《信息安全漏洞月报(2013年10月)》由会员分享，可在线阅读，更多相关《信息安全漏洞月报(2013年10月)（7页珍藏版）》请在金锄头文库上搜索。
1、1 信息安全漏洞信息安全漏洞通报通报 (2013 年 10 月) 根据中国国家信息安全漏洞库（CNNVD）统计，2013 年 10 月份 新增安全漏洞 682 个，日平均新增漏洞数量约 22 个。与前 5 个月平 均增长数量相比，安全漏洞增长速度有所上升。从漏洞类型来看，输 入验证类的安全漏洞最多，占本月漏洞总数的比例为 15.10%。本月 新增的漏洞中，519 个漏洞已有修复补丁发布，修补率为 76.10%，其 中包括被修补的35个危急漏洞， 危急漏洞修复率为97.22%。 截至2013 年 10 月底，CNNVD 漏洞总量已达 62610 个。 一、一、 安全安全漏洞漏洞数量增长情况数量增
2、长情况 2013 年 10 月份共新增安全漏洞 682 个，与前 5 个月平均增长数 量相比， 增长速度有所上升。 图1为近6个月来漏洞新增数量统计图。 图 1 2013 年 05 月至 2013 年 10 月漏洞新增数量统计图 658 404 523 532 587 682 250 300 350 400 450 500 550 600 650 700 750 2013年年5月月2013年年6月月2013年年7月月2013年年8月月2013年年9月月2013年年10月月 2 二、二、 安全漏洞分布安全漏洞分布情况情况 2013 年 10 月份发布的漏洞类型分布如表 1 所示，其中输入验证 类
3、漏洞所占比例最大，约为 15.10%。 表 1 漏洞类型统计表 序号序号 漏洞类型漏洞类型 漏洞数量漏洞数量 所占比例所占比例 1. 输入验证 103 15.10% 2. 权限许可和访问控制 84 12.32% 3. 跨站脚本 65 9.53% 4. 缓冲区溢出 50 7.33% 5. 资源管理错误 32 4.69% 6. 代码注入 27 3.96% 7. 信息泄露 23 3.37% 8. SQL 注入 22 3.23% 9. 加密问题 17 2.49% 10. 跨站请求伪造 15 2.20% 11. 授权问题 15 2.20% 12. 路径遍历 8 1.17% 13. 数字错误 8 1.17
4、% 14. 信任管理 5 0.73% 15. 操作系统命令注入 4 0.59% 16. 后置链接 2 0.29% 17. 竞争条件 2 0.29% 18. 其他 200 29.33% 发布漏洞数量排名前十的厂商分布如表 2 所示，其中 Oracle 公 司产品的漏洞数量最多，达 115 个。 表 2 排名前十厂商新增安全漏洞统计表 序号序号 厂商名称厂商名称 漏洞数量漏洞数量 所占比例所占比例 3 1 Oracle 115 16.86% 2 Cisco 72 10.56% 3 IBM 47 6.89% 4 Microsoft 25 3.67% 5 Google 24 3.52% 6 Mozil
5、la 19 2.79% 7 HP 14 2.05% 8 Red Hat 14 2.05% 9 Apple 13 1.91% 10 Horde 7 1.03% 三、三、 安全漏洞危害等级与修复情况安全漏洞危害等级与修复情况 根据漏洞的影响范围、利用方式、攻击后果等情况，将漏洞分为 四个严重等级，即危急、高危、中危和低危级别。 2013 年 10 月份共发布危急漏洞 36 个，高危漏洞 94 个，中危漏 洞 478 个， 低危漏洞 74 个。 根据补丁信息统计， 共修补 519 个漏洞， 修复率为 76.10%；其中包含 35 个已被修补的危急漏洞,危急漏洞修 复率为 97.22%。详细情况如表
6、3 所示。 表 3 漏洞危害等级与修复情况 序号序号 危害等级危害等级 漏洞数量漏洞数量 修复数量修复数量 修复率修复率 1 危急 36 35 97.22% 2 高危 94 83 88.30% 3 中危 478 347 72.59% 4 低危 74 54 72.97% 合计合计 682 519 76.10% 4 四、四、 本月重要本月重要漏洞漏洞实例实例 ( (一一) ) 危急漏洞危急漏洞实例实例 本月危急漏洞共 36 个，其中重点漏洞实例如表 4 所示。 表 4 本月危急漏洞实例 序序 号号 漏洞类型漏洞类型 漏洞编号漏洞编号 厂商厂商 漏洞实例漏洞实例 1. 缓冲区溢出 CNNVD-201
7、310-129 Adobe Adobe RoboHelp MDBMS.dll 文件内存损坏漏洞 (CNNVD-201310-129) CNNVD-201310-705 Mozilla 2. 权限许可和访问 控制 CNNVD-201310-237 Cisco Cisco ASA 软件 SSL 实现安全 绕过漏洞 (CNNVD-201310-237) CNNVD-201310-477 D-Link 3. 资源管理错误 CNNVD-201310-103 Microsoft Microsoft Comctl32 整数溢出 漏洞(CNNVD-201310-103) (二) 高危漏洞高危漏洞实例实例 本月
