漏洞態(tài)勢
根據國家信息安全漏洞庫(CNNVD)統計，2023年3月份采集安全漏洞共2533個。
本月接報漏洞77952個，其中信息技術產品漏洞(通用型漏洞)693個，網絡信息系統漏洞(事件型漏洞)77259個，其中漏洞平臺推送漏洞76054個。
重大漏洞通報
Apache OpenOffice 參數注入漏洞(CNNVD-202303-1952、CVE-2022-47502)：成功利用漏洞的攻擊者，可在目標系統執(zhí)行任意代碼。Apache OpenOffice 4.1.13及其以下版本均受此漏洞影響。目前，Apache官方已發(fā)布新版本修復了該漏洞，建議用戶及時確認產品版本，盡快采取修補措施。
漏洞態(tài)勢
一、公開漏洞情況
根據國家信息安全漏洞庫(CNNVD)統計，2023年3月份新增安全漏洞共2533個，從廠商分布來看，WordPress基金會公司產品的漏洞數量最多，共發(fā)布253個;從漏洞類型來看，跨站腳本類的漏洞占比最大，達到14.21%。本月新增漏洞中，超危漏洞367個、高危漏洞861個、中危漏洞1247個、低危漏洞58個，相應修復率分別為61.04%、87.69%、84.20%以及94.83%。合計2084個漏洞已有修復補丁發(fā)布，本月整體修復率82.27%。
截至2023年3月31日，CNNVD采集漏洞總量已達206431個。
1.1 漏洞增長概況
2023年3月新增安全漏洞2533個，與上月(2104個)相比增加了20.39%。根據近6個月來漏洞新增數量統計圖，平均每月漏洞數量達到2167個。
圖1 2022年10月至2023年3月漏洞新增數量統計圖
1.2 漏洞分布情況
1.2.1 漏洞廠商分布
2023年3月廠商漏洞數量分布情況如表1所示，WordPress基金會公司漏洞達到253個，占本月漏洞總量的9.99%。
表1 2023年3月排名前十廠商新增安全漏洞統計表
1.2.2 漏洞產品分布
2023年3月主流操作系統的漏洞統計情況如表2所示。本月Windows系列操作系統漏洞數量共55個，Windows 11漏洞數量最多，共52個，占主流操作系統漏洞總量的10.30%，排名第一。
表2 2023年3月主流操作系統漏洞數量統計表
1.2.3 漏洞類型分布
2023年3月份發(fā)布的漏洞類型分布如表3所示，其中跨站腳本類漏洞所占比例最大，約為14.21%。
表3 2023年3月漏洞類型統計表
1.2.4 漏洞危害等級分布
根據漏洞的影響范圍、利用方式、攻擊后果等情況，從高到低可將其分為四個危害等級，即超危、高危、中危和低危級別。2023年3月漏洞危害等級分布如圖2所示，其中超危漏洞367條，占本月漏洞總數的14.49%。
圖2 2023年3月漏洞危害等級分布
1.3漏洞修復情況
1.3.1 整體修復情況
2023年3月漏洞修復情況按危害等級進行統計見圖3。其中低危漏洞修復率最高，達到94.83%，超危漏洞修復率最低，比例為61.04%。
總體來看，本月整體修復率由上月的83.79%下降至本月的82.27%。
圖3 2023年3月漏洞修復數量統計
1.3.2 廠商修復情況
2023年3月漏洞修復情況按漏洞數量前十廠商進行統計，其中WordPress基金會、Google、Adobe等十個廠商共890條漏洞，占本月漏洞總數的35.14%，漏洞修復率為96.63%，詳細情況見表4。多數知名廠商對產品安全高度重視，產品漏洞修復比較及時，其中Google、Adobe、Microsoft、Apple、Aruba Networks、Cisco、IBM等公司本月漏洞修復率均為100%，共860條漏洞已全部修復。
表4 2023年3月廠商修復情況統計表
1.4 重要漏洞實例
1.4.1 超危漏洞實例
2023年3月超危漏洞共367個，其中重要漏洞實例如表5所示。
表5 2023年3月超危漏洞實例
（詳情略）
1、IBM Security Guardium SQL注入漏洞(CNNVD-202303-1627)
IBM Security Guardium是美國國際商業(yè)機器(IBM)公司的一套提供數據保護功能的平臺。該平臺包括自定義UI、報告管理和流線化的審計流程構建等功能。
IBM Security Guardium Key Lifecycle Manager存在SQL注入漏洞，該漏洞源于存在SQL注入漏洞，遠程攻擊者利用該漏洞可以查看、添加、修改或刪除后端數據庫中的信息。以下產品和版本受到影響：IBM Security Guardium Key Lifecycle Manager 3.0、3.0.1、4.0、4.1和4.1.1版本。
