信息安全漏洞周报（2023年第23期）

根据国家信息安全漏洞库（CNNVD）统计，本周（2023年6月5日至2023年6月11日）安全漏洞情况如下：

公开漏洞情况

本周CNNVD采集安全漏洞571个。

接报漏洞情况

本周CNNVD接报漏洞13616个，其中信息技术产品漏洞（通用型漏洞）275个，网络信息系统漏洞（事件型漏洞）153个，漏洞平台推送漏洞13188个。

一、公开漏洞情况

根据国家信息安全漏洞库（CNNVD）统计，本周新增安全漏洞571个，漏洞新增数量有所上升。从厂商分布来看WordPress基金会新增漏洞最多，有188个；从漏洞类型来看，跨站脚本类的安全漏洞占比最大，达到7.88%。新增漏洞中，超危漏洞55个，高危漏洞144个，中危漏洞346个，低危漏洞26个。

（一） 安全漏洞增长数量情况

本周CNNVD采集安全漏洞571个。

图1 近五周漏洞新增数量统计图

（二） 安全漏洞分布情况

从厂商分布来看，WordPress基金会新增漏洞最多，有188个。各厂商漏洞数量分布如表1所示。

表1 新增安全漏洞排名前五厂商统计表

序号	厂商名称	漏洞数量（个）	所占比例
1	WordPress基金会	188	32.92%
2	高通	32	5.60%
3	联发科	31	5.43%
4	紫光展锐	20	3.50%
5	华为	18	3.15%

本周国内厂商漏洞104个，联发科公司漏洞数量最多，有31个。国内厂商漏洞整体修复率为78.85%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。

从漏洞类型来看, 跨站脚本类的安全漏洞占比最大，达到7.88%。漏洞类型统计如表2所示。

表2 漏洞类型统计表

序号	漏洞类型	漏洞数量（个）	所占比例
1	跨站脚本	45	7.88%
2	缓冲区错误	43	7.53%
3	SQL注入	18	3.15%
4	跨站请求伪造	17	2.98%
5	输入验证错误	12	2.10%
6	代码问题	9	1.58%
7	资源管理错误	9	1.58%
8	路径遍历	9	1.58%
9	授权问题	6	1.05%
10	信息泄露	6	1.05%
11	访问控制错误	4	0.70%
12	命令注入	4	0.70%
13	操作系统命令注入	2	0.35%
14	代码注入	2	0.35%
15	日志信息泄露	1	0.18%
16	注入	1	0.18%
17	数据伪造问题	1	0.18%
18	其他	382	66.90%

（三） 安全漏洞危害等级与修复情况

本周共发布超危漏洞55个，高危漏洞144个，中危漏洞346个，低危漏洞26个。相应修复率分别为80.00%、88.89%、84.10%和73.08%。根据补丁信息统计，合计482个漏洞已有修复补丁发布，整体修复率为84.41%。详细情况如表3所示。

表3 漏洞危害等级与修复情况

序号	危害等级	漏洞数量（个）	修复数量（个）	修复率
1	超危	55	44	80.00%
2	高危	144	128	88.89%
3	中危	346	291	84.10%
4	低危	26	19	73.08%
合计	571	482	84.41%

（四） 本周重要漏洞实例

本周重要漏洞实例如表4所示。

表4 本期重要漏洞实例

序号	漏洞	漏洞编号	厂商	漏洞实例	是否修复	危害等级
类型
1	SQL注入	CNNVD-202306-661	WordPress基金会	WordPress plugin Multiple Page Generator SQL注入漏洞	是	超危
2	其他	CNNVD-202306-379	GitLab	GitLab 安全漏洞	是	高危
3	其他	CNNVD-202306-420	Mozilla基金会	Mozilla Firefox 安全漏洞	是	高危

1.WordPress plugin Multiple Page Generator SQL注入漏洞（CNNVD-202306-661）

WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。

WordPress plugin Multiple Page Generator 1.0.17版本及之前版本存在SQL注入漏洞，该漏洞源于对用户提供的orderby和order参数转义不足。攻击者利用该漏洞可以从数据库中提取敏感信息。

目前厂商已发布升级补丁以修复漏洞，参考链接：

https://www.wordfence.com/threat-intel/vulnerabilities/id/1575f0ad-0a77-4047-844c-48db4c8b4e91?source=cve

2.GitLab 安全漏洞（CNNVD-202306-379）

GitLab是美国GitLab公司的一个开源的端到端软件开发平台，具有内置的版本控制、问题跟踪、代码审查、CI/CD（持续集成和持续交付）等功能。

GitLab存在安全漏洞。攻击者利用该漏洞通过将特制的有效载荷发送到preview_markdown端点，从而可以执行正则表达式拒绝服务攻击。以下产品和版本受到影响：15.4.0到15.10.8版本、15.11到15.11.7版本、16.0到16.0.2版本。

目前厂商已发布升级补丁以修复漏洞，参考链接：

https://gitlab.com/gitlab-org/cves/-/blob/master/2023/CVE-2023-2132.json

3.Mozilla Firefox 安全漏洞（CNNVD-202306-420）

Mozilla Firefox是美国Mozilla基金会的一款开源Web浏览器。

Mozilla Firefox存在安全漏洞。攻击者利用该漏洞可以导致内存损坏并执行任意代码。受影响的产品和版本：Mozilla Firefox 113版本、Mozilla Firefox ESR 102.11版本。

