大学老师真水嫩11p,亚洲欧美又粗又长久久久,久久精品国产1314

您所在的位置：首頁 > 安全研究 > 安全通告 > 信息安全漏洞月報（2022年10月）

信息安全漏洞月報（2022年10月）

漏洞態(tài)勢

根據(jù)國家信息安全漏洞庫(CNNVD)統(tǒng)計，2022年10月份采集安全漏洞共2001個。

本月接報漏洞51286個，其中信息技術(shù)產(chǎn)品漏洞(通用型漏洞)705個，網(wǎng)絡(luò)信息系統(tǒng)漏洞(事件型漏洞)50581個，其中漏洞平臺推送漏洞48742個。

重大漏洞通報

Fortinet FortiOS 安全漏洞(CNNVD-202210-347、CVE-2022-40684)：成功利用漏洞的攻擊者，可在未經(jīng)身份驗證的情況下獲得對管理界面的訪問權(quán)限，從而最終控制目標(biāo)系統(tǒng)。Fortinet FortiOS多個版本均受此漏洞影響。目前，F(xiàn)ortinet官方已發(fā)布升級補丁修復(fù)了該漏洞，建議用戶及時確認(rèn)產(chǎn)品版本，盡快采取修補措施。

微軟官方發(fā)布公告更新了Microsoft Azure Kubernetes 安全漏洞(CNNVD-202210-553、CVE-2022-37968)、Microsoft Exchange Server 安全漏洞(CNNVD-202208-2493、CVE-2022-21980)等多個漏洞。成功利用上述漏洞的攻擊者可以在目標(biāo)系統(tǒng)上執(zhí)行任意代碼、獲取用戶數(shù)據(jù)，提升權(quán)限等。微軟多個產(chǎn)品和系統(tǒng)受漏洞影響。目前，微軟官方已經(jīng)發(fā)布了漏洞修復(fù)補丁，建議用戶及時確認(rèn)是否受到漏洞影響，盡快采取修補措施。

漏洞態(tài)勢

一、公開漏洞情況

根據(jù)國家信息安全漏洞庫(CNNVD)統(tǒng)計，2022年10月份新增安全漏洞共2001個，從廠商分布來看，WordPress基金會公司產(chǎn)品的漏洞數(shù)量最多，共發(fā)布86個;從漏洞類型來看，緩沖區(qū)錯誤類的漏洞占比最大，達(dá)到13.24%。本月新增漏洞中，超危漏洞319個、高危漏洞769個、中危漏洞871個、低危漏洞42個，相應(yīng)修復(fù)率分別為61.44%、75.81%、76.00%以及95.24%。合計1481個漏洞已有修復(fù)補丁發(fā)布，本月整體修復(fù)率74.01%。

截至2022年10月31日，CNNVD采集漏洞總量已達(dá)195428個。

1.1 漏洞增長概況

2022年10月新增安全漏洞2001個，與上月(2133個)相比減少了6.19%。根據(jù)近6個月來漏洞新增數(shù)量統(tǒng)計圖，平均每月漏洞數(shù)量達(dá)到2115個。

信息安全漏洞月報（2022年10月）圖1

圖1 2022年5月至2022年10月漏洞新增數(shù)量統(tǒng)計圖

1.2 漏洞分布情況

1.2.1 漏洞廠商分布

2022年10月廠商漏洞數(shù)量分布情況如表1所示，WordPress基金會公司漏洞達(dá)到86個，占本月漏洞總量的4.30%。

表1 2022年10月排名前十廠商新增安全漏洞統(tǒng)計表

信息安全漏洞月報（2022年10月）表1

1.2.2 漏洞產(chǎn)品分布

2022年10月主流操作系統(tǒng)的漏洞統(tǒng)計情況如表2所示。本月Windows系列操作系統(tǒng)漏洞數(shù)量共68個，Windows Server 2022漏洞數(shù)量最多，共66個，占主流操作系統(tǒng)漏洞總量的9.13%，排名第一。

表2 2022年10月主流操作系統(tǒng)漏洞數(shù)量統(tǒng)計

信息安全漏洞月報（2022年10月）表2

1.2.3 漏洞類型分布

2022年10月份發(fā)布的漏洞類型分布如表3所示，其中緩沖區(qū)錯誤類漏洞所占比例最大，約為13.24%。

表3 2022年10月漏洞類型統(tǒng)計表

信息安全漏洞月報（2022年10月）表3

1.2.4 漏洞危害等級分布

根據(jù)漏洞的影響范圍、利用方式、攻擊后果等情況，從高到低可將其分為四個危害等級，即超危、高危、中危和低危級別。2022年10月漏洞危害等級分布如圖2所示，其中超危漏洞319條，占本月漏洞總數(shù)的15.94%。

