巨臀 信息化建设与督察中心
本周巨臀缝隙态势研判情况巨臀
本周信息安全缝隙恫吓全体评价级别为中。
国度信息安全缝隙分享平台（以下简称CNVD）本周共采集、整理信息安全缝隙496个，其中高危缝隙192个、中危缝隙271个、低危缝隙33个。缝隙对等分值为6.17。本周收录的缝隙中，波及0day缝隙437个（占88%），其中互联网上出现“Cisco IOS XE Software web UI权限造就缝隙、Netis N3Mv2缓冲区溢露马脚”等零日代码报复缝隙。本周CNVD接到的波及党政机关和企奇迹单元的缝隙总额11677个，与上周（19726个）环比减少41%。
在线播放
本周缝隙事件处置情况
本周，CNVD向银行、保障、动力等迫切行业单元通报缝隙事件32起，向基础电信企业通报缝隙事件11起，合营CNCERT各分中心考据和处置波及方位迫切部门缝隙事件1152起，合营考验行业济急组织考据和处置高校科研院所系统缝隙事件156起，向国度上司信息安全合营机构上报波及部委流派、子站或直属单元信息系统缝隙事件68起。
此外，CNVD通过已建设的关联机制或涉事单元公开关联渠说念向以下单元通报了其信息系统或软硬件产物存在的缝隙，具体处置单元情况如下所示：
紫光软件系统有限公司、重庆中联信息产业有限包袱公司、重庆国翰动力发展有限公司、中银金融科技有限公司、中天城投集团物业督察有限公司、中汽数据有限公司、中国邮政速递物流股份有限公司、中版文化传播有限公司、智业软件股份有限公司、智业互联（厦门）健康科技有限公司、智互联（深圳）科技有限公司、郑州市金水区恒友摄影软件策画部、郑州力通水务有限公司、浙江宇视科技有限公司、漳州市芗城帝兴软件开发有限公司、云内控科技有限公司、云南云才东说念主力资源商酌有限公司、友讯电子拓荒（上海）有限公司、用友相聚科技股份有限公司、盈富量化信息技艺有限公司、昆玉（中国）买卖有限公司、西安众邦相聚科技有限公司、武汉微问相聚科技有限公司、武汉六合大业科技有限公司、武汉今客软件有限公司、武汉富想特改进信息技艺有限公司、无锡一族科技有限公司、网件（北京）相聚技艺有限公司、万兴科技集团股份有限公司、万商云集（成都）科技股份有限公司、外语造就与策动出书社有限包袱公司、同望科技股份有限公司、同程相聚科技股份有限公司、天闻数媒科技（北京）有限公司、六合大业技艺有限公司、天宝莅德电子科技（上海）有限公司北京分公司、太原易想软件技艺有限公司、苏州巨细信息科技有限公司、四川迅睿云软件开发有限公司、深圳银澎云筹备有限公司、深圳市知学云科技有限公司、深圳市通恒伟创科技有限公司、深圳市想迅软件股份有限公司、深圳市敏捷智盛相聚有限公司、深圳市好意思科星通讯技艺有限公司、深圳市科荣软件股份有限公司、深圳市祥瑞鼎盛科技有限公司、深圳市国信合成科技有限公司、深圳市说念尔智控科技股份有限公司、深圳市安盟信息科技有限公司、深圳华视好意思达信息技艺有限公司、笃信服科技股份有限公司、申瓯通讯拓荒有限公司、上海装盟信息科技有限公司、上海万欣筹备机信息科技有限公司、上海树维信息科技有限公司、上海穆云智能科技有限公司、上海肯特姿色股份有限公司、上海泛微相聚科技股份有限公司、上海伯俊软件科技有限公司、上海爱数信息技艺股份有限公司、陕西小伙伴相聚科技有限公司、山东五搜集团有限公司、山东潍大软件有限公司、山东山大电力技艺股份有限公司、厦门四信通讯科技有限公司、厦门科拓通讯技艺股份有限公司、润申信息科技（上海）有限公司、瑞纳智能拓荒股份有限公司、锐珂（上海）医疗器材有限公司、青岛聚城相聚科技有限公司、普联技艺有限公司、鹏为软件股份有限公司、诺盾科技有限公司、南宁迈世信息技艺有限公司、南京涌亿想信息技艺有限公司、迈庸俗信技艺股份有限公司、临沂科锐电子有限公司、理光（中国）投资有限公司、乐山易通六合相聚科技有限公司、廊坊市极致相聚科技有限公司、蓝网科技股份有限公司、江苏绿港当代农业发展股份有限公司、江苏冠宇科技集团有限公司、济南沐阳信息技艺有限公司、吉翁电子（深圳）有限公司、淮