信息安全漏洞周报（2024年第19期）

点击蓝字关注我们

根据国家信息安全漏洞库（CNNVD）统计，本周（2024年4月29日至2024年5月5日）安全漏洞情况如下：

公开漏洞情况

本周CNNVD采集安全漏洞1589个。

接报漏洞情况

本周CNNVD接报漏洞1731个，其中信息技术产品漏洞（通用型漏洞）69个，网络信息系统漏洞（事件型漏洞）6个，漏洞平台推送漏洞1656个。

一、公开漏洞情况

根据国家信息安全漏洞库（CNNVD）统计，本周新增安全漏洞1589个，漏洞新增数量有所上升。从厂商分布来看WordPress基金会新增漏洞最多，有279个；从漏洞类型来看，跨站脚本类的安全漏洞占比最大，达到4.22%。新增漏洞中，超危漏洞41个，高危漏洞580个，中危漏洞880个，低危漏洞88个。

（一）安全漏洞增长数量情况

本周CNNVD采集安全漏洞1589个。

图1 近五周漏洞新增数量统计图

（二）安全漏洞分布情况

从厂商分布来看，WordPress基金会新增漏洞最多，有279个。各厂商漏洞数量分布如表1所示。

表1 新增安全漏洞排名前五厂商统计表

序号	厂商名称	漏洞数量(个)	所占比例
1	WordPress基金会	279	17.56%
2	友讯	190	11.96%
3	Linux基金会	190	11.96%
4	PDF-XChange	101	6.36%
5	Kofax	74	4.66%

本周国内厂商漏洞308个，友讯公司漏洞数量最多，有190个。国内厂商漏洞整体修复率为86.77%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。

从漏洞类型来看, 跨站脚本类的安全漏洞占比最大，达到4.22%。漏洞类型统计如表2所示。

表2 漏洞类型统计表

序号	漏洞类型	漏洞数量(个)	所占比例
1	跨站脚本	67	4.22%
2	SQL注入	25	1.57%
3	代码问题	11	0.69%
4	操作系统命令注入	11	0.69%
5	资源管理错误	8	0.50%
6	跨站请求伪造	4	0.25%
7	路径遍历	4	0.25%
8	输入验证错误	3	0.19%
9	日志信息泄露	3	0.19%
10	信息泄露	3	0.19%
11	加密问题	2	0.13%
12	授权问题	2	0.13%
13	访问控制错误	2	0.13%
14	环境问题	1	0.06%
15	代码注入	1	0.06%
16	缓冲区错误	1	0.06%
17	其他	1441	90.69%

（三）安全漏洞危害等级与修复情况

本周共发布超危漏洞41个，高危漏洞580个，中危漏洞880个，低危漏洞88个。相应修复率分别为65.85%、78.97%、86.36%和100.00%。根据补丁信息统计，合计1333个漏洞已有修复补丁发布，整体修复率为83.89%。详细情况如表3所示。

表3 漏洞危害等级与修复情况

序号	危害等级	漏洞数量(个)	修复数量(个)	修复率
1	超危	41	27	65.85%
2	高危	580	458	78.97%
3	中危	880	760	86.36%
4	低危	88	88	100.00%
合计		1589	1333	83.89%

（四）本周重要漏洞实例

本周重要漏洞实例如表4所示。

表4 本期重要漏洞实例

序号

漏洞

类型

漏洞编号

厂商

漏洞实例

是否修复

危害等级

SQL注入

CNNVD-202405-395

WordPress

WordPress plugin email-subscribers SQL注入漏洞

是

超危

代码注入

CNNVD-202405-1197

Apache

Apache Hive 代码注入漏洞

是

高危

其他

CNNVD-202404-3716

Google

Google Chrome 安全漏洞

是

高危

1.WordPress plugin email-subscribers SQL注入漏洞（CNNVD-202405-395）

WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。

WordPress plugin email-subscribers 5.7.14版本及之前版本存在SQL注入漏洞，该漏洞源于IG_ES_Subscribers_Query中的run函数对用户提供的参数转义不充分。攻击者利用该漏洞可以将额外的SQL查询附加到现有的查询中，从而在数据库中提取敏感信息。