8、高危漏洞共 94 个，其中重点漏洞实例如表 5 所示。 表 5 本月高危漏洞实例 序序 号号 漏洞类型漏洞类型 漏洞编号漏洞编号 厂商厂商 漏洞实例漏洞实例 1. 缓冲区溢出 CNNVD-201310-107 Microsoft Cisco ASA 软件拒绝服务漏 洞(CNNVD-201310-225) CNNVD-201310-109 CNNVD-201310-110 CNNVD-201310-111 CNNVD-201310-115 CNNVD-201310-116 CNNVD-201310-117 CNNVD-201310-119 CNNVD-201310-120 CNNVD-20131
9、0-121 CNNVD-201310-122 5 CNNVD-201310-225 Cisco CNNVD-201310-241 CNNVD-201310-242 CNNVD-201310-478 D-Link CNNVD-201310-036 Google CNNVD-201310-001 IBM CNNVD-201310-707 Mozilla CNNVD-201310-020 Philips CNNVD-201310-475 WatchGuard 2. 输入验证 CNNVD-201310-102 Microsoft Microsoft Internet Explorer 内存损坏漏洞 (
10、CNNVD-201310-108) CNNVD-201310-105 CNNVD-201310-106 CNNVD-201310-108 CNNVD-201310-150 Cisco CNNVD-201310-236 CNNVD-201310-610 CNNVD-201310-224 Alstom CNNVD-201310-565 Apache CNNVD-201310-011 Citrix CNNVD-201310-532 F5 CNNVD-201310-561 TRi CNNVD-201310-494 VMware 3. 资源管理错误 CNNVD-201310-026 Google Cis
11、co ASA 软件资源管理错 误漏洞(CNNVD-201310-493) CNNVD-201310-027 CNNVD-201310-029 CNNVD-201310-035 CNNVD-201310-041 CNNVD-201310-112 Microsoft CNNVD-201310-114 CNNVD-201310-118 CNNVD-201310-126 CNNVD-201310-052 Cisco CNNVD-201310-493 4. 权限许可和访 问控制 CNNVD-201310-608 Apple IBM WebSphere DataPower XC10 权限许可和访问控制 漏
12、洞(CNNVD-201310-506) CNNVD-201310-187 BlackBerry CNNVD-201310-611 EMC CNNVD-201310-231 HP CNNVD-201310-506 IBM CNNVD-201310-701 Mozilla CNNVD-201310-270 Ruckus Wireless 5. 代码注入 CNNVD-201310-104 Microsoft Microsoft Windows USB 描 6 CNNVD-201310-123 述符漏洞 (CNNVD-201310-104) CNNVD-201310-128 Adobe CNNVD-2
13、01310-309 HP CNNVD-201310-623 SAP 6. 加密问题 CNNVD-201310-055 Baramundi Cisco ASA 软件 IPsec 代码拒 绝服务漏洞 (CNNVD-201310-235) CNNVD-201310-056 CNNVD-201310-235 Cisco 7. SQL 注入 CNNVD-201310-130 AlienVault HP IMC 和 IMC Service Operation Management Software Module SQL 注入漏 洞(CNNVD-201310-233) CNNVD-201310-233 HP
14、 8. 信息泄露 CNNVD-201310-631 Juniper Networks Juniper Junos 信息泄露漏洞 (CNNVD-201310-631) 注：本报根据中国国家信息安全漏洞库（CNNVD）数据整理分析而成。 7 中国国家信息安全漏洞库中国国家信息安全漏洞库 中国国家信息安全漏洞库，英文名称“China National Vulnerability Database of Information Security “，简称“CNNVD“， 是中国信息安全测评中心为切实履行漏洞分析和风险评估的职能， 负 责建设运维的国家信息安全漏洞库， 为我国信息安全保障提供基础服 务。
15、 邮箱：vulpro 电话：82341439 中国信息安全测评中心中国信息安全测评中心 中国信息安全测评中心成立于 1997 年，是我国专门从事信息技 术安全测试和风险评估的权威职能机构。依据中央授权，测评中心的 主要职能包括： 负责信息技术产品和系统的安全漏洞分析与信息通报； 负责党政机关信息网络、重要信息系统的安全风险评估；开展信息技 术产品、系统和工程建设的安全性测试与评估；开展信息安全服务和 专业人员的能力评估与资质审核； 从事信息安全测试评估的理论研究、 技术研发、标准研制等。 地址：北京市海淀区上地西路 8 号院 1 号楼 邮编：100085 电话：82341439 传真：82341100
