序号
漏洞平台
漏洞总量
1
补天平台
24851
2
漏洞盒子
4974
3
360漏洞云
2001
推送总计
31826
三
接报漏洞情况
本周CNNVD接报漏洞277个，其中信息技术产品漏洞（通用型漏洞）254个，网络信息系统漏洞（事件型漏洞）23个。
表6 本周漏洞报送情况
序号
报送单位
漏洞总量
1
个人
50
2
杭州安恒信息技术股份有限公司
25
3
北京天融信网络安全技术有限公司
19
4
科来网络技术股份有限公司
17
5
途耀信息技术（上海）有限公司
11
6
苏州市莫张信息科技有限责任公司
10
7
华为技术有限公司
9
8
中资网络信息安全科技有限公司
8
9
杭州孝道科技有限公司
7
10
江苏灵盾信息安全科技有限公司
7
11
北京华云安信息技术有限公司
6
12
成都忆享科技有限公司
6
13
奇安信网神信息技术（北京）股份有限公司
6
14
广州纬安科技有限公司
5
15
河南灵创电子科技有限公司
5
16
清远职业技术学院
5
17
天津金网智信息技术有限公司
5
18
永信至诚科技集团股份有限公司
5
19
成都安美勤信息技术股份有限公司
4
20
广州竞远安全技术股份有限公司
4
21
河南东方云盾信息技术有限公司
4
22
江苏嘉恩网络安全科技有限公司
4
23
零日信安（武汉市）技术有限责任公司
4
24
三六零数字安全科技集团有限公司
4
25
四川溯蓉信创科技有限公司
4
26
北方实验室（沈阳）股份有限公司
3
27
北京金睛云华科技有限公司
3
28
北京五一嘉峪科技有限公司
3
29
北京有略安全技术有限公司
3
30
山石网科通信技术股份有限公司
3
31
浙江极安信息科技有限公司
3
32
国网青海省电力公司电力科学研究院
2
33
龙岩市鲸之云盾互联网服务有限公司
2
34
赛尔网络有限公司
2
35
苏州棱镜七彩信息科技有限公司
2
36
天津市兴先道科技有限公司
2
37
远江盛邦(北京)网络安全科技股份有限公司
2
38
安恒愿景（成都）信息科技有限公司
1
39
北京门石信息技术有限公司
1
40
北京墨云科技有限公司
1
41
北京升鑫网络科技有限公司
1
42
北京威努特技术有限公司
1
43
湖南中测网安信息技术有限公司
1
44
南京赛宁信息技术有限公司
1
45
厦门聚丁科技有限公司
1
46
山西轩辕信息安全技术有限公司
1
47
上海计算机软件技术开发中心
1
48
上海只柏特信息技术有限公司
1
49
腾讯云计算（北京）有限责任公司
1
50
亚信科技（成都）有限公司
1
报送总计
277
四
收录漏洞通报情况
本周CNNVD收录漏洞通报73份。
表7本周漏洞通报情况
序号
报送单位
通报总量
1
安恒愿景（成都）信息科技有限公司
14
2
苏州棱镜七彩信息科技有限公司
6
3
中孚安全技术有限公司
5
4
杭州迪普科技股份有限公司
4
5
零日信安（武汉市）技术有限责任公司
4
6
天津金网智信息技术有限公司
4
7
西安交大捷普网络科技有限公司
4
8
河南东方云盾信息技术有限公司
3
9
四川溯蓉信创科技有限公司
3
10
四维创智（北京）科技发展有限公司
3
11
西安四叶草信息技术有限公司
3
12
博智安全科技股份有限公司
2
13
广州纬安科技有限公司
2
14
华为技术有限公司
2
15
江苏嘉恩网络安全科技有限公司
2
16
中国信息安全测评中心华中测评中心（湖南省信息安全测评中心）
2
17
北京赛博昆仑科技有限公司
1
18
广东省信息安全测评中心
1
19
杭州孝道科技有限公司
1
20
杭州中尔网络科技有限公司
1
21
河南灵创电子科技有限公司
1
22
三六零数字安全科技集团有限公司
1
23
深圳市网安计算机安全检测技术有限公司
1
24
远江盛邦(北京)网络安全科技股份有限公司
1
25
浙江大华技术股份有限公司
1
26
浙江鑫诺检测技术有限公司
1
收录总计
73