目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：
https://www.ibm.com/support/pages/node/6962729
2、Trend Micro Apex One 代碼問題漏洞(CNNVD-202303-779)
Trend Micro Apex One是美國趨勢科技(Trend Micro)公司的一款終端防護軟件。
Trend Micro Apex One Server存在安全漏洞，該漏洞源于安裝程序中存在不受控制的搜索路徑元素漏洞，攻擊者利用該漏洞可以在受影響的產品上實現遠程代碼執(zhí)行。
目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：
https://success.trendmicro.com/solution/000292209
3、NETGEAR RAX30 授權問題漏洞(CNNVD-202303-1097)
NETGEAR RAX30是美國網件(NETGEAR)公司的一個雙頻無線路由器。
NETGEAR RAX30 (AX2400) 1.0.6.74 之前版本存在安全漏洞，該漏洞源于允許未經身份驗證的攻擊者通過重置管理員密碼獲得對設備 Web 管理界面的管理訪問權限。
目前廠商已發(fā)布升級補丁以修復漏洞，詳情請關注廠商主頁：
https://www.netgear.com/home/wifi/routers/rax30/
4、CoreDial sipXcom sipXopenfire 操作系統命令注入漏洞(CNNVD-202303-641)
CoreDial sipXcom sipXopenfire是美國CoreDial公司的一個電信應用程序。
CoreDial sipXcom sipXopenfire 21.04及之前版本存在操作系統命令注入漏洞，該漏洞源于存在操作系統命令參數注入，攻擊者利用該漏洞可以以系統root用戶身份執(zhí)行命令。
目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：
http://download.sipxcom.org/
5、Aruba Networks ArubaOS 緩沖區(qū)錯誤漏洞(CNNVD-202303-035)
Aruba Networks ArubaOS是美國安移通(Aruba Networks)公司的一套面向Aruba Mobility-Defined Networks(包括移動控制器和移動接入交換機)的操作系統。
Aruba Networks ArubaOS 存在安全漏洞，該漏洞源于基于堆的緩沖區(qū)溢出漏洞，通過將特制數據包發(fā)送到 PAPI(Aruba Networks access point management protocol)的 UDP 端口 (8211)，可能導致未經身份驗證的遠程代碼執(zhí)行。
目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：
https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2023-002.txt
6、Omron PLC CJ series 訪問控制錯誤漏洞(CNNVD-202303-1235)
Omron PLC CJ series是日本歐姆龍(Omron)公司的一款CJ系列可編程邏輯控制器(PLC)。
Omron CJ1M PLC v4.0 及之前版本存在訪問控制錯誤漏洞，該漏洞源于存儲 UM 密碼的內存區(qū)域具有不正確的訪問控制。
目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：
https://www.ia.omron.com/product/vulnerability/OMSR-2023-001_en.pdf
7、SAMSUNG Mobile devices 資源管理錯誤漏洞(CNNVD-202303-1366)
SAMSUNG Mobile devices是韓國三星(SAMSUNG)公司的一系列的三星移動設備，包括手機、平板等。
SAMSUNG Mobile Devices decon driver SMR Mar-2023 Release 1 版本存在安全漏洞，該漏洞源于存在釋放后重用問題。
目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：
https://security.samsungmobile.com/securityUpdate.smsb?year=2023&month=03
