20221101第16期｜安全漏洞一周播报

本期漏洞情况态势

补丁获取链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-70618

https://www.cnvd.org.cn/flaw/show/CNVD-2022-70623

https://www.cnvd.org.cn/flaw/show/CNVD-2022-70622

https://www.cnvd.org.cn/flaw/show/CNVD-2022-70619

https://www.cnvd.org.cn/flaw/show/CNVD-2022-70626

https://www.cnvd.org.cn/flaw/show/CNVD-2022-70625

https://www.cnvd.org.cn/flaw/show/CNVD-2022-70624

https://www.cnvd.org.cn/flaw/show/CNVD-2022-70627

2.Google产品安全漏洞

Google Android是美国谷歌（Google）公司的一套以Linux为基础的开源操作系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，在系统上执行任意代码，造成拒绝服务。

CNVD收录的相关漏洞包括：Google Android信息泄露漏洞（CNVD-2022-71979、CNVD-2022-71980、CNVD-2022-71982、CNVD-2022-71985）、Google Android拒绝服务漏洞（CNVD-2022-71981）、Google Android代码执行漏洞（CNVD-2022-71983、CNVD-2022-71984、CNVD-2022-71986）。其中，除“Google Android拒绝服务漏洞（CNVD-2022-71981）、Google Android信息泄露漏洞（CNVD-2022-71985）”外，其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

补丁获取链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-71979

https://www.cnvd.org.cn/flaw/show/CNVD-2022-71980

https://www.cnvd.org.cn/flaw/show/CNVD-2022-71981

https://www.cnvd.org.cn/flaw/show/CNVD-2022-71982

https://www.cnvd.org.cn/flaw/show/CNVD-2022-71983

https://www.cnvd.org.cn/flaw/show/CNVD-2022-71984

https://www.cnvd.org.cn/flaw/show/CNVD-2022-71985

https://www.cnvd.org.cn/flaw/show/CNVD-2022-71986

Apple macOS Monterey是美国苹果（Apple）公司的用于麦金塔桌面操作系统macOS的第18个主要版本。Apple Safari是一款Web浏览器，是Mac OS X和iOS操作系统附带的默认浏览器。Apple iOS是一套为移动设备所开发的操作系统。Apple iPadOS是一套用于iPad平板电脑的操作系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞提升权限，在目标系统上执行任意代码等。

CNVD收录的相关漏洞包括：Apple macOS Monterey缓冲区溢出漏洞（CNVD-2022-71990）、Apple macOS Safari缓冲区溢出漏洞、Apple macOS Monterey Spotlight权限许可和访问控制问题漏洞、Apple macOS Monterey缓冲区溢出漏洞、Apple iOS and iPadOS GPU驱动程序代码注入漏洞、Apple iOS and iPadOS GPU驱动程序缓冲区溢出漏洞、Apple iOS and iPadOS输入验证错误漏洞、Apple iOS and iPadOS WebKit缓冲区溢出漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

补丁获取链接：

4.Microsoft产品安全漏洞

Microsoft Windows是一套个人设备使用的操作系统。Microsoft Windows Server是一套服务器操作系统。Windows DNS Server是其中的一个DNS（域名系统）服务器。Microsoft Windows Cluster Shared Volume (CSV) 是美国微软（Microsoft）公司的一项功能。Microsoft HEVC Video Extensions是美国微软（Microsoft）公司的一个视频扩展应用程序。该应用使计算机和设备可以读取高效视频编码或HEVC视频。Microsoft Windows Defender是美国微软（Microsoft）公司的一套Windows系统附带的防病毒软件。Microsoft Windows Fax services是美国微软（Microsoft）公司的一个功能组件服务。用于指定传真的设置，包括如何发送，接收，查看和打印。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，在系统上执行任意代码，造成拒绝服务。

CNVD收录的相关漏洞包括：Microsoft Windows DNS Server远程代码执行漏洞（CNVD-2022-71743、CNVD-2022-71975）、Microsoft Windows Cluster Shared Volume (CSV) 拒绝服务漏洞、Microsoft HEVC Video Extensions远程代码执行漏洞（CNVD-2022-71765）、Microsoft Windows Defender拒绝服务漏洞、Microsoft Windows DiskUsage.exe远程代码执行漏洞、Microsoft Windows DNS Server信息泄露漏洞、Microsoft Windows Fax Compose Form远程代码执行漏洞。其中，“Microsoft Windows DNS Server远程代码执行漏洞（CNVD-2022-71743、CNVD-2022-71975）、Microsoft HEVC Video Extensions远程代码执行漏洞（CNVD-2022-71765）”的综合评级为“高危”目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

补丁获取链接：

Avantune Genialcloud ProJ是加拿大Avantune公司的一个基于云的ERP平台。本周，Avantune Genialcloud ProJ被披露存在跨站脚本漏洞。攻击者可利用该漏洞通过精心设计的有效负载注入和执行任意Web脚本或HTML。目前，厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2022-71647

6.Oracle E-Business Suite 安全漏洞（CNNVD-202210-1279）

Oracle E-Business Suite（电子商务套件）是美国甲骨文（Oracle）公司的一套全面集成式的全球业务管理软件。该软件提供了客户关系管理、服务管理、财务管理等功能。

Oracle E-Business Suite的Oracle Web Applications Desktop Integrator 12.2.3版本至12.2.11版本存在安全漏洞。攻击者利用该漏洞通过HTTP进行网络访问，从而接管用户账户。

参考链接：

https://www.oracle.com/security-alerts/cpuoct2022.html

Adobe Iota是美国奥多比（Adobe）公司的一个Diy 家庭安全系统。

Adobe Iota All-In-One Security Kit 6.9X版本存在操作系统命令注入漏洞，该漏洞源于 util_set_abode_code函数中发现存在操作系统命令注入漏洞。攻击者利用该漏洞可以使用特制的 HTTP请求执行任意命令。

补丁获取链接：

https://goabode.com/product/iota-security-kit

8.WordPress Plugin WP Custom Cursors SQL注入漏洞（CNNVD-202210-1108）

WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。

WordPress Plugin WP Custom Cursors 3.0.1版本及之前版本存在SQL注入漏洞，该漏洞源于该插件在SQL语句中使用参数之前没有正确清理和转义参数。攻击者利用该漏洞可以执行SQL注入攻击。

补丁获取链接：

https://wpscan.com/vulnerability/bb0806d7-21e3-4a65-910c-bf0625c338ec