漏洞態(tài)勢
根據(jù)國家信息安全漏洞庫(CNNVD)統(tǒng)計，2023年3月份采集安全漏洞共2533個。
本月接報漏洞77952個，其中信息技術(shù)產(chǎn)品漏洞(通用型漏洞)693個，網(wǎng)絡(luò)信息系統(tǒng)漏洞(事件型漏洞)77259個，其中漏洞平臺推送漏洞76054個。
重大漏洞通報
Apache OpenOffice 參數(shù)注入漏洞(CNNVD-202303-1952、CVE-2022-47502)：成功利用漏洞的攻擊者，可在目標(biāo)系統(tǒng)執(zhí)行任意代碼。Apache OpenOffice 4.1.13及其以下版本均受此漏洞影響。目前，Apache官方已發(fā)布新版本修復(fù)了該漏洞，建議用戶及時確認(rèn)產(chǎn)品版本，盡快采取修補(bǔ)措施。
漏洞態(tài)勢
一、公開漏洞情況
根據(jù)國家信息安全漏洞庫(CNNVD)統(tǒng)計，2023年3月份新增安全漏洞共2533個，從廠商分布來看，WordPress基金會公司產(chǎn)品的漏洞數(shù)量最多，共發(fā)布253個;從漏洞類型來看，跨站腳本類的漏洞占比最大，達(dá)到14.21%。本月新增漏洞中，超危漏洞367個、高危漏洞861個、中危漏洞1247個、低危漏洞58個，相應(yīng)修復(fù)率分別為61.04%、87.69%、84.20%以及94.83%。合計2084個漏洞已有修復(fù)補(bǔ)丁發(fā)布，本月整體修復(fù)率82.27%。
截至2023年3月31日，CNNVD采集漏洞總量已達(dá)206431個。
1.1 漏洞增長概況
2023年3月新增安全漏洞2533個，與上月(2104個)相比增加了20.39%。根據(jù)近6個月來漏洞新增數(shù)量統(tǒng)計圖，平均每月漏洞數(shù)量達(dá)到2167個。
圖1 2022年10月至2023年3月漏洞新增數(shù)量統(tǒng)計圖
1.2 漏洞分布情況
1.2.1 漏洞廠商分布
2023年3月廠商漏洞數(shù)量分布情況如表1所示，WordPress基金會公司漏洞達(dá)到253個，占本月漏洞總量的9.99%。
表1 2023年3月排名前十廠商新增安全漏洞統(tǒng)計表
1.2.2 漏洞產(chǎn)品分布
2023年3月主流操作系統(tǒng)的漏洞統(tǒng)計情況如表2所示。本月Windows系列操作系統(tǒng)漏洞數(shù)量共55個，Windows 11漏洞數(shù)量最多，共52個，占主流操作系統(tǒng)漏洞總量的10.30%，排名第一。
表2 2023年3月主流操作系統(tǒng)漏洞數(shù)量統(tǒng)計表
1.2.3 漏洞類型分布
2023年3月份發(fā)布的漏洞類型分布如表3所示，其中跨站腳本類漏洞所占比例最大，約為14.21%。
表3 2023年3月漏洞類型統(tǒng)計表
1.2.4 漏洞危害等級分布
根據(jù)漏洞的影響范圍、利用方式、攻擊后果等情況，從高到低可將其分為四個危害等級，即超危、高危、中危和低危級別。2023年3月漏洞危害等級分布如圖2所示，其中超危漏洞367條，占本月漏洞總數(shù)的14.49%。
圖2 2023年3月漏洞危害等級分布
1.3漏洞修復(fù)情況
1.3.1 整體修復(fù)情況
2023年3月漏洞修復(fù)情況按危害等級進(jìn)行統(tǒng)計見圖3。其中低危漏洞修復(fù)率最高，達(dá)到94.83%，超危漏洞修復(fù)率最低，比例為61.04%。
總體來看，本月整體修復(fù)率由上月的83.79%下降至本月的82.27%。
圖3 2023年3月漏洞修復(fù)數(shù)量統(tǒng)計
1.3.2 廠商修復(fù)情況
