信息安全漏洞周报（2023年第8期）
根据国家信息安全漏洞库（CNNVD）统计，本周（2023年2月20日至2023年2月26日）安全漏洞情况如下：
公开漏洞情况本周CNNVD采集安全漏洞360个。
接报漏洞情况
本周CNNVD接报漏洞6430个，其中信息技术产品漏洞（通用型漏洞）122个，网络信息系统漏洞（事件型漏洞）87个，漏洞平台推送漏洞6221个。
一、公开漏洞情况
根据国家信息安全漏洞库（CNNVD）统计，本周新增安全漏洞360个，漏洞新增数量有所下降。从厂商分布来看WordPress基金会新增漏洞最多，有48个；从漏洞类型来看，跨站脚本类的安全漏洞占比最大，达到17.22%。新增漏洞中，超危漏洞35个，高危漏洞77个，中危漏洞236个，低危漏洞12个。
（一） 安全漏洞增长数量情况
本周CNNVD采集安全漏洞360个。
图1 近五周漏洞新增数量统计图
（二） 安全漏洞分布情况
从厂商分布来看，WordPress基金会新增漏洞最多，有48个。各厂商漏洞数量分布如表1所示。
表1 新增安全漏洞排名前五厂商统计表
序号 | 厂商名称 | 漏洞数量（个） | 所占比例 |
1 | WordPress基金会 | 48 | 13.33% |
2 | Mozilla基金会 | 17 | 4.72% |
3 | Linux | 9 | 2.50% |
4 | 谷歌 | 8 | 2.22% |
5 | Apache基金会 | 8 | 2.22% |
本周国内厂商漏洞11个，普联公司和中兴公司漏洞数量最多，有2个。国内厂商漏洞整体修复率为27.27%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。
从漏洞类型来看, 跨站脚本类的安全漏洞占比最大，达到17.22%。漏洞类型统计如表2所示。
表2 漏洞类型统计表
序号 | 漏洞类型 | 漏洞数量（个） | 所占比例 |
1 | 跨站脚本 | 62 | 17.22% |
2 | SQL注入 | 25 | 6.94% |
3 | 代码问题 | 6 | 1.67% |
4 | 跨站请求伪造 | 6 | 1.67% |
5 | 访问控制错误 | 4 | 1.11% |
6 | 输入验证错误 | 4 | 1.11% |
7 | 缓冲区错误 | 3 | 0.83% |
8 | 路径遍历 | 3 | 0.83% |
9 | 操作系统命令注入 | 2 | 0.56% |
10 | 代码注入 | 2 | 0.56% |
11 | 命令注入 | 2 | 0.56% |
12 | 日志信息泄露 | 2 | 0.56% |
13 | 信息泄露 | 1 | 0.28% |
14 | 授权问题 | 1 | 0.28% |
15 | 注入 | 1 | 0.28% |
16 | 其他 | 236 | 65.56% |
（三） 安全漏洞危害等级与修复情况
本周共发布超危漏洞35个，高危漏洞77个，中危漏洞236个，低危漏洞12个。相应修复率分别为85.71%、89.61%、75.00%和50.00%。根据补丁信息统计，合计282个漏洞已有修复补丁发布，整体修复率为78.33%。详细情况如表3所示。
表3 漏洞危害等级与修复情况
序号 | 危害等级 | 漏洞数量（个） | 修复数量（个） | 修复率 |
1 | 超危 | 35 | 30 | 85.71% |
2 | 高危 | 77 | 69 | 89.61% |
3 | 中危 | 236 | 177 | 75.00% |
4 | 低危 | 12 | 6 | 50.00% |
合计 | 360 | 282 | 78.33% |
（四） 本周重要漏洞实例
本周重要漏洞实例如表4所示。
表4 本期重要漏洞实例
序号 | 漏洞 | 漏洞编号 | 厂商 | 漏洞实例 | 是否修复 | 危害等级 |
类型 | ||||||
1 | 代码问题 | CNNVD-202302-1670 | WordPress基金会 | WordPress plugin ShopLentor 代码问题漏洞 | 是 | 超危 |
2 | 其他 | CNNVD-202302-1937 | 思科 | Cisco Application Policy Infrastructure Controller 安全漏洞 | 是 | 高危 |