目前厂商已发布升级补丁以修复漏洞，参考链接：

https://www.mozilla.org/en-US/security/advisories/mfsa2023-20/

二、漏洞平台推送情况

  本周CNNVD接收漏洞平台推送漏洞13188个。

序号	漏洞平台	漏洞总量
1	补天平台	11732
2	360漏洞云	876
3	漏洞盒子	580
推送总计	13188

三、接报漏洞情况

本周CNNVD接报漏洞428个，其中信息技术产品漏洞（通用型漏洞）275个，网络信息系统漏洞（事件型漏洞）153个。

序号	报送单位	漏洞总量
1	北京赛博昆仑科技有限公司	75
2	北京山石网科信息技术有限公司	55
3	北京华云安信息技术有限公司	37
4	个人	33
5	北京长亭科技有限公司	16
6	杭州海康威视数字技术股份有限公司	16
7	华为技术有限公司	14
8	中国电信股份有限公司上海研究院	14
9	北京神州绿盟科技有限公司	13
10	超聚变数字技术有限公司	10
11	内蒙古旌云科技有限公司	10
12	长春嘉诚信息技术股份有限公司	10
13	北京墨云科技有限公司	9
14	北京奇虎科技有限公司	8
15	北京天融信网络安全技术有限公司	7
16	北京安盟信息技术股份有限公司	5
17	博智安全科技股份有限公司	5
18	格林兰德（广东）智慧科技有限公司	5
19	广州天懋信息系统股份有限公司	5
20	黑龙江智泽测评科技有限公司	5
21	广东省信息安全测评中心	4
22	广州竞远安全技术股份有限公司	4
23	河南听潮盛世信息技术有限公司	4
24	深信服科技股份有限公司	4
25	浙江大华技术股份有限公司	4
26	北京网藤科技有限公司	3
27	河南悦海数安科技有限公司	3
28	快页信息技术有限公司	3
29	天津市兴先道科技有限公司	3
30	中兴通讯股份有限公司	3
31	北京安普诺信息技术有限公司	2
32	北京信联数安科技有限公司	2
33	宁波和利时信息安全研究院有限公司	2
34	任子行网络技术股份有限公司	2
35	西安交大捷普网络科技有限公司	2
36	新华三技术有限公司	2
37	徐州天衷网络科技有限公司	2
38	安徽慢音科技有限公司	1
39	安徽天行网安信息安全技术有限公司	1
40	北京安天网络安全技术有限公司	1
41	北京启明星辰信息安全技术有限公司	1
42	北京容辉智信科技有限公司	1
43	北京赛宁网安科技有限公司	1
44	北京云科安信科技有限公司	1
45	北京智游网安科技有限公司	1
46	福建闽盾网络安全有限公司	1
47	广东为辰信息科技有限公司	1
48	贵州蓝天创新科技有限公司	1
49	杭州美创科技股份有限公司	1
50	河南天祺信息安全技术有限公司	1
51	湖南中测网安信息技术有限公司	1
52	江苏韫道信息安全技术有限公司	1
53	浪潮电子信息产业股份有限公司	1
54	墨菲未来科技(北京)有限公司	1
55	南京赛宁信息技术有限公司	1
56	内蒙古信息系统安全等级测评中心	1
57	奇安信网神信息技术（北京）股份有限公司	1
58	麒麟软件有限公司	1
59	锐捷网络股份有限公司	1
60	赛尔网络有限公司	1
61	上海矢安科技有限公司	1
62	腾讯云计算（北京）有限责任公司	1
63	西安四叶草信息技术有限公司	1
64	智网安云（武汉）信息技术有限公司	1
报送总计	428

四、收录漏洞通报情况

本周CNNVD收录漏洞通报82份。

序号	报送单位	通报总量
1	南京禾盾信息科技有限公司	18
2	苏州棱镜七彩信息科技有限公司	7
3	深信服科技股份有限公司	5
4	新华三技术有限公司	4
5	智网安云（武汉）信息技术有限公司	4
6	安徽长泰科技有限公司	3
7	博智安全科技股份有限公司	3
8	北京梆梆安全科技有限公司	2
9	北京云科安信科技有限公司	2
10	杭州海康威视数字技术股份有限公司	2
11	华为技术有限公司	2
12	山东新潮信息技术有限公司	2
13	上海上讯信息技术股份有限公司	2
14	北京安天网络安全技术有限公司	1
15	北京华云安信息技术有限公司	1
16	北京六方云信息技术有限公司	1
17	北京启明星辰信息安全技术有限公司	1
18	北京赛博昆仑科技有限公司	1
19	北京山石网科信息技术有限公司	1
20	北京时代新威信息技术有限公司	1
21	北京天融信网络安全技术有限公司	1
22	北京信联数安科技有限公司	1
23	北京永信至诚科技股份有限公司	1
24	北京长亭科技有限公司	1
25	烽台科技（北京）有限公司	1
26	广东省信息安全测评中心	1
27	广州锦行网络科技有限公司	1
28	广州天懋信息系统股份有限公司	1
29	河南悦海数安科技有限公司	1
30	黑龙江安信与诚科技开发有限公司	1
31	黑龙江智泽测评科技有限公司	1
32	恒安嘉新(北京)科技股份公司	1
33	奇安信网神信息技术（北京）股份有限公司	1
34	锐捷网络股份有限公司	1
35	山西轩辕信息安全技术有限公司	1
36	上海安识网络科技有限公司	1
37	上海斗象信息科技有限公司	1
38	上海矢安科技有限公司	1
39	深圳海云安网络安全技术有限公司	1
收录总计	82