2023年3月漏洞修復(fù)情況按漏洞數(shù)量前十廠商進(jìn)行統(tǒng)計，其中WordPress基金會、Google、Adobe等十個廠商共890條漏洞，占本月漏洞總數(shù)的35.14%，漏洞修復(fù)率為96.63%，詳細(xì)情況見表4。多數(shù)知名廠商對產(chǎn)品安全高度重視，產(chǎn)品漏洞修復(fù)比較及時，其中Google、Adobe、Microsoft、Apple、Aruba Networks、Cisco、IBM等公司本月漏洞修復(fù)率均為100%，共860條漏洞已全部修復(fù)。
表4 2023年3月廠商修復(fù)情況統(tǒng)計表
1.4 重要漏洞實(shí)例
1.4.1 超危漏洞實(shí)例
2023年3月超危漏洞共367個，其中重要漏洞實(shí)例如表5所示。
表5 2023年3月超危漏洞實(shí)例
（詳情略）
1、IBM Security Guardium SQL注入漏洞(CNNVD-202303-1627)
IBM Security Guardium是美國國際商業(yè)機(jī)器(IBM)公司的一套提供數(shù)據(jù)保護(hù)功能的平臺。該平臺包括自定義UI、報告管理和流線化的審計流程構(gòu)建等功能。
IBM Security Guardium Key Lifecycle Manager存在SQL注入漏洞，該漏洞源于存在SQL注入漏洞，遠(yuǎn)程攻擊者利用該漏洞可以查看、添加、修改或刪除后端數(shù)據(jù)庫中的信息。以下產(chǎn)品和版本受到影響：IBM Security Guardium Key Lifecycle Manager 3.0、3.0.1、4.0、4.1和4.1.1版本。
目前廠商已發(fā)布升級補(bǔ)丁以修復(fù)漏洞，補(bǔ)丁獲取鏈接：
https://www.ibm.com/support/pages/node/6962729
2、Trend Micro Apex One 代碼問題漏洞(CNNVD-202303-779)
Trend Micro Apex One是美國趨勢科技(Trend Micro)公司的一款終端防護(hù)軟件。
Trend Micro Apex One Server存在安全漏洞，該漏洞源于安裝程序中存在不受控制的搜索路徑元素漏洞，攻擊者利用該漏洞可以在受影響的產(chǎn)品上實(shí)現(xiàn)遠(yuǎn)程代碼執(zhí)行。
目前廠商已發(fā)布升級補(bǔ)丁以修復(fù)漏洞，補(bǔ)丁獲取鏈接：
https://success.trendmicro.com/solution/000292209
3、NETGEAR RAX30 授權(quán)問題漏洞(CNNVD-202303-1097)
NETGEAR RAX30是美國網(wǎng)件(NETGEAR)公司的一個雙頻無線路由器。
NETGEAR RAX30 (AX2400) 1.0.6.74 之前版本存在安全漏洞，該漏洞源于允許未經(jīng)身份驗證的攻擊者通過重置管理員密碼獲得對設(shè)備 Web 管理界面的管理訪問權(quán)限。
目前廠商已發(fā)布升級補(bǔ)丁以修復(fù)漏洞，詳情請關(guān)注廠商主頁：
https://www.netgear.com/home/wifi/routers/rax30/
4、CoreDial sipXcom sipXopenfire 操作系統(tǒng)命令注入漏洞(CNNVD-202303-641)
CoreDial sipXcom sipXopenfire是美國CoreDial公司的一個電信應(yīng)用程序。
CoreDial sipXcom sipXopenfire 21.04及之前版本存在操作系統(tǒng)命令注入漏洞，該漏洞源于存在操作系統(tǒng)命令參數(shù)注入，攻擊者利用該漏洞可以以系統(tǒng)root用戶身份執(zhí)行命令。
目前廠商已發(fā)布升級補(bǔ)丁以修復(fù)漏洞，補(bǔ)丁獲取鏈接：
http://download.sipxcom.org/
5、Aruba Networks ArubaOS 緩沖區(qū)錯誤漏洞(CNNVD-202303-035)
Aruba Networks ArubaOS是美國安移通(Aruba Networks)公司的一套面向Aruba Mobility-Defined Networks(包括移動控制器和移動接入交換機(jī))的操作系統(tǒng)。