3 | 其他 | CNNVD-202302-1975 | Apache基金会 | Apache Airflow 安全漏洞 | 是 | 高危 |
1. WordPress plugin ShopLentor 代码问题漏洞（CNNVD-202302-1670）
WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。
WordPress plugin ShopLentor 2.5.4之前版本存在代码问题漏洞。攻击者利用该漏洞可以查看产品和用户数据，从而执行PHP对象注入攻击。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://wpscan.com/vulnerability/1885a708-0e8a-4f4c-8e26-069bebe9a518
2. Cisco Application Policy Infrastructure Controller 安全漏洞（CNNVD-202302-1937）
Cisco Application Policy Infrastructure Controller（APIC）是美国思科（Cisco）公司的一款自动化的基础架构部署和治理解决方案。
Cisco Application Policy Infrastructure Controller (APIC)、Cisco Cloud Network Controller存在安全漏洞，该漏洞源于基于Web的管理系统没有对跨站请求伪造进行充分的检查。攻击者利用该漏洞可升级权限并执行任意操作。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-capic-csrfv-DMx6KSwV
3. Apache Airflow 安全漏洞（CNNVD-202302-1975）
Apache Airflow是美国阿帕奇（Apache）基金会的一套用于创建、管理和监控工作流程的开源平台。该平台具有可扩展和动态监控等特点。
Apache Airflow AWS Provider 7.2.1之前版本存在安全漏洞，该漏洞源于系统生成的错误信息中包含敏感信息。攻击者利用该漏洞可以查看敏感信息。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://lists.apache.org/thread/07pl9y4gdpw2c6rzqm77dvkm2z2kb5gv
二、漏洞平台推送情况
本周CNNVD接收漏洞平台推送漏洞6221个。
序号 | 漏洞平台 | 漏洞总量 |
1 | 补天平台 | 2829 |
2 | 漏洞盒子 | 1960 |
3 | 360漏洞云 | 1432 |
推送总计 | 6221 |
三、接报漏洞情况
本周CNNVD接报漏洞209个，其中信息技术产品漏洞（通用型漏洞）122个，网络信息系统漏洞（事件型漏洞）87个。
表5 本周漏洞报送情况
序号 | 报送单位 | 漏洞总量 |
1 | 个人 | 27 |
2 | 重庆都会信息科技有限公司 | 25 |
3 | 杭州海康威视数字技术股份有限公司 | 17 |
4 | 天翼数智科技（北京）有限公司 | 16 |
5 | 中电信数智科技有限公司 | 14 |
6 | 北京启明星辰信息安全技术有限公司 | 11 |
7 | 北京永信至诚科技股份有限公司 | 8 |
8 | 北京天融信网络安全技术有限公司 | 6 |
9 | 上海斗象信息科技有限公司 | 6 |
10 | 浙江宇视科技有限公司 | 6 |
11 | 华为技术有限公司 | 5 |
12 | 北京华云安信息技术有限公司 | 4 |
13 | 快页信息技术有限公司 | 4 |
14 | 安徽锋刃信息科技有限公司 | 3 |
15 | 北京门石信息技术有限公司 | 3 |
16 | 杭州默安科技有限公司 | 3 |
17 | 深圳昂楷科技有限公司 | 3 |
18 | 深圳海云安网络安全技术有限公司 | 3 |
19 | 智网安云（武汉）信息技术有限公司 | 3 |
20 | 北京安全共识科技有限公司 | 2 |
21 | 北京安天网络安全技术有限公司 | 2 |
