信息安全漏洞周报（2022年第43期）

  根据国家信息安全漏洞库（CNNVD）统计，本周（2022年10月17日至2022年10月23日）安全漏洞情况如下：

公开漏洞情况

  本周CNNVD采集安全漏洞501个。

接报漏洞情况

  本周CNNVD接报漏洞23417个，其中信息技术产品漏洞（通用型漏洞）108个，网络信息系统漏洞（事件型漏洞）648个，漏洞平台推送漏洞22661个。

一、公开漏洞情况

  根据国家信息安全漏洞库（CNNVD）统计，本周新增安全漏洞501个，漏洞新增数量有所下降。从厂商分布来看Oracle公司新增漏洞最多，有79个；从漏洞类型来看，跨站脚本类的安全漏洞占比最大，达到9.38%。新增漏洞中，超危漏洞69个，高危漏洞160个，中危漏洞260个，低危漏洞12个。相应修复率分别为49.28%、75.00%、79.62%和83.33%。根据补丁信息统计，合计371个漏洞已有修复补丁发布，整体修复率为74.05%。

（一） 安全漏洞增长数量情况

  本周CNNVD采集安全漏洞501个。

图1 近五周漏洞新增数量统计图

（二） 安全漏洞分布情况

  从厂商分布来看，Oracle公司新增漏洞最多，有79个。各厂商漏洞数量分布如表1所示。

表1 新增安全漏洞排名前五厂商统计表

  本周国内厂商漏洞44个，腾达公司漏洞数量最多，有18个。国内厂商漏洞整体修复率为33.33%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。

  从漏洞类型来看, 跨站脚本类的安全漏洞占比最大，达到9.38%。漏洞类型统计如表3所示。

表2 漏洞类型统计表

（三） 安全漏洞危害等级与修复情况

  本周共发布超危漏洞69个，高危漏洞160个，中危漏洞260个，低危漏洞12个。相应修复率分别为49.28%、75.00%、79.62%和83.33%。根据补丁信息统计，合计371个漏洞已有修复补丁发布，整体修复率为74.05%。详细情况如表3所示。

表3 漏洞危害等级与修复情况

（四） 本周重要漏洞实例

  本周重要漏洞实例如表4所示。

表4 本期重要漏洞实例

1.Oracle E-Business Suite 安全漏洞（CNNVD-202210-1279）

  Oracle E-Business Suite（电子商务套件）是美国甲骨文（Oracle）公司的一套全面集成式的全球业务管理软件。该软件提供了客户关系管理、服务管理、财务管理等功能。

  Oracle E-Business Suite的Oracle Web Applications Desktop Integrator 12.2.3版本至12.2.11版本存在安全漏洞。攻击者利用该漏洞通过HTTP进行网络访问，从而接管用户账户。

  目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://www.oracle.com/security-alerts/cpuoct2022.html

2. Adobe Iota 操作系统命令注入漏洞（CNNVD-202210-1516）

  Adobe Iota是美国奥多比（Adobe）公司的一个Diy 家庭安全系统。

  Adobe Iota All-In-One Security Kit 6.9X版本存在操作系统命令注入漏洞，该漏洞源于 util_set_abode_code函数中发现存在操作系统命令注入漏洞。攻击者利用该漏洞可以使用特制的 HTTP请求执行任意命令。

  目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：

https://goabode.com/product/iota-security-kit

3. WordPress Plugin WP Custom Cursors SQL注入漏洞（CNNVD-202210-1108）

  WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。

  WordPress Plugin WP Custom Cursors 3.0.1版本及之前版本存在SQL注入漏洞，该漏洞源于该插件在SQL语句中使用参数之前没有正确清理和转义参数。攻击者利用该漏洞可以执行SQL注入攻击。

  目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://wpscan.com/vulnerability/bb0806d7-21e3-4a65-910c-bf0625c338ec

二、漏洞平台推送情况

  本周漏洞平台推送漏洞22661个。

三、接报漏洞情况

  本周CNNVD接报漏洞756个，其中信息技术产品漏洞（通用型漏洞）108个，网络信息系统漏洞（事件型漏洞）648个。

四、接报漏洞通报情况

  本周CNNVD接报漏洞通报107份。