Aruba Networks ArubaOS 存在安全漏洞，該漏洞源于基于堆的緩沖區(qū)溢出漏洞，通過將特制數(shù)據(jù)包發(fā)送到 PAPI(Aruba Networks access point management protocol)的 UDP 端口 (8211)，可能導(dǎo)致未經(jīng)身份驗證的遠(yuǎn)程代碼執(zhí)行。
目前廠商已發(fā)布升級補(bǔ)丁以修復(fù)漏洞，補(bǔ)丁獲取鏈接：
https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2023-002.txt
6、Omron PLC CJ series 訪問控制錯誤漏洞(CNNVD-202303-1235)
Omron PLC CJ series是日本歐姆龍(Omron)公司的一款CJ系列可編程邏輯控制器(PLC)。
Omron CJ1M PLC v4.0 及之前版本存在訪問控制錯誤漏洞，該漏洞源于存儲 UM 密碼的內(nèi)存區(qū)域具有不正確的訪問控制。
目前廠商已發(fā)布升級補(bǔ)丁以修復(fù)漏洞，補(bǔ)丁獲取鏈接：
https://www.ia.omron.com/product/vulnerability/OMSR-2023-001_en.pdf
7、SAMSUNG Mobile devices 資源管理錯誤漏洞(CNNVD-202303-1366)
SAMSUNG Mobile devices是韓國三星(SAMSUNG)公司的一系列的三星移動設(shè)備，包括手機(jī)、平板等。
SAMSUNG Mobile Devices decon driver SMR Mar-2023 Release 1 版本存在安全漏洞，該漏洞源于存在釋放后重用問題。
目前廠商已發(fā)布升級補(bǔ)丁以修復(fù)漏洞，補(bǔ)丁獲取鏈接：
https://security.samsungmobile.com/securityUpdate.smsb?year=2023&month=03
8、Flatpak 輸入驗證錯誤漏洞(CNNVD-202303-1347)
Flatpak是一套用于Linux桌面應(yīng)用計算機(jī)環(huán)境的應(yīng)用程序虛擬化系統(tǒng)。
Flatpak 1.10.8之前版本、1.12.x版本至1.12.8版本、1.14.x版本至1.14.4版本、1.15.x版本至1.15.4版本存在輸入驗證錯誤漏洞。攻擊者利用該漏洞從虛擬控制臺復(fù)制文本并將其粘貼到命令緩沖區(qū)中，在Flatpak應(yīng)用程序退出后可能會從中運(yùn)行命令。
目前廠商已發(fā)布升級補(bǔ)丁以修復(fù)漏洞，補(bǔ)丁獲取鏈接：
https://github.com/flatpak/flatpak/commit/8e63de9a7d3124f91140fc74f8ca9ed73ed53be9
1.4.2 高危漏洞實(shí)例
2023年3月高危漏洞共861個，其中重要漏洞實(shí)例如表6所示。
表6 2023年3月高危漏洞實(shí)例
（詳情略）
1、PrestaShop SQL注入漏洞(CNNVD-202303-369)
PrestaShop是美國PrestaShop公司的一套開源的電子商務(wù)解決方案。該方案提供多種支付方式、短消息提醒和商品圖片縮放等功能。
PrestaShop Xen Forum 2.13.0之前版本存在安全漏洞。攻擊者利用該漏洞執(zhí)行SQL注入攻擊。
目前廠商已發(fā)布升級補(bǔ)丁以修復(fù)漏洞，詳情請關(guān)注廠商主頁：
https://addons.prestashop.com/en/blog-forum-new/19299-xen-forum.html
2、Apache InLong 代碼問題漏洞(CNNVD-202303-2185)