信息安全漏洞月報（2022年10月）圖2

圖2 2022年10月漏洞危害等級分布

1.3漏洞修復(fù)情

1.3.1 整體修復(fù)情況

2022年10月漏洞修復(fù)情況按危害等級進(jìn)行統(tǒng)計見圖3。其中低危漏洞修復(fù)率最高，達(dá)到95.24%，超危漏洞修復(fù)率最低，比例為61.44%。

。

總體來看，本月整體修復(fù)率由上月的72.57%上升至本月的74.01%。

信息安全漏洞月報（2022年10月）圖3

圖3 2022年10月漏洞修復(fù)數(shù)量統(tǒng)計

1.3.2 廠商修復(fù)情況

2022年10月漏洞修復(fù)情況按漏洞數(shù)量前十廠商進(jìn)行統(tǒng)計，其中WordPress基金會、Microsoft、Apple等十個廠商共627條漏洞，占本月漏洞總數(shù)的31.33%，漏洞修復(fù)率為84.21%，詳細(xì)情況見表4。多數(shù)知名廠商對產(chǎn)品安全高度重視，產(chǎn)品漏洞修復(fù)比較及時，其中Microsoft、Apple、Oracle、SAP、Autodesk、Adobe等公司本月漏洞修復(fù)率均為100%，共528條漏洞已全部修復(fù)。

表4 2022年10月廠商修復(fù)情況統(tǒng)計表

信息安全漏洞月報（2022年10月）表4

1.4 重要漏洞實例

1.4.1 超危漏洞實例

2022年10月超危漏洞共319個，其中重要漏洞實例如表5所示。

表5 2022年10月超危漏洞實例

信息安全漏洞月報（2022年10月）表5-1

信息安全漏洞月報（2022年10月）表5-2

信息安全漏洞月報（2022年10月）表5-3

信息安全漏洞月報（2022年10月）表5-4

信息安全漏洞月報（2022年10月）表5-5

信息安全漏洞月報（2022年10月）表5-6

1. Veritas NetBackup SQL注入漏洞(CNNVD-202210-059)

Veritas NetBackup是美國Veritas公司的一個應(yīng)用于為企業(yè)環(huán)境的提供備份、恢復(fù)功能的存儲服務(wù)。該軟件支持對勒索軟件的檢測和對元數(shù)據(jù)、虛擬環(huán)境等環(huán)境數(shù)據(jù)的備份保護(hù)。

Veritas NetBackup 10.0 版本及之前版本存在SQL注入漏洞。目前尚無此漏洞的相關(guān)信息，請隨時關(guān)注CNNVD或廠商公告。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://www.veritas.com/content/support/en_US/security/VTS22-011#H1

2. Apache Dubbo 代碼問題漏洞(CNNVD-202210-1211)

Apache Dubbo是美國阿帕奇(Apache)基金會的一款基于Java的輕量級RPC(遠(yuǎn)程過程調(diào)用)框架。該產(chǎn)品提供了基于接口的遠(yuǎn)程呼叫、容錯和負(fù)載平衡以及自動服務(wù)注冊和發(fā)現(xiàn)等功能。

Apache dubbo hessian-lite 3.2.12版本及之前版本存在代碼問題漏洞。攻擊者利用該漏洞執(zhí)行任意代碼。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://lists.apache.org/thread/8d3zqrkoy4jh8dy37j4rd7g9jodzlvkk

3. Apache Shiro 授權(quán)問題漏洞(CNNVD-202210-706)

Apache Shiro是美國阿帕奇(Apache)基金會的一套用于執(zhí)行認(rèn)證、授權(quán)、加密和會話管理的Java安全框架。

Apache Shiro 1.10.0之前版本存在授權(quán)問題漏洞，該漏洞源于攻擊者通過RequestDispatcher轉(zhuǎn)發(fā)或包含時可以繞過其身份認(rèn)證。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://lists.apache.org/thread/loc2ktxng32xpy7lfwxto13k4lvnhjwg

