一、公开漏洞情况
根据国家信息安全漏洞库（CNNVD）统计，2020年3月份新增安全漏洞共1726个，从厂商分布来看，Samsung 公司产品的漏洞数量最多，共发布123个；从漏洞类型来看，跨站脚本类的漏洞占比最大，达到15.47%。本月新增漏洞中，超危漏洞293个、高危漏洞677个、中危漏洞705个、低危漏洞51个，相
应修复率分别为72.70%、82.72%、69.65%以及86.27%。合计1308个漏洞已有修复补丁发布，本月整体修复率75.78%。
截至2020年03月31日，CNNVD 采集漏洞