Apache InLong是美國阿帕奇(Apache)基金會的一站式的海量數(shù)據(jù)集成框架。提供自動化、安全、可靠的數(shù)據(jù)傳輸能力。
Apache Software Foundation Apache InLong 1.1.0版本至1.5.0版本存在代碼問題漏洞，該漏洞源于不可信數(shù)據(jù)反序列化。
目前廠商已發(fā)布升級補(bǔ)丁以修復(fù)漏洞，補(bǔ)丁獲取鏈接：
https://lists.apache.org/thread/xbvtjw9bwzgbo9fp1by8o3p49nf59xzt
3、ABB Symphony Plus S+ Operations 授權(quán)問題漏洞(CNNVD-202303-154)
ABB Symphony Plus S+ Operations是ABB公司的一個分散控制系統(tǒng)。
ABB Symphony Plus S+ Operations存在授權(quán)問題漏洞，該漏洞源于存在不正確身份驗證，以下產(chǎn)品和版本受到影響：Symphony Plus S+ Operations 2.1 SP2 之前版本、 2.2版本、 3.3 SP1之前版本、 3.3 SP2版本.。
目前廠商已發(fā)布升級補(bǔ)丁以修復(fù)漏洞，補(bǔ)丁獲取鏈接：
https://search.abb.com/library/Download.aspx?DocumentID=7PAA006722&LanguageCode=en&DocumentPartId=&Action=Launch
4、NETGEAR RBR750 操作系統(tǒng)命令注入漏洞(CNNVD-202303-1595)
NETGEAR RBR750是美國網(wǎng)件(NETGEAR)公司的一套家庭WiFi系統(tǒng)。
NETGEAR RBR750 4.6.8.5版本存在操作系統(tǒng)命令注入漏洞，該漏洞源于在訪問控制功能中存在命令執(zhí)行漏洞。攻擊者可利用該漏洞構(gòu)造HTTP請求來觸發(fā)任意命令執(zhí)行。
目前廠商已發(fā)布升級補(bǔ)丁以修復(fù)漏洞，補(bǔ)丁獲取鏈接：
https://www.netgear.com/support/product/RBR750
5、GNU LibreDWG 緩沖區(qū)錯誤漏洞(CNNVD-202303-071)
GNU LibreDWG是美國GNU社區(qū)的一個用于處理DWG文件的C語言庫。
GNU LibreDWG v0.12.5版本存在安全漏洞，該漏洞源于bits.c 中的 bit_read_RC 函數(shù)存在基于堆的緩沖區(qū)溢出。
目前廠商已發(fā)布升級補(bǔ)丁以修復(fù)漏洞，詳情請關(guān)注廠商主頁：
https://github.com/LibreDWG/libredwg
6、Schneider Electric IGSS Data Server 訪問控制錯誤漏洞(CNNVD-202303-1556)
Schneider Electric IGSS Data Server是法國施耐德電氣(Schneider Electric)公司的一個交互式圖形 Scada 系統(tǒng)的數(shù)據(jù)服務(wù)器。
Schneider Electric IGSS Data Server(IGSSdataServer.exe) V16.0.0.23040版本及之前版本、IGSS Dashboard(DashBoard.exe) V16.0.0.23040版本及之前版本、Custom Reports(RMS16.dll) V16.0.0.23040版本及之前版本存在訪問控制錯誤漏洞，該漏洞源于缺少關(guān)鍵功能身份的驗證。
目前廠商已發(fā)布升級補(bǔ)丁以修復(fù)漏洞，詳情請關(guān)注廠商主頁：
https://igss.schneider-electric.com/
7、ZOHO ManageEngine ServiceDesk Plus 資源管理錯誤漏洞(CNNVD-202303-374)
