浙江福彩3d走势图
我們來自五湖四海,不為別的,只因有共同的愛好,為中國互聯網發展出一分力!

信息安全漏洞月通報(2013年6月)

2014年03月02日10:54 閱讀: 14475 次
    

根據中國國家信息安全漏洞庫(CNNVD)統計,2013年06月份新增安全漏洞404個,日平均新增漏洞數量約14個。與前5個月平均增長數量相比,安全漏洞增長速度有所下降。從漏洞類型來看,緩沖區溢出類的安全漏洞最多,占本月漏洞總數的比例16.58%。本月新增的漏洞中,300個漏洞已有修復補丁發布,修補率為74.26%,其中包括被修補的30個危急漏洞,危急漏洞修補率為90.91%。截至2013年06月底,CNNVD漏洞總量已達60662個。

一、 安全漏洞數量增長情況
2013年06月份共新增安全漏洞404個,與前5個月平均增長數量相比,增長速度有所下降。

 

二、 安全漏洞分布情況
2013年06月份發布的漏洞類型分布如表1所示,其中緩沖區溢出類漏洞所占比例最大,約為16.58%。

表1 漏洞類型統計表
序號      漏洞類型             漏洞數量    所占比例
1.       緩沖區溢出               67       16.58%
2.       權限許可和訪問控制       45       11.14%
3.       跨站腳本                 37       9.16%
4.       輸入驗證                 33       8.17%
5.       代碼注入                 19       4.70%
6.       信息泄露                 19       4.70%
7.       資源管理錯誤             17       4.21%
8.       跨站請求偽造             16       3.96%
9.       SQL注入                  9        2.23%
10.      加密問題                 6        1.49%
11.      信任管理                 5        1.24%
12.      數字錯誤                 4        0.99%
13.      開放重定向               3        0.74%
14.      路徑遍歷                 3        0.74%
15.      格式化字符串             2        0.50%
16.      授權問題                 2        0.50%
17.      操作系統命令注入         1        0.25%
18.      其他                    116       28.71%

三、 安全漏洞危害等級與修復情況
根據漏洞的影響范圍、利用方式、攻擊后果等情況,將漏洞分為四個嚴重等級,即危急、高危、中危和低危級別。
2013年06月份共發布危急漏洞33個,高危漏洞76個,中危漏洞248個,低危漏洞47個。根據補丁信息統計,共修補300個漏洞,修補率為74.26%;其中包含30個已被修補的危急漏洞,危急漏洞修補率為90.91%。

四、 本月重要漏洞實例
(一) 危急漏洞實例
本月危急漏洞共33個,其中重點漏洞

1. HP Insight Diagnostics 任意代碼執行漏洞(CNNVD-201306-209)
HP Insight Diagnostics是美國惠普(HP)公司的一款服務器管理工具。該工具可協助IT管理員執行服務器安裝、故障排除和修復驗證等操作。
HP Insight Diagnostics中存在任意代碼執行漏洞,該漏洞源于程序沒有充分過濾用戶提交的輸入。攻擊者可利用該漏洞以管理員權限在Web服務器上下文中執行任意命令。HP Insight Diagnostics 9.4.0.4710版本中存在漏洞,其他版本也可能受到影響。
解決措施:目前廠商還沒有提供此漏洞的相關補丁或者升級程序,建議使用此軟件的用戶隨時關注廠商的主頁以獲取最新版本:
http://www.hp.com/
2. Mozilla Firefox/Thunderbird
‘mozilla::ResetDir’函數資源管理錯誤漏洞(CNNVD-201306-474)
Firefox/Thunderbird都是由美國Mozilla基金會開發。Firefox是一款開源Web瀏覽器。Thunderbird是從Mozilla Application Suite獨立出來的電子郵件客戶端軟件,支持IMAP、POP郵件協議以及HTML郵件格式。
Mozilla Firefox 21.0及之前的版本,Firefox ESR 17.0.6及之前的17.x版本,Thunderbird 17.0.6及之前的版本,Thunderbird ESR 17.0.6及之前的17.x版本中的‘mozilla::ResetDir’函數中存在釋放后重用漏洞。遠程攻擊者可利用該漏洞執行任意代碼或造成拒絕服務(堆內存損壞)。
解決措施:目前廠商已經發布了升級補丁以修復此安全問題,補丁獲取鏈接:
http://www.mozilla.org/security/announce/2013/mfsa2013-50.html