南市银泰软件科技有限公司、湖北点点点科技有限公司、洪湖尔创网联信息技艺有限公司、河南中翎工程建设有限公司、和宇健康科技股份有限公司、杭州重大科技开发股份有限公司、杭州前锋电子技艺股份有限公司、杭州叁体相聚科技有限公司、杭州海康威视数字技艺股份有限公司、海南说念仁相聚科技有限公司、海口快推科技有限公司、邦交信息股份有限公司、贵州不朽光科技有限公司、广州讯尔软件科技有限公司、广州图创筹备机软件开发有限公司、广州速盈信息科技有限公司、广州想迈特软件有限公司、广州市天翎相聚科技有限公司、广州谄媚雀科技有限公司、广州科税信息科技有限公司、广州华的相聚科技有限公司、广州恒企考验科技有限公司、广州鼎甲筹备机科技有限公司、广西青椰相聚科技有限公司、广联达科技股份有限公司、广东飞企互联科技股份有限公司、福建银达汇智信息科技股份有限公司、东莞市智跃软件科技有限公司、鼎捷软件股份有限公司、大连金马衡器有限公司、大连富豪科技有限公司、大华（集团）有限公司、达索析统（上海）信息技艺有限公司、传化上合（青岛）海外经贸有限公司、成都虚谷大业科技有限公司、成都天问互联科技有限公司、成都任我行软件股份有限公司、彩讯科技股份有限公司、采采相聚技艺有限公司、北京中盈安信技艺工作股份有限公司、北京中科聚网信息技艺有限公司、北京致远互联软件股份有限公司、北京正摄影聚科技有限公司、北京泽元迅长软件有限公司、北京亿赛通科技发展有限包袱公司、北京星网锐捷相聚技艺有限公司、北京象新力科技有限公司、北京邃晓信科科技有限公司、北京硕东说念主时期科技股份有限公司、北京启明星辰信息安全技艺有限公司、北京派网软件有限公司、北京迷彩虎科技有限公司、北京猎鹰安全科技有限公司、北京久其软件股份有限公司、北京京东叁佰陆拾度电子商务有限公司、北京金盘鹏图软件技艺有限公司、北京金和相聚股份有限公司、北京飞书科技有限公司、北京改进乐知相聚技艺有限公司、北京北大耿直电子有限公司、北京百卓相聚技艺有限公司、北京百度网讯科技有限公司、北京安信立融科技股份有限公司、奥丁改进科技（吉林）有限公司、安徽旭帆信息科技有限公司和Sapido Technology Inc。
本周，CNVD发布了《Oracle发布2023年10月的安全公告》。笃定参见CNVD网站公告骨子。
本周缝隙报送情况统计
本周报送情况如表1所示。其中，北京天融信相聚安全技艺有限公司、天津市国瑞数码安全系统股份有限公司、新华三技艺有限公司、安天科技集团股份有限公司、北京神州绿盟科技有限公司等单元报送公开采集的缝隙数目较多。亚信科技（成都）有限公司、奇安星城相聚安全运营工作（长沙）有限公司、杭州好意思创科技有限公司、期望集团、快页信息技艺有限公司、安徽锋刃信息科技有限公司、河南东方云盾信息技艺有限公司、内蒙古洞明科技有限公司、湖南泛联新安信息科技有限公司、工业和信息化部电子第五策动所-数据治理工作中心、北京君云六合科技有限公司、星云博创科技有限公司、合肥梆梆信息科技有限公司、赛尔相聚有限公司、杭州默安科技有限公司、江苏天竞云合数据技艺有限公司、杭州飞致云信息科技有限公司、河南悦海数安科技有限公司、北京网御星云信息技艺有限公司、北京中关村本质室、江西和尔惠信息技艺有限公司、江苏晟晖信息科技有限公司、杭州海康威视数字技艺股份有限公司、超聚变数字技艺有限公司、中国工商银行、成都安好意思勤信息技艺股份有限公司、北京微步在线科技有限公司、北京天防安全科技有限公司、中孚安全技艺有限公司、北京华顺信安信息技艺有限公司、浙江东安检测技艺有限公司、南边电网数字电网集团信息通讯科技有限公司、汇安云（山东）信息科技有限公司、北京时期新权威息技艺有限公司、中国电信股份有限公司上海策动院、上海直画科技有限公司、博智安全科技股份有限公司、浙江中控技艺股份有限公司、国网信息通讯产业集团有限公司、成都天天网安信息安全技艺有限公司、上海亿保健康科技集团有限公司、河南灵创电子科技有限公司、山东新潮信息技艺有限公司、北京远禾科技有限公司、成都独特华安信息技艺工作有限公司、广州安亿信软件科技有限公司、苏州棱镜七彩信息科技有限公司偏捏他个东说念主白帽子向CNVD提交了11677个以事件型缝隙为主的原创缝隙，其中包括斗象科技（缝隙盒子）、上海交大、三六零数字安全科技集团有限公司和奇安信网神（补天平台）向CNVD分享的白帽子报送的8638条原创缝隙信息。