4. FortiTester操作系統(tǒng)命令注入漏洞(CNNVD-202210-1200)

FortiTester是FortiTester公司的一款基于 Fortinet 專業(yè)的網(wǎng)絡(luò)流量測試工具。

FortiTester 2.3.0 到 3.9.1、4.0.0 到 4.2.0、7.0.0 到 7.1.0版本存在安全漏洞，該漏洞源于SSH 登錄組件中使用的特殊元素的不適當(dāng)中和,攻擊者利用該漏洞可以在底層 shell 中執(zhí)行任意命令。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://fortiguard.com/psirt/FG-IR-22-237

5. Omron CX-Programmer 緩沖區(qū)錯誤漏洞(CNNVD-202210-127)

Omron CX-Programmer是日本歐姆龍(Omron)公司的一款PLC(可編程邏輯控制器)編程軟件。

Omron CX-Programmer 9.78及以前版本存在緩沖區(qū)錯誤漏洞，該漏洞源于攻擊者可以通過越界寫實現(xiàn)任意代碼執(zhí)行。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://www.ia.omron.com/product/tool/26/cxone/e4_doc.html?_ga=2.122882383.558156545.1661312515-1562293325.1567412774#cx_programmer

6. Abode Iota訪問控制錯誤漏洞(CNNVD-202210-1520)

Abode Iota是Abode公司的一個可靠的 Diy 家庭安全系統(tǒng)。

Abode Iota 6.9X 和 6.9Z 版本存在訪問控制錯誤漏洞，該漏洞源于GHOME 控制功能中存在身份驗證繞過，攻擊者利用該漏洞可以發(fā)送惡意 XML 有效負(fù)載執(zhí)行任意命令。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，詳情請關(guān)注廠商主頁：

https://goabode.com/product/iota-security-kit

7. Linux kernel 資源管理錯誤漏洞(CNNVD-202210-1609)

Linux kernel是美國Linux基金會的開源操作系統(tǒng)Linux所使用的內(nèi)核。

Linux kernel 存在資源管理錯誤漏洞，該漏洞源于內(nèi)存釋放后重用。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://git.kernel.org/pub/scm/linux/kernel/git/bpf/bpf-next.git/commit/?id=d325dc6eb763c10f591c239550b8c7e5466a5d09

8. WordPress 輸入驗證錯誤漏洞(CNNVD-202210-1136)

WordPress是WordPress基金會的一套使用PHP語言開發(fā)的博客平臺。該平臺支持在PHP和MySQL的服務(wù)器上架設(shè)個人博客網(wǎng)站。

WordPress 5.1版本存在輸入驗證錯誤漏洞，該漏洞源于“X-Forwarded-For”是一個HTTP頭，用來攜帶客戶端的原始IP地址，由于這些標(biāo)頭很可能由客戶端添加到請求中，因此如果系統(tǒng)/設(shè)備使用在X-Forwarded-For 標(biāo)頭處減速的 IP 地址而不是原始 IP，則可能會遇到各種問題，如果源自這些字段的數(shù)據(jù)受到應(yīng)用程序開發(fā)人員的信任并得到處理，則任何源自 IP 地址記錄的授權(quán)檢查都可能被操縱。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，詳情請關(guān)注廠商主頁：

https://wordpress.org/

1.4.2 高危漏洞實例

2022年10月高危漏洞共769個，其中重要漏洞實例如表6所示。

表6 2022年10月高危漏洞實例（詳情略）

1. Rockwell Automation Factory Talk VantagePoint SQL注入漏洞(CNNVD-202210-249)

Rockwell Automation Factory Talk VantagePoint是美國羅克韋爾(Rockwell Automation)公司的一個高級工業(yè)應(yīng)用生態(tài)系統(tǒng)。通過提供開箱即用的支持 Web 的內(nèi)容瀏覽和顯示創(chuàng)建來實現(xiàn)生產(chǎn)力。

Rockwell Automation Factory Talk VantagePoint 存在SQL注入漏洞，該漏洞源于未正確驗證用戶向后端數(shù)據(jù)庫檢索信息時輸入的SQL語句導(dǎo)致具有基本用戶權(quán)限的用戶可以在服務(wù)器上執(zhí)行遠(yuǎn)程代碼執(zhí)行。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，詳情請關(guān)注廠商主頁：

https://rockwellautomation.custhelp.com/app/answers/answer_view/a_id/1137043

2. GitHub Enterprise Server 代碼問題漏洞(CNNVD-202210-1366)

GitHub Enterprise Server是美國Github開源的一個應(yīng)用軟件。提供一個將自己的GitHub實例設(shè)置為虛擬設(shè)備，從而提供可擴展，易于管理的平臺。