ZOHO ManageEngine ServiceDesk Plus(SDP)是美國卓豪(ZOHO)公司的一套基于ITIL架構(gòu)的IT服務(wù)管理軟件。該軟件集成了事件管理、問題管理、資產(chǎn)管理IT項目管理、采購與合同管理等功能模塊。
ZOHO ManageEngine ServiceDesk Plus 14104版本及之前版本、Asset Explorer 6987版本及之前版本、ServiceDesk Plus MSP 14000之前版本、Support Center Plus 14000之前版本存在安全漏洞.攻擊者利用該漏洞導(dǎo)致系統(tǒng)拒絕服務(wù)。
目前廠商已發(fā)布升級補(bǔ)丁以修復(fù)漏洞，補(bǔ)丁獲取鏈接：
https://www.manageengine.com/products/service-desk/CVE-2023-26601.html
8、IBM Financial Transaction Manager 輸入驗證錯誤漏洞(CNNVD-202303-834)
IBM Financial Transaction Manager是美國國際商業(yè)機(jī)器(IBM)公司的一款金融事務(wù)管理器。該產(chǎn)品主要用于監(jiān)控、跟蹤和報告金融支付和交易。
IBM Financial Transaction Manager 3.2.0 到 3.2.10版本存在安全漏洞，該漏洞源于該系統(tǒng)驗證不當(dāng)，攻擊者利用該漏洞可以執(zhí)行未經(jīng)授權(quán)的操作。
目前廠商已發(fā)布升級補(bǔ)丁以修復(fù)漏洞，補(bǔ)丁獲取鏈接：
https://www.ibm.com/support/pages/node/6958504
二、漏洞平臺推送情況
2023年3月漏洞平臺推送漏洞76054個。
表7 2023年3月漏洞平臺推送情況表
三、接報漏洞情況
2023年3月接報漏洞1898個，其中信息技術(shù)產(chǎn)品漏洞(通用型漏洞)693個，網(wǎng)絡(luò)信息系統(tǒng)漏洞(事件型漏洞)1205個。
表8 2023年3月接報漏洞情況表
（詳情略）
四、重大漏洞通報
Apache OpenOffice參數(shù)注入漏洞的通報
近日，國家信息安全漏洞庫(CNNVD)收到關(guān)于Apache OpenOffice 參數(shù)注入漏洞(CNNVD-202303-1952/CVE-2022-47502)情況的報送。成功利用漏洞的攻擊者，可在目標(biāo)系統(tǒng)執(zhí)行任意代碼。Apache OpenOffice 4.1.13及其以下版本均受此漏洞影響。目前，Apache官方已經(jīng)發(fā)布了漏洞修復(fù)補(bǔ)丁，建議用戶及時確認(rèn)產(chǎn)品版本，盡快采取修補(bǔ)措施。
. 漏洞介紹
Apache OpenOffice是美國阿帕奇(Apache)基金會的一款開源的辦公軟件套件，該套件包含文本文檔、電子表格、演示文稿、繪圖、數(shù)據(jù)庫等。由于Apache OpenOffice 文檔內(nèi)可通過含有任意參數(shù)的鏈接調(diào)用內(nèi)部宏，惡意攻擊者通過修改特殊URI Scheme構(gòu)造惡意鏈接調(diào)用宏，當(dāng)用戶點(diǎn)擊鏈接或通過自動文檔事件激活時，會導(dǎo)致覆蓋掉文檔中現(xiàn)有宏的代碼,從而執(zhí)行任意代碼。
. 危害影響
成功利用漏洞的攻擊者，可在目標(biāo)系統(tǒng)執(zhí)行任意代碼。Apache OpenOffice 4.1.13及其以下版本均受此漏洞影響。
. 修復(fù)建議
目前，Apache官方已發(fā)布新版本修復(fù)了該漏洞，建議用戶及時確認(rèn)產(chǎn)品版本，盡快采取修補(bǔ)措施。官方下載鏈接：
https://www.openoffice.org/download/
來源：CNNVD安全動態(tài)