表1 缝隙报送情况统计表
本周缝隙按类型和厂商统计
本周，CNVD收录了496个缝隙。WEB应用250个，应用法子118个，相聚拓荒（交换机、路由器等相聚端拓荒）100个，安全产物12个，操作系统7个，智能拓荒（物联网结尾拓荒）7个，数据库2个。
表2 缝隙按影响类型统计表
CNVD整理和发布的缝隙波及D-Link、北京百卓相聚技艺有限公司、WordPress等多家厂商的产物，部分缝隙数目按厂商统计如表3所示。
表3 缝隙产物波及厂商散布统计表
本周行业缝隙收录情况
本周，CNVD收录了62个电信行业缝隙，56个迁移互联网行业缝隙，3个工控行业缝隙（如下图所示）。其中，“Huawei HarmonyOS和EMUI类型混肴缝隙、Rockwell Automation FactoryTalk Linx输入考据作假缝隙 ”等缝隙的轮廓评级为“高危”。关联厂商还是发布了缝隙的修补法子，请参照CNVD关联行业缝隙库接续。
本周迫切缝隙安全告警
本周，CNVD整理和发布以下迫切安全缝隙信息。
1、Microsoft产物安全缝隙
Microsoft Edge是好意思国微软（Microsoft）公司的一款Windows 10之后版块系统附带的Web浏览器。本周，上述产物被裸露存在多个缝隙，报复者可应用缝隙在系统上获得更高的权限。
CNVD收录的关联缝隙包括：Microsoft Edge权限造就缝隙（CNVD-2023-76758、CNVD-2023-76759、CNVD-2023-76760、CNVD-2023-76761、CNVD-2023-76762、CNVD-2023-76763、CNVD-2023-76764、CNVD-2023-76765）。其中，除“Microsoft Edge权限造就缝隙（CNVD-2023-76762、CNVD-2023-76763）”外其余缝隙的轮廓评级为“高危”。当今，厂商还是发布了上述缝隙的修补法子。CNVD教导用户实时下载补丁更新，幸免激发缝隙关联的相聚安全事件。
2、IBM产物安全缝隙
IBM Aspera是好意思国海外买卖机器（IBM）公司的一套基于IBM FASP条约构建的快速文献传输和流搞定决议。本周，上述产物被裸露存在多个缝隙，报复者可应用缝隙使用特制的XML输入获得明锐的字据信息，导致缓冲区溢出并在系统上实施大肆代码等。
CNVD收录的关联缝隙包括：IBM Aspera Cargo and IBM Aspera Connect信息显露缝隙、IBM Aspera Faspex信息显露缝隙（CNVD-2023-76768、CNVD-2023-76766、CNVD-2023-76773）、IBM Aspera Faspex安全绕过缝隙、IBM Aspera Cargo and IBM Aspera Connect代码实施缝隙（CNVD-2023-76772、CNVD-2023-76771）、IBM Aspera Connect and IBM Aspera Cargo缓冲区溢露马脚。其中，“IBM Aspera Cargo and IBM Aspera Connect代码实施缝隙（CNVD-2023-76772、CNVD-2023-76771）、IBM Aspera Connect and IBM Aspera Cargo缓冲区溢露马脚”缝隙的轮廓评级为“高危”。当今，厂商还是发布了上述缝隙的修补法子。CNVD教导用户实时下载补丁更新，幸免激发缝隙关联的相聚安全事件。
3、Adobe产物安全缝隙