8、Flatpak 輸入驗證錯誤漏洞(CNNVD-202303-1347)
Flatpak是一套用于Linux桌面應用計算機環(huán)境的應用程序虛擬化系統。
Flatpak 1.10.8之前版本、1.12.x版本至1.12.8版本、1.14.x版本至1.14.4版本、1.15.x版本至1.15.4版本存在輸入驗證錯誤漏洞。攻擊者利用該漏洞從虛擬控制臺復制文本并將其粘貼到命令緩沖區(qū)中，在Flatpak應用程序退出后可能會從中運行命令。
目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：
https://github.com/flatpak/flatpak/commit/8e63de9a7d3124f91140fc74f8ca9ed73ed53be9
1.4.2 高危漏洞實例
2023年3月高危漏洞共861個，其中重要漏洞實例如表6所示。
表6 2023年3月高危漏洞實例
（詳情略）
1、PrestaShop SQL注入漏洞(CNNVD-202303-369)
PrestaShop是美國PrestaShop公司的一套開源的電子商務解決方案。該方案提供多種支付方式、短消息提醒和商品圖片縮放等功能。
PrestaShop Xen Forum 2.13.0之前版本存在安全漏洞。攻擊者利用該漏洞執(zhí)行SQL注入攻擊。
目前廠商已發(fā)布升級補丁以修復漏洞，詳情請關注廠商主頁：
https://addons.prestashop.com/en/blog-forum-new/19299-xen-forum.html
2、Apache InLong 代碼問題漏洞(CNNVD-202303-2185)
Apache InLong是美國阿帕奇(Apache)基金會的一站式的海量數據集成框架。提供自動化、安全、可靠的數據傳輸能力。
Apache Software Foundation Apache InLong 1.1.0版本至1.5.0版本存在代碼問題漏洞，該漏洞源于不可信數據反序列化。
目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：
https://lists.apache.org/thread/xbvtjw9bwzgbo9fp1by8o3p49nf59xzt
3、ABB Symphony Plus S+ Operations 授權問題漏洞(CNNVD-202303-154)
ABB Symphony Plus S+ Operations是ABB公司的一個分散控制系統。
ABB Symphony Plus S+ Operations存在授權問題漏洞，該漏洞源于存在不正確身份驗證，以下產品和版本受到影響：Symphony Plus S+ Operations 2.1 SP2 之前版本、 2.2版本、 3.3 SP1之前版本、 3.3 SP2版本.。
目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：
https://search.abb.com/library/Download.aspx?DocumentID=7PAA006722&LanguageCode=en&DocumentPartId=&Action=Launch
4、NETGEAR RBR750 操作系統命令注入漏洞(CNNVD-202303-1595)
NETGEAR RBR750是美國網件(NETGEAR)公司的一套家庭WiFi系統。
NETGEAR RBR750 4.6.8.5版本存在操作系統命令注入漏洞，該漏洞源于在訪問控制功能中存在命令執(zhí)行漏洞。攻擊者可利用該漏洞構造HTTP請求來觸發(fā)任意命令執(zhí)行。
目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：
https://www.netgear.com/support/product/RBR750
5、GNU LibreDWG 緩沖區(qū)錯誤漏洞(CNNVD-202303-071)
GNU LibreDWG是美國GNU社區(qū)的一個用于處理DWG文件的C語言庫。
GNU LibreDWG v0.12.5版本存在安全漏洞，該漏洞源于bits.c 中的 bit_read_RC 函數存在基于堆的緩沖區(qū)溢出。
目前廠商已發(fā)布升級補丁以修復漏洞，詳情請關注廠商主頁：
https://github.com/LibreDWG/libredwg
6、Schneider Electric IGSS Data Server 訪問控制錯誤漏洞(CNNVD-202303-1556)