22 | 北京时代新威信息技术有限公司 | 2 |
23 | 科来网络技术股份有限公司 | 2 |
24 | 内蒙古思沃科技有限公司 | 2 |
25 | 内蒙古信元网络安全技术股份有限公司 | 2 |
26 | 上海谋乐网络科技有限公司 | 2 |
27 | 深信服科技股份有限公司 | 2 |
28 | 天津市兴先道科技有限公司 | 2 |
29 | 新华三技术有限公司 | 2 |
30 | 长扬科技（北京）股份有限公司 | 2 |
31 | 北京安信天行科技有限公司 | 1 |
32 | 北京威努特技术有限公司 | 1 |
33 | 北京中睿天下信息技术有限公司 | 1 |
34 | 博智安全科技股份有限公司 | 1 |
35 | 福建经联网络技术有限公司 | 1 |
36 | 贵州泰若数字科技有限公司 | 1 |
37 | 杭州安恒信息技术股份有限公司 | 1 |
38 | 杭州中电安科现代科技有限公司 | 1 |
39 | 河南天祺信息安全技术有限公司 | 1 |
40 | 南京禾盾信息科技有限公司 | 1 |
41 | 宁波和利时信息安全研究院有限公司 | 1 |
42 | 清远职业技术学院 | 1 |
43 | 瑞数信息技术（上海）有限公司 | 1 |
44 | 厦门捷诺通信息技术股份有限公司 | 1 |
45 | 苏州棱镜七彩信息科技有限公司 | 1 |
46 | 西安四叶草信息技术有限公司 | 1 |
47 | 西安长盛信安信息技术有限公司 | 1 |
48 | 浙江大学307Lab | 1 |
49 | 中孚安全技术有限公司 | 1 |
50 | 中国电子科技网络信息安全有限公司 | 1 |
报送总计 | 209 |
四、收录漏洞通报情况
本周CNNVD收录漏洞通报146份。
序号 | 报送单位 | 通报总量 |
1 | 安徽华云安科技有限公司 | 13 |
2 | 北京华云安信息技术有限公司 | 13 |
3 | 中瑞创信息技术(北京)有限公司 | 13 |
4 | 南京禾盾信息科技有限公司 | 10 |
5 | 深圳市腾讯计算机系统有限公司 | 7 |
6 | 北京墨云科技有限公司 | 5 |
7 | 上海斗象信息科技有限公司 | 5 |
8 | 深信服科技股份有限公司 | 5 |
9 | 新华三技术有限公司 | 5 |
10 | 北京五一嘉峪科技有限公司 | 4 |
11 | 贵州泰若数字科技有限公司 | 4 |
12 | 锐捷网络股份有限公司 | 4 |
13 | 浙江大华技术股份有限公司 | 4 |
14 | 中孚安全技术有限公司 | 4 |
15 | 北京容辉智信科技有限公司 | 3 |
16 | 北京永信至诚科技股份有限公司 | 3 |
17 | 湖南省金盾信息安全等级保护评估中心有限公司 | 3 |
18 | 华为技术有限公司 | 3 |
19 | 天津市兴先道科技有限公司 | 3 |
20 | 北京安天网络安全技术有限公司 | 2 |
21 | 北京边界无限科技有限公司 | 2 |
22 | 北京山石网科信息技术有限公司 | 2 |
23 | 北京知道创宇信息技术股份有限公司 | 2 |
24 | 杭州美创科技股份有限公司 | 2 |
25 | 杭州中电安科现代科技有限公司 | 2 |
26 | 江苏网擎信息技术有限公司 | 2 |
27 | 内蒙古奥创网安科技有限公司 | 2 |
28 | 天翼数智科技（北京）有限公司 | 2 |
29 | 亚信科技（成都）有限公司 | 2 |
30 | 浙江宇视科技有限公司 | 2 |
31 | 北京奇虎科技有限公司 | 1 |
32 | 北京威努特技术有限公司 | 1 |
33 | 北京长亭科技有限公司 | 1 |
34 | 博智安全科技股份有限公司 | 1 |
35 | 杭州安恒信息技术股份有限公司 | 1 |
36 | 杭州迪普科技股份有限公司 | 1 |
37 | 杰润鸿远（北京）科技有限公司 | 1 |
38 | 浪潮电子信息产业股份有限公司 | 1 |
39 | 任子行网络技术股份有限公司 | 1 |
40 | 山东云天安全技术有限公司 | 1 |
41 | 上海安识网络科技有限公司 | 1 |
42 | 深圳市能信安科技股份有限公司 | 1 |
43 | 智网安云（武汉）信息技术有限公司 | 1 |
收录总计 | 146 |