信息安全漏洞周报（2024年第14期）

点击蓝字关注我们

根据国家信息安全漏洞库（CNNVD）统计，本周（2024年3月25日至2024年3月31日）安全漏洞情况如下：

公开漏洞情况

本周CNNVD采集安全漏洞990个。

接报漏洞情况

本周CNNVD接报漏洞9156个，其中信息技术产品漏洞（通用型漏洞）316个，网络信息系统漏洞（事件型漏洞）45个，漏洞平台推送漏洞8795个。

一、公开漏洞情况

根据国家信息安全漏洞库（CNNVD）统计，本周新增安全漏洞990个，漏洞新增数量有所上升。从厂商分布来看WordPress基金会新增漏洞最多，有426个；从漏洞类型来看，跨站脚本类的安全漏洞占比最大，达到20.51%。新增漏洞中，超危漏洞35个，高危漏洞146个，中危漏洞795个，低危漏洞14个。

（一）安全漏洞增长数量情况

本周CNNVD采集安全漏洞990个。

图1 近五周漏洞新增数量统计图

（二）安全漏洞分布情况

从厂商分布来看，WordPress基金会新增漏洞最多，有426个。各厂商漏洞数量分布如表1所示。

表1 新增安全漏洞排名前五厂商统计表

序号	厂商名称	漏洞数量(个)	所占比例
1	WordPress基金会	426	43.03%
2	腾达	86	8.69%
3	Linux基金会	59	5.96%
4	思科	17	1.72%
5	戴尔	16	1.62%

本周国内厂商漏洞119个，腾达公司漏洞数量最多，有86个。国内厂商漏洞整体修复率为87.50%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。

从漏洞类型来看, 跨站脚本类的安全漏洞占比最大，达到20.51%。漏洞类型统计如表2所示。

表2 漏洞类型统计表

序号	漏洞类型	漏洞数量(个)	所占比例
1	跨站脚本	203	20.51%
2	SQL注入	69	6.97%
3	代码问题	45	4.55%
4	跨站请求伪造	29	2.93%
5	日志信息泄露	8	0.81%
6	命令注入	6	0.61%
7	操作系统命令注入	6	0.61%
8	信息泄露	5	0.51%
9	路径遍历	3	0.30%
10	授权问题	2	0.20%
11	资源管理错误	2	0.20%
12	缓冲区错误	2	0.20%
13	访问控制错误	1	0.10%
14	输入验证错误	1	0.10%
15	加密问题	1	0.10%
16	其他	607	61.31%

（三）安全漏洞危害等级与修复情况

本周共发布超危漏洞35个，高危漏洞146个，中危漏洞795个，低危漏洞14个。相应修复率分别为74.29%、83.56%、88.18%和78.57%。根据补丁信息统计，合计860个漏洞已有修复补丁发布，整体修复率为86.87%。详细情况如表3所示。

表3 漏洞危害等级与修复情况

序号	危害等级	漏洞数量(个)	修复数量(个)	修复率
1	超危	35	26	74.29%
2	高危	146	122	83.56%
3	中危	795	701	88.18%
4	低危	14	11	78.57%
合计		990	860	86.87%

（四）本周重要漏洞实例

本周重要漏洞实例如表4所示。

表4 本期重要漏洞实例

序号	漏洞类型	漏洞编号	厂商	漏洞实例	是否修复	危害等级
1	其他	CNNVD-202403-2648	WordPress基金会	WordPress plugin The Plus Addons for Elementor 安全漏洞	是	超危
2	其他	CNNVD-202403-2859	思科	Cisco Access Point 安全漏洞	是	高危
3	日志信息泄露	CNNVD-202403-3068	戴尔	Dell PowerScale OneFS 日志信息泄露漏洞	是	高危

1.WordPress plugin The Plus Addons for Elementor 安全漏洞（CNNVD-202403-2648）

WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。

WordPress plugin The Plus Addons for Elementor 5.4.1版本及之前版本存在安全漏洞。攻击者利用该漏洞可以在服务器上执行任意文件，并绕过访问控制获取敏感数据或上传文件。

目前厂商已发布升级补丁以修复漏洞，参考链接：

https://www.wordfence.com/threat-intel/vulnerabilities/id/dc7ff863-3a8e-41cd-ae20-78bb4577c16a?source=cve

2.Cisco Access Point 安全漏洞（CNNVD-202403-2859）

Cisco Access Point是美国思科（Cisco）公司的一款网络接入点设备。为小型办公室提供高密度无线连接。

Cisco Access Point存在安全漏洞。远程攻击者利用该漏洞可导致应用程序拒绝服务。

目前厂商已发布升级补丁以修复漏洞，参考链接：

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ap-dos-h9TGGX6W

3.Dell PowerScale OneFS 日志信息泄露漏洞（CNNVD-202403-3068）

Dell PowerScale OneFS是美国戴尔（Dell）公司的一个操作系统，提供横向扩展NAS的PowerScale OneFS操作系统。

Dell PowerScale OneFS 9.4.0.x版本至9.7.0.x版本存在日志信息泄露漏洞。低权限的本地攻击者可以利用该漏洞获取日志文件中存储的敏感信息或者升级权限。