目前厂商已发布升级补丁以修复漏洞，参考链接：

https://www.wordfence.com/threat-intel/vulnerabilities/id/e0ca6ac4-0d89-4601-94fc-cce5a0af9c56?source=cve

2.Apache Hive 代码注入漏洞（CNNVD-202405-1197）

Apache Hive是美国阿帕奇（Apache）基金会的一套基于Hadoop（分布式系统基础架构）的数据仓库软件，该软件提供了一个数据集成方法和一种高级的查询语言，以支持在Hadoop上进行大规模数据分析。

Apache Hive 4.0.0-alpha-1版本至4.0.0之前版本存在代码注入漏洞。攻击者利用该漏洞可以执行任意代码。

目前厂商已发布升级补丁以修复漏洞，参考链接：

https://lists.apache.org/thread/7zcv6l63spl4r66xwz5jv9rtrg2opx81

3.Google Chrome 安全漏洞（CNNVD-202404-3716）

Google Chrome是美国谷歌（Google）公司的一款Web浏览器。

Google Chrome 124.0.6367.118之前版本（Linux）、124.0.6367.118/.119之前版本（Windows、Mac）存在安全漏洞，该漏洞源于内存释放后重用导致。远程攻击者利用该漏洞通过特制的HTML页面可导致堆损坏。

目前厂商已发布升级补丁以修复漏洞，参考链接：

https://chromereleases.googleblog.com/2024/04/stable-channel-update-for-desktop_30.html

二、漏洞平台推送情况

本周CNNVD接收漏洞平台推送漏洞1656个。

表5 本周漏洞平台推送情况

序号	漏洞平台	漏洞总量
1	漏洞盒子	1219
2	补天平台	437
推送总计		1656

三、接报漏洞情况

本周CNNVD接报漏洞75个，其中信息技术产品漏洞（通用型漏洞）69个，网络信息系统漏洞（事件型漏洞）6个。

表6 本周漏洞报送情况

序号	报送单位	漏洞总量
1	个人	21
2	京东科技信息技术有限公司	6
3	河南灵创电子科技有限公司	4
4	河南天祺信息安全技术有限公司	4
5	河南东方云盾信息技术有限公司	3
6	中资网络信息安全科技有限公司	3
7	北方实验室（沈阳）股份有限公司	2
8	北京安天网络安全技术有限公司	2
9	北京有略安全技术有限公司	2
10	广州竞远安全技术股份有限公司	2
11	广州纬安科技有限公司	2
12	河北东鼎电子科技有限公司	2
13	三六零数字安全科技集团有限公司	2
14	深圳市深信服信息安全有限公司	2
15	新华三技术有限公司	2
16	北京华云安信息技术有限公司	1
17	北京天融信网络安全技术有限公司	1
18	北京威努特技术有限公司	1
19	烽台科技（北京）有限公司	1
20	国网思极检测技术（北京）有限公司	1
21	科来网络技术股份有限公司	1
22	南京禾盾信息科技有限公司	1
23	南京聚铭网络科技有限公司	1
24	赛尔网络有限公司	1
25	山东新潮信息技术有限公司	1
26	山石网科通信技术股份有限公司	1
27	天津市兴先道科技有限公司	1
28	途耀信息技术（上海）有限公司	1
29	亚信科技（成都）有限公司	1
30	云上广济（贵州）信息技术有限公司	1
31	浙江国利网安科技有限公司	1
报送总计		75

四、收录漏洞通报情况

本周CNNVD收录漏洞通报23份。

表7本周漏洞通报情况

序号	报送单位	通报总量
1	河南灵创电子科技有限公司	4
2	南京禾盾信息科技有限公司	4
3	中孚安全技术有限公司	4
4	江苏安国信检测技术有限公司	2
5	京东科技信息技术有限公司	2
6	北京安天网络安全技术有限公司	1
7	河北东鼎电子科技有限公司	1
8	河南东方云盾信息技术有限公司	1
9	南京聚铭网络科技有限公司	1
10	西安交大捷普网络科技有限公司	1
11	浙江鑫诺检测技术有限公司	1
12	重庆梦之想科技有限责任公司	1
收录总计		23