GitHub Enterprise Server 3.6之前版本存在安全漏洞。攻擊者利用該漏洞通過服務(wù)器端請求偽造(SSRF)獲得訪問權(quán)限，從而能夠控制反序列化的數(shù)據(jù)。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，詳情請關(guān)注廠商主頁：

https://docs.github.com/en

3. Rockwell Automation FactoryTalk Alarm and Events Server 授權(quán)問題漏洞(CNNVD-202210-2369)

Rockwell Automation FactoryTalk Alarm and Events Server是美國羅克韋爾(Rockwell Automation)公司的提供了一種連接到 Rockwell 的FactoryTalk 服務(wù)的方法，以便從已配置的 A&E 服務(wù)器中過濾警報。

Rockwell Automation FactoryTalk Alarm and Events Server 存在安全漏洞。攻擊者利用該漏洞可以訪問敏感信息。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://rockwellautomation.custhelp.com/app/answers/answer_view/a_id/1136876

4. Fortinet FortiOS 操作系統(tǒng)命令注入漏洞(CNNVD-202210-361)

Fortinet FortiOS是美國飛塔(Fortinet)公司的一套專用于FortiGate網(wǎng)絡(luò)安全平臺上的安全操作系統(tǒng)。該系統(tǒng)為用戶提供防火墻、防病毒、IPSec/SSLVPN、Web內(nèi)容過濾和反垃圾郵件等多種安全功能。

Fortinet FortiOS存在安全漏洞，該漏洞源于使用的特殊元素的中和不當(dāng)。攻擊者利用該漏洞在鏈接的FortiSwitch上執(zhí)行特權(quán)命令。以下產(chǎn)品及版本受到影響：Fortinet FortiOS 6.0.0版本至6.0.14版本、6.2.0版本至6.2.10版本、6.4.0版本至6.4.8版本、7.0.0版本至7.0.3版本。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://www.fortiguard.com/psirt/FG-IR-21-242

5. Linux kernel 緩沖區(qū)錯誤漏洞(CNNVD-202210-845)

Linux kernel是美國Linux基金會的開源操作系統(tǒng)Linux所使用的內(nèi)核。

Linux kernel 5.19.11及之前版本存在安全漏洞，該漏洞源于能夠注入WLAN幀的攻擊者可以在net/mac80211/scan.c的ieee80211_bss_info_update函數(shù)中造成緩沖區(qū)溢出。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://git.kernel.org/pub/scm/linux/kernel/git/wireless/wireless.git/commit/?id=aebe9f4639b13a1f4e9a6b42cdd2e38c617b442d

6. Trend Micro Apex One 訪問控制錯誤漏洞(CNNVD-202210-362)

Trend Micro Apex One是美國趨勢科技(Trend Micro)公司的一款終端防護(hù)軟件。

Trend Micro Apex One 2019 (on-prem)、SaaS版本存在安全漏洞，該漏洞源于 Apex One 源驗證錯誤，攻擊者利用該漏洞可以提升權(quán)限。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://success.trendmicro.com/solution/000291645

7. ARM Mali GPU Kernel Driver 資源管理錯誤漏洞(CNNVD-202210-2102)

ARM Mali GPU Kernel Driver是英國ARM公司的一個圖形處理器單元的驅(qū)動程序。

ARM Mali GPU Kernel Driver 存在資源管理錯誤漏洞，該漏洞源于允許非特權(quán)用戶進(jìn)行不當(dāng)?shù)腉PU處理操作，以獲得對已釋放內(nèi)存的訪問。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://developer.arm.com/Arm%20Security%20Center/Mali%20GPU%20Driver%20Vulnerabilities

8. F5 BIG-IP 輸入驗證錯誤漏洞(CNNVD-202210-1393)

F5 BIG-IP是美國F5公司的一款集成了網(wǎng)絡(luò)流量管理、應(yīng)用程序安全管理、負(fù)載均衡等功能的應(yīng)用交付平臺。

F5 BIG-IP 存在輸入驗證錯誤漏洞，該漏洞源于當(dāng)在虛擬服務(wù)器上配置了啟用“Attack Signature False Positive Mode”的安全策略時，未披露的請求可能導(dǎo)致bd進(jìn)程終止。

目前廠商已發(fā)布升級補丁以修復(fù)漏洞，補丁獲取鏈接：

https://support.f5.com/csp/article/K47204506

二、漏洞平臺推送情況

2022年10月漏洞平臺推送漏洞48742個。

表7 2022年10月漏洞平臺推送情況表

信息安全漏洞月報（2022年10月）表7

三、接報漏洞情況

2022年10月接報漏洞2544個，其中信息技術(shù)產(chǎn)品漏洞(通用型漏洞)705個，網(wǎng)絡(luò)信息系統(tǒng)漏洞(事件型漏洞)1839個。

