84
5
4
2017年4月十大重要安全漏洞分析
2017年3月21日至2017年4月20日，国家计算机网络入侵防范中心发布漏洞总条目1026条，漏洞总数为上月的1.25倍 ，有所上升。其中威胁级别为“紧急”的有112条，“高”的有150条，“中”的有514条，“低”的有250条。威胁级别为“紧急”和“高”的漏洞占到总量的25.54% 。从漏洞利用方式来看，能够利用从远程进行攻击的漏洞占绝大多数，这使得攻击者利用相应漏洞发动攻击更为容易。微软公司暂未发布安全更新。
1
2
3
放性内核的手机操作系统。G o o g l e
cve漏洞库Android Recover y Verifier 存在权
限提升漏洞。允许攻击者利用漏洞
在应用内核上下文中执行任意代码。
危害: 任意代码执行
参考链接： www.security
focus/bid/967162017/03/24 WordPress Webapp-Builder 插件任意文件上传漏洞CVE ID: CVE-2017-1002002
综述: WordPress Webapp-
Builder 插件存在任意文件上传漏洞，
该漏洞源于应用程序未能充分验证用
户提供的输入。攻击者可利用此漏洞
在Web 服务器进程中上传并运行任意
代码，允许对应用程序未授权的访问
及其他攻击。
2017/03/21 Apache Struts 2-046远
程代码执行漏洞CVE ID: 暂无
综述:Apache Struts 2存在046远
程代码执行漏洞，攻击者在使用Jakarta
插件处理文件上传操作时可能导致该漏
洞被利用。
危害: 任意代码执行
参考链接：struts.apache.
org/docs/s2-046.html 2017/03/22 IBM QRadar SIEM XML
外部实体注入漏洞
CVE ID ： CVE-2016-9724综述：IBM QRadar SIEM 是美国
IBM 公司的一套利用安全智能保护资产和信息远离高级威胁的解决方案。该方案具有在整个IT 架构范围内进行监督、生成详细的数据访问和用户活动报告等功能。 IBM QRadar SIEM 7.2.n 版本中存在XML 外部实体注入漏洞。远程攻击者可利用该漏洞获取敏感信息或消耗所有可用内存资源。
危害: 任意代码执行
参考链接：暂无
2017/03/23 IBM QRadar SIEM 拒绝服务漏洞
CVE ID ： CVE-2016-9740
综述：IBM QRadar SIEM 存在拒绝服务漏洞。允许攻击者利用该漏洞造成拒绝服务。
危害: 拒绝服务
参考链接：www.security
focus/bid/965352017/03/23 Google Android Recovery
Verifier 权限提升漏洞
CVE ID ：CVE-2017-0475      综述：Android 是基于Linux 开
（中国科学院大学国家计算机网络入侵防范中心，北京100049）
85
2017年第6期
7
6
10危害: 信息泄露参考链接：www.security  f ocus/bid/96906
2017/03/25 Cisco StarOS 权限提升漏洞
CVE ID: CVE-2017-3819
综述： Cisco StarOS 是Cisco 公司
的一套运行于5000等系列路由器设备
上的操作系统。 Cisco StarOS 存在权
限提升漏洞。攻击者可利用此漏洞获取
受影响设备上已提升的root 权限。
危害: 任意代码执行
参考链接：www.security
f ocus/bid/96913
2017/03/30 Mozilla Firefox MFSA
内存破坏漏洞
CVE ID: CVE-2017-5399
综述：Mozilla Firefox 存在内存破
坏漏洞。攻击者利用该漏洞在受影响
的应用程序环境中执行任意脚本代码，
失败的攻击会造成拒绝服务。
危害: 拒绝服务可利用该漏洞绕过手机回功能，获取
手机的机主权限。
危害: 任意代码执行
参考链接：www.huawei/
cn/psirt/security-advisories/huawei-sa-
20170322-01-smartphone-cn
2017/04/18 Linux kernel 本地拒绝服务漏洞
CVE ID ： CVE-2017-7294
综述: L i n u x ke r n e l 4.10.6及
之前版本中的d r i v e r s /g p u /d r m /
vmwgf x /vmwgf x _sur face.c 文件
的vmw_sur face _define _ioctl 函
数存在本地拒绝服务漏洞。本地攻击
者可借助特制的i o c t l 函数调用该漏
洞造成整数溢出、越边界写入，导致
拒绝服务（系统崩溃和挂起）或获取
权限。
危害: 任意代码执行
参考链接：lists.freedesktop.
o r g /a r c h i v e s /d r i -d e v e l /2017-
March/137094.html  （责编  马珂）

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。