Schneider Electric IGSS Data Server是法國施耐德電氣(Schneider Electric)公司的一個交互式圖形 Scada 系統的數據服務器。
Schneider Electric IGSS Data Server(IGSSdataServer.exe) V16.0.0.23040版本及之前版本、IGSS Dashboard(DashBoard.exe) V16.0.0.23040版本及之前版本、Custom Reports(RMS16.dll) V16.0.0.23040版本及之前版本存在訪問控制錯誤漏洞，該漏洞源于缺少關鍵功能身份的驗證。
目前廠商已發(fā)布升級補丁以修復漏洞，詳情請關注廠商主頁：
https://igss.schneider-electric.com/
7、ZOHO ManageEngine ServiceDesk Plus 資源管理錯誤漏洞(CNNVD-202303-374)
ZOHO ManageEngine ServiceDesk Plus(SDP)是美國卓豪(ZOHO)公司的一套基于ITIL架構的IT服務管理軟件。該軟件集成了事件管理、問題管理、資產管理IT項目管理、采購與合同管理等功能模塊。
ZOHO ManageEngine ServiceDesk Plus 14104版本及之前版本、Asset Explorer 6987版本及之前版本、ServiceDesk Plus MSP 14000之前版本、Support Center Plus 14000之前版本存在安全漏洞.攻擊者利用該漏洞導致系統拒絕服務。
目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：
https://www.manageengine.com/products/service-desk/CVE-2023-26601.html
8、IBM Financial Transaction Manager 輸入驗證錯誤漏洞(CNNVD-202303-834)
IBM Financial Transaction Manager是美國國際商業(yè)機器(IBM)公司的一款金融事務管理器。該產品主要用于監(jiān)控、跟蹤和報告金融支付和交易。
IBM Financial Transaction Manager 3.2.0 到 3.2.10版本存在安全漏洞，該漏洞源于該系統驗證不當，攻擊者利用該漏洞可以執(zhí)行未經授權的操作。
目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：
https://www.ibm.com/support/pages/node/6958504
二、漏洞平臺推送情況
2023年3月漏洞平臺推送漏洞76054個。
表7 2023年3月漏洞平臺推送情況表
三、接報漏洞情況
2023年3月接報漏洞1898個，其中信息技術產品漏洞(通用型漏洞)693個，網絡信息系統漏洞(事件型漏洞)1205個。
表8 2023年3月接報漏洞情況表
（詳情略）
四、重大漏洞通報
Apache OpenOffice參數注入漏洞的通報
近日，國家信息安全漏洞庫(CNNVD)收到關于Apache OpenOffice 參數注入漏洞(CNNVD-202303-1952/CVE-2022-47502)情況的報送。成功利用漏洞的攻擊者，可在目標系統執(zhí)行任意代碼。Apache OpenOffice 4.1.13及其以下版本均受此漏洞影響。目前，Apache官方已經發(fā)布了漏洞修復補丁，建議用戶及時確認產品版本，盡快采取修補措施。
. 漏洞介紹
Apache OpenOffice是美國阿帕奇(Apache)基金會的一款開源的辦公軟件套件，該套件包含文本文檔、電子表格、演示文稿、繪圖、數據庫等。由于Apache OpenOffice 文檔內可通過含有任意參數的鏈接調用內部宏，惡意攻擊者通過修改特殊URI Scheme構造惡意鏈接調用宏，當用戶點擊鏈接或通過自動文檔事件激活時，會導致覆蓋掉文檔中現有宏的代碼,從而執(zhí)行任意代碼。
. 危害影響
成功利用漏洞的攻擊者，可在目標系統執(zhí)行任意代碼。Apache OpenOffice 4.1.13及其以下版本均受此漏洞影響。
. 修復建議
目前，Apache官方已發(fā)布新版本修復了該漏洞，建議用戶及時確認產品版本，盡快采取修補措施。官方下載鏈接：
https://www.openoffice.org/download/
來源：CNNVD安全動態(tài)