表8 2022年10月接報漏洞情況表（詳情略）

四、重大漏洞通報

4.1 Fortinet FortiOS安全漏洞的通報

近日，國家信息安全漏洞庫(CNNVD)收到關(guān)于Fortinet FortiOS 安全漏洞(CNNVD-202210-347、CVE-2022-40684)情況的報送。成功利用漏洞的攻擊者，可在未經(jīng)身份驗證的情況下獲得對管理界面的訪問權(quán)限，從而最終控制目標(biāo)系統(tǒng)。Fortinet FortiOS 7.0.0版至7.0.6版、7.2.0版至7.2.1版、FortiProxy 7.0.0版至7.0.6版、7.2.0版本等多個版本均受此漏洞影響。目前，F(xiàn)ortinet官方已發(fā)布升級補丁修復(fù)了該漏洞，建議用戶及時確認(rèn)產(chǎn)品版本，盡快采取修補措施。

. 漏洞介紹

Fortinet FortiOS是美國飛塔(Fortinet)公司的一套專用于FortiGate網(wǎng)絡(luò)安全平臺上的安全操作系統(tǒng)。該系統(tǒng)為用戶提供防火墻、防病毒、IPSec/SSLVPN、Web內(nèi)容過濾和反垃圾郵件等多種安全功能。Fortinet FortiOS存在安全漏洞，該漏洞允許未經(jīng)身份驗證的攻擊者獲得對管理界面的訪問權(quán)限，并通過特制的HTTP或HTTPS請求執(zhí)行任意操作，從而最終控制目標(biāo)系統(tǒng)。

. 危害影響

成功利用漏洞的攻擊者，可在未經(jīng)身份驗證的情況下獲得對管理界面的訪問權(quán)限，從而最終控制目標(biāo)系統(tǒng)。Fortinet FortiOS 7.0.0版至7.0.6版、7.2.0版至7.2.1版、FortiProxy 7.0.0版至7.0.6版、7.2.0版本等多個版本均受此漏洞影響。

. 修復(fù)建議

目前，F(xiàn)ortinet官方已發(fā)布升級補丁修復(fù)了該漏洞，建議用戶及時確認(rèn)產(chǎn)品版本，盡快采取修補措施。官方補丁鏈接如下：

https://docs.fortinet.com/product/fortigate/7.2

4.2 微軟多個安全漏洞的通報

近日，微軟官方發(fā)布了多個安全漏洞的公告，其中微軟產(chǎn)品本身漏洞89個。包括Microsoft Azure Kubernetes 安全漏洞(CNNVD-202210-553、CVE-2022-37968)、Microsoft Exchange Server 安全漏洞(CNNVD-202208-2493、CVE-2022-21980)等多個漏洞。成功利用上述漏洞的攻擊者可以在目標(biāo)系統(tǒng)上執(zhí)行任意代碼、獲取用戶數(shù)據(jù)，提升權(quán)限等。微軟多個產(chǎn)品和系統(tǒng)受漏洞影響。目前，微軟官方已經(jīng)發(fā)布了漏洞修復(fù)補丁，建議用戶及時確認(rèn)是否受到漏洞影響，盡快采取修補措施。

. 漏洞介紹

2022年10月11日，微軟發(fā)布了2022年10月份安全更新，共89個漏洞的補丁程序，CNNVD對這些漏洞進(jìn)行了收錄。本次更新主要涵蓋了Microsoft Windows 和 Windows 組件、Microsoft Windows DHCP Client、Microsoft Windows Kernel、Microsoft Windows Print Spooler Components、Microsoft Word、Microsoft Windows Perception Simulation Service等。CNNVD對其危害等級進(jìn)行了評價，其中超危漏洞1個，高危漏洞66個，中危漏洞20個，低危漏洞2個。微軟多個產(chǎn)品和系統(tǒng)版本受漏洞影響，具體影響范圍可訪問

https://portal.msrc.microsoft.com/zh-cn/security-guidance查詢。

. 漏洞詳情

此次更新共包括84個新增漏洞的補丁程序，其中超危漏洞1個，高危漏洞63個，中危漏洞18個，低危漏洞2個。

信息安全漏洞月報（2022年10月）表-1