目前厂商已发布升级补丁以修复漏洞，参考链接：

https://www.dell.com/support/kbdoc/en-us/000223366/dsa-2024-115-security-update-for-dell-powerscale-onefs-for-multiple-security-vulnerabilities

二、漏洞平台推送情况

本周CNNVD接收漏洞平台推送漏洞8795个。

表5 本周漏洞平台推送情况

序号	漏洞平台	漏洞总量
1	漏洞盒子	6920
2	补天平台	1875
推送总计		8795

三、接报漏洞情况

本周CNNVD接报漏洞361个，其中信息技术产品漏洞（通用型漏洞）316个，网络信息系统漏洞（事件型漏洞）45个。

表6 本周漏洞报送情况

序号	报送单位	漏洞总量
1	北京中关村实验室	98
2	个人	38
3	华为技术有限公司	30
4	上海云盾信息技术有限公司	22
5	奇安信网神信息技术（北京）股份有限公司	12
6	河南悦海数安科技有限公司	10
7	北京微步在线科技有限公司	9
8	中资网络信息安全科技有限公司	9
9	浪潮电子信息产业股份有限公司	7
10	浙江大华技术股份有限公司	7
11	江西中和证信息安全技术有限公司	6
12	上海斗象信息科技有限公司	6
13	河南灵创电子科技有限公司	5
14	墨菲未来科技(北京)有限公司	5
15	内蒙古数字安全科技有限公司	5
16	北京天融信网络安全技术有限公司	4
17	广州竞远安全技术股份有限公司	4
18	河南东方云盾信息技术有限公司	4
19	南京聚铭网络科技有限公司	4
20	山东维平信息安全测评技术有限公司	4
21	上海安般信息科技有限公司	4
22	北京奇虎科技有限公司	3
23	北京天下信安技术有限公司	3
24	北京长亭科技有限公司	3
25	江西和尔惠信息技术有限公司	3
26	联通（浙江）产业互联网有限公司	3
27	山石网科通信技术股份有限公司	3
28	深信服科技股份有限公司	3
29	思而听（山东）网络科技有限公司	3
30	维安（山东）数字技术有限公司	3
31	新华三技术有限公司	3
32	北京中测安华科技有限公司	2
33	成都创信华通信息技术有限公司	2
34	淮安易云科技有限公司	2
35	江苏安国信检测技术有限公司	2
36	赛尔网络有限公司	2
37	山东鼎夏智能科技有限公司	2
38	山西轩辕信息安全技术有限公司	2
39	西安交大捷普网络科技有限公司	2
40	星云博创科技有限公司	2
41	云南南天电子信息产业股份有限公司	2
42	中电智安科技有限公司	2
43	安徽长泰科技有限公司	1
44	北京六方云信息技术有限公司	1
45	北京启明星辰信息安全技术有限公司	1
46	北京升鑫网络科技有限公司	1
47	北京信联数安科技有限公司	1
48	北京云科安信科技有限公司	1
49	北京中睿天下信息技术有限公司	1
50	烽台科技（北京）有限公司	1
51	福建经联网络技术有限公司	1
52	杭州美创科技股份有限公司	1
53	杭州默安科技有限公司	1
54	河南天祺信息安全技术有限公司	1
55	任子行网络技术股份有限公司	1
56	天津市兴先道科技有限公司	1
57	天翼数智科技（北京）有限公司	1
58	亚信科技（成都）有限公司	1
报送总计		361

四、收录漏洞通报情况

本周CNNVD收录漏洞通报85份。

表7本周漏洞通报情况

序号	报送单位	通报总量
1	中孚安全技术有限公司	23
2	途耀信息技术（上海）有限公司	6
3	南京禾盾信息科技有限公司	5
4	安徽长泰科技有限公司	4
5	北京华胜久安科技有限公司	3
6	北京锦岳智慧科技有限公司	3
7	北京星阑科技有限公司	3
8	华为技术有限公司	3
9	深圳市网安计算机安全检测技术有限公司	3
10	御维网络安全技术有限公司	3
11	中国电信股份有限公司网络安全产品运营中心	3
12	河南悦海数安科技有限公司	2
13	上海斗象信息科技有限公司	2
14	腾讯云计算（北京）有限责任公司	2
15	新华三技术有限公司	2
16	长春嘉诚信息技术股份有限公司	2
17	北京安天网络安全技术有限公司	1
18	北京神州绿盟科技有限公司	1
19	博智安全科技股份有限公司	1
20	超聚变数字技术有限公司	1
21	河南灵创电子科技有限公司	1
22	河南天祺信息安全技术有限公司	1
23	湖南省金盾信息安全等级保护评估中心有限公司	1
24	淮安易云科技有限公司	1
25	江苏保旺达软件技术有限公司	1
26	联通（浙江）产业互联网有限公司	1
27	任子行网络技术股份有限公司	1
28	上海云盾信息技术有限公司	1
29	深信服科技股份有限公司	1
30	维安（山东）数字技术有限公司	1
31	星云博创科技有限公司	1
32	重庆梦之想科技有限责任公司	1
收录总计		85