Adobe Photoshop是好意思国奥多比（Adobe）公司的一套图片处理软件。该软件主要用于处理图片。Adobe Bridge是一款功能苍劲的创意资源督察器，可让用户快速清闲地预览、组织、剪辑和发布多个创意资源，剪辑元数据，为素材资源添加关节字、标签和评分。Adobe Bridge使用并吞组织钞票，并使用苍劲的过滤器和高等元数据搜索功能查找钞票。Adobe Illustrator是一套基于向量的图像制作软件。Adobe After Effects是一套视觉着力和动态图形制作软件，该软件主要用于2D和3D合成、动画制作和视觉殊效制作等。Adobe InDesign是一套排版剪辑应用法子。本周，上述产物被裸露存在多个缝隙，报复者可应用缝隙绕过ASLR等缓解行动，导致明锐内存显露，导致缓冲区溢出或堆溢出，在面前用户的迤逦文中实施大肆代码等。
CNVD收录的关联缝隙包括：Adobe Photoshop缓冲区溢露马脚（CNVD-2023-76927）、Adobe Bridge越界读取缝隙（CNVD-2023-76928）、Adobe Illustrator缓冲区溢露马脚（CNVD-2023-76932、CNVD-2023-76930、CNVD-2023-76935、CNVD-2023-76933）、Adobe After Effects越界读取缝隙（CNVD-2023-76938）、Adobe InDesign缓冲区溢露马脚（CNVD-2023-76940）。其中，除“Adobe Bridge越界读取缝隙（CNVD-2023-76928）”外其余缝隙的轮廓评级为“高危”。当今，厂商还是发布了上述缝隙的修补法子。CNVD教导用户实时下载补丁更新，幸免激发缝隙关联的相聚安全事件。
4、DELL产物安全缝隙
Dell SmartFabric Storage Software是好意思国戴尔（Dell）公司的一个沉寂的存储软件搞定决议。Dell Wyse Management Suite是一套用于督察和优化Wyse端点的、可延迟的搞定决议。该产物包括Wyse端点王人集督察、钞票跟踪和自动拓荒发现等功能。本周，上述产物被裸露存在多个缝隙，报复者可应用缝隙读取写入日记文献的明锐信息，导致未经授权的数据拜谒，在系统上实施大肆敕令等。
CNVD收录的关联缝隙包括：Dell SmartFabric storage software敕令注入缝隙、Dell SmartFabric Storage Software输入考据作假缝隙、Dell SmartFabric Storage Software权限造就缝隙、Dell SmartFabric Storage Software旅途遍历缝隙、Dell SmartFabric Storage Software拜谒终了作假缝隙、Dell SmartFabric Storage Software操作系统敕令注入缝隙（CNVD-2023-77958、CNVD-2023-78231）、Dell Wyse Management Suite信息显露缝隙。其中，“Dell SmartFabric storage software敕令注入缝隙、Dell SmartFabric Storage Software权限造就缝隙、Dell SmartFabric Storage Software操作系统敕令注入缝隙”缝隙的轮廓评级为“高危”。当今，厂商还是发布了上述缝隙的修补法子。CNVD教导用户实时下载补丁更新，幸免激发缝隙关联的相聚安全事件 。
5、D-Link DIR-806敕令实施缝隙
D-Link DIR-806是中国友讯（D-Link）公司的一款无澄清由器。本周，D-Link DIR-806被裸露存在敕令实施缝隙。报复者可应用该缝隙在系统上实施大肆敕令。当今，厂商尚未发布上述缝隙的修补法子。CNVD教导广阔用户随时诊治厂商主页，以获得最新版块。
更多高危缝隙如表4所示，珍贵信息可根据CNVD编号，在CNVD官网进行查询。
表4 部分迫切高危缝隙列表
CNVD编号
缝隙称呼
轮廓评级
竖立步地
CNVD-2023-76758
