5信息安全漏洞公告与处置.PDFVIP

5信息安全漏洞公告与处置 CNCERT高度重视对安全威胁信息的预警通报工作。由于大部分严重的网络 安全威胁都是由信息系统所存在的安全漏洞诱发的，所以及时发现和处理漏洞是 安全防范工作的重中之重。 5.1国家信息安全漏洞共享平台(CNVD)漏洞收录情况 国家信息安全漏洞共享平台（CNVD）自2009年成立以来，共收集整理漏洞 信息35032个。其中，2011年新增漏洞5547个，包括高危漏洞2164个（占 39%.0）、 中危漏洞2529个（占45.6）、低危漏洞% 854个（占 15%.4）。各级别比例分布 与月度数量统计如图5-1、图5-2所示。在所收录的上述漏洞中，可用于实施远 程网络攻击的漏洞有4692个，可用于实施本地攻击的漏洞有559个。 图 5-1 2011 年 CNVD 收录漏洞按威胁级别分布 61 / 131 图 5-2 2011 年 CNVD 收录漏洞数量月度统计 2011年，CNVD共收集、整理了 2164个高危漏洞，涵盖Microsoft、IBM、 Apple、WordPress、Adobe、Cisco、Mozilla、Novell、GoogleOracle、等厂商的产 品。各厂商产品中高危漏洞的分布情况如图 5-3所示，可以看出，涉及 Apple 产品的高危漏洞最多，占全部高危漏洞的7.6%。 图 5-3 2011 年 CNVD 收录高危漏洞按厂商分布 62 / 131 根据影响对象的类型，漏洞可分为：操作系统漏洞、应用程序漏洞、WEB 应用漏洞、数据库漏洞、网络设备漏洞（如路由器、交换机等）和安全产品漏洞 （如防火墙、入侵检测系统等）。如图5-4所示，在CNVD 2011年度收集整理 的漏洞信息中，操作系统漏洞占8.8，应用程序漏洞占% 625%.，WEB应用漏洞 占 22.7%，数据库漏洞1.1，网络设备漏洞占% 3.7，安全产品漏洞占% 1.2。% 图 5-4 2011 年 CNVD 收录漏洞按影响对象类型分类统计 CNV对收录的漏洞进行验证，并掌握一些仅在D CNVD成员单位中知晓、未 通过互联网公开披露的攻击代码。CNVD通过验证和测试攻击代码，对漏洞带来 的危害进行了较为全面的分析研判。2011年，CNVD共进行了1340次验证，其 中比较重要的包括 ForceControl 6.1 WebServer URI请求堆缓冲区溢出漏洞、 pNetPower 6.1 AngelServer UDP数据包堆缓冲区溢出漏洞、心海软件学校心理管 理系统cookie伪造漏洞、深信服SSL_VPN系统控制台验证绕过漏洞、WanHu ezEIP 注入漏洞、NJStar Communicator MINISMTP.exe服务器堆栈缓冲区溢出漏洞、 EC_word企业管理系统注入漏洞、Discuz! X2 SQL注入漏洞、pNetPower 6.1 AngelServer UDP数据包堆缓冲区溢出漏洞补丁衍生拒绝服务漏洞、H3C ER系列 路由器产品验证绕过漏洞、网赢企业网络营销平台注入漏洞、TurboCMS Java内 容管理系统注入漏洞、Apache远程拒绝服务漏洞、ISC BIND递归查询远程拒绝 服务漏洞、信达证券 “牵牛花”系统SQL注入漏洞、卓讯智能化网站管理系统 EmteEasySite多个安全漏洞、宁志学校网站管理系统SQL注入漏洞、MyBB MyTabs 插件tab参数SQL注入漏洞、Nginx %00空字节执行任意代码(php)漏洞、360eshop 文件上传漏洞等。 63 / 131 漏洞中较危险的是零日漏洞，一旦针对这些漏洞的攻击代码在补丁发布之前 被公开或被不法分子知晓，就可能被利用来发动大规模网络攻击。2011年 CNVD 共收录了 1340个零日漏洞，主要涉及服务器系统、操作系统、数据库系统以及 应用软件等。 201年，1CNVD共收录漏洞补丁3707个，并为大部分漏洞提供了可参考的 解决方案，提醒相关用户注意做好系统加固和安全防范工作。CNVD发布的漏洞 补丁