(二) 高危漏洞實例
本月高危漏洞共76個,其中重點漏洞

1. Microsoft Office 緩沖區溢出漏洞 (CNNVD-201306-150)
Microsoft Office是美國微軟(Microsoft)公司開發的辦公軟件套件。常用組件有Word、Excel、Access、Powerpoint、FrontPage等。
Microsoft Office分析特制Office文件的方式中存在一個遠程執行代碼漏洞。成功利用此漏洞的攻擊者可以完全控制受影響的系統。攻擊者可隨后安裝程序;查看、更改或刪除數據;或者創建擁有完全用戶權限的新帳戶。那些帳戶被配置為擁有較少系統用戶權限的用戶比具有管理用戶權限的用戶受到的影響要小。基于Mac系統下的Microsoft Office 2003 SP3和Office 2011版本中存在漏洞。
解決措施:目前廠商已經發布了升級補丁以修復此安全問題,補丁獲取鏈接:
http://technet.microsoft.com/security/bulletin/MS13-051
2. Microsoft Windows 打印后臺處理程序漏洞(CNNVD-201306-151)
Microsoft Windows是美國微軟(Microsoft)公司發布的一款操作系統。Print Spooler是Windows系統中的一個打印后臺處理服務。
Microsoft Windows打印后臺處理程序Print Spooler處理內存的方式中存在一個特權提升漏洞,允許經過身份驗證的攻擊者通過刪除打印機鏈接利用該漏洞提權。以下版本存在漏洞:Microsoft Windows Vista SP2、Windows Server 2008 SP2和R2 SP1、Windows 7 SP1、Windows 8、Windows Server 2012、Windows RT版本。
解決措施:目前廠商已經發布了升級補丁以修復此安全問題,補丁獲取鏈接:
http://technet.microsoft.com/zh-cn/security/bulletin/ms13-050
3. Cisco TelePresence TC軟件權限許可和訪問控制漏洞(CNNVD-201306-381)
Cisco TelePresence是美國思科(Cisco)公司的一套被稱為“網真”的視頻會議系統解決方案。該方案提供音頻、視頻空間等組件,可為遠程參會者提供一個面對面的虛擬會議室效果。
Cisco TelePresence TC Software 4.1.2及之前的版本中的防火墻子系統中存在漏洞,該漏洞源于程序沒有正確實現主機訪問的授權規則。遠程攻擊者可通過連接到管理網絡,利用該漏洞獲得一個root權限的shell。
解決措施:目前廠商已經發布了升級補丁以修復此安全問題,補丁獲取鏈接:
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130619-tpc
4. HP Insight Diagnostics 遠程代碼注入漏洞(CNNVD-201306-222)
HP Insight Diagnostics是美國惠普(HP)公司的一款服務器管理工具。該工具可協助IT管理員執行服務器安裝、故障排除和修復驗證等操作。
HP Insight Diagnostics 9.4.0.4710中的hpdiags/frontend2/commands/saveCompareConfig.php中存在絕對路徑遍歷漏洞。遠程攻擊者可以通過向devicePath參數傳遞完整路徑從而利用該漏洞在任意位置寫入惡意文件。
解決措施:目前廠商還沒有提供此漏洞的相關補丁或者升級程序,建議使用此軟件的用戶隨時關注廠商的主頁以獲取最新版本:
http://www.hp.com/
5. SIMATIC PCS7 Siemens WinCC Web Navigator 登錄界面SQL注入漏洞(CNNVD-201306-247)
Siemens SIMATIC WinCC和SIMATIC PCS7都是德國西門子(Siemens)公司的工業自動化產品。其中Siemens SIMATIC WinCC是一款自動化的數據采集與監控(SCADA)系統;SIMATIC PCS7是一款分布式過程控制系統,該系統使用了WinCC。Web Navigator是WinCC中通過網絡對工廠進行操作和監視的界面。
Siemens WinCC 7.2 Update 1及之前版本中的Web Navigator中的登錄界面中存在SQL注入漏洞。遠程攻擊者可利用該漏洞執行任意SQL命令。SIMATIC PCS7 8.0 SP1以及更早版本和其它使用Siemens WinCC 7.2 Update 1及之前版本的產品都可能會受到影響。
解決措施:目前廠商已經發布了升級補丁以修復此安全問題,補丁獲取鏈接:
http://www.siemens.com/corporate-technology/pool/de/forschungsfelder/siemens_security_advisory_ssa-345843.pdf
6. VMware vCenter Chargeback Manager 代碼注入漏洞(CNNVD-201306-231)
VMware vCenter Chargeback Manager(又名CBM)是美國威睿(VMware)公司的一款可實現準確的虛擬機成本測算、分析和報告的產品。該產品提供對虛擬化設備成本的衡量和分析功能。
VMware vCenter Chargeback Manager 2.5.0及之前的版本中在處理文件上傳時存在漏洞,遠程攻擊者可利用該漏洞執行任意代碼。
解決措施:目前廠商已經發布了升級補丁以修復此安全問題,補丁獲取鏈接:
http://www.vmware.com/security/advisories/VMSA-2013-0008.html
7. Huawei AR路由器和多款交換機HTTP模塊安全漏洞(CNNVD-201306-407)
Huawei Access Router(AR)是中國華為(Huawei)公司研發的一款低端路由器產品。該產品提供移動和固定兩類網絡接入方式,適用于企業網絡。
Huawei AR路由器和S2000,S3000,S3500,S3900,S5100,S5600,S7800交換機中使用的Branch Intelligent Management System (BIMS)和web management組件中的HTTP模塊中存在漏洞,該漏洞源于程序使用可預測的會話ID。遠程攻擊者可通過暴力破解攻擊利用該漏洞劫持會話。
解決措施:目前廠商已經發布了升級補丁以修復此安全問題,補丁獲取鏈接:
http://www.huawei.com/en/security/psirt/security-bulletins/security-advisories/hw-u_194371.htm

分享到: 更多
藍客門戶
©2001-2019 中國藍客聯盟 版權所有.
關于藍客聯盟歷史宗旨章程技術服務聯系我們藍客社區

浙江福彩3d走势图