Microsoft Edge权限造就缝隙（CNVD-2023-76758）
高
厂商已发布了缝隙竖立法子，请实时诊治更新：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36562
CNVD-2023-76759
Microsoft Edge权限造就缝隙（CNVD-2023-76759）
高
厂商已发布了缝隙竖立法子，请实时诊治更新：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36735
CNVD-2023-76772
IBM Aspera Cargo and IBM Aspera Connect代码实施缝隙
高
厂商已发布了缝隙竖立法子，请实时诊治更新：https://www.ibm.com/support/pages/node/6966588
CNVD-2023-76771
IBM Aspera Cargo and IBM Aspera Connect代码实施缝隙（CNVD-2023-76771）
高
厂商已发布了缝隙竖立法子，请实时诊治更新：https://www.ibm.com/support/pages/node/6966588
CNVD-2023-76930
Adobe Illustrator缓冲区溢露马脚（CNVD-2023-76930）
高
厂商已发布了缝隙竖立法子，请实时诊治更新：https://helpx.adobe.com/security/products/illustrator/apsb22-26.html
CNVD-2023-76935
Adobe Illustrator缓冲区溢露马脚（CNVD-2023-76935）
高
厂商已发布了缝隙竖立法子，请实时诊治更新：https://helpx.adobe.com/security/products/illustrator/apsb22-26.html
CNVD-2023-77953
Dell SmartFabric storage software敕令注入缝隙
高
当今厂商已发布升级补丁以竖立缝隙，补丁获得接续：https://www.dell.com/support/kbdoc/en-us/000201667/dsa-2022-156-dell-emc-smartfabric-storage-software-security-update-for-multiple-component-vulnerabilities
CNVD-2023-78236
TOTOLINK X5000R和A7000R UploadCustomModule函数堆栈溢露马脚
高
厂商已发布了缝隙竖立法子，请实时诊治更新：https://www.totolink.net/
CNVD-2023-78238
TOTOLINK X5000R和A7000R setLanguageCfg函数堆栈溢露马脚
高
厂商已发布了缝隙竖立法子，请实时诊治更新：https://www.totolink.net/
CNVD-2023-78312
Rockwell Automation FactoryTalk Linx输入考据作假缝隙
高
厂商已发布了缝隙竖立法子，请实时诊治更新：https://rockwellautomation.custhelp.com/app/answers/answer_view/a_id/1141040
小结：本周，Microsoft产物被裸露存在多个缝隙，报复者可应用缝隙在系统上获得更高的权限。此外，IBM、Adobe、Dell等多款产物被裸露存在多个缝隙，报复者可应用缝隙读取写入日记文献的明锐信息，使用特制的XML输入获得明锐的字据信息，导致缓冲区溢出或堆溢出，在面前用户的迤逦文中实施大肆代码等。另外，D-Link DIR-806被裸露存在敕令实施缝隙。报复者可应用该缝隙在系统上实施大肆敕令。冷落关联用户随时诊治上述厂商主页，实时获得竖立补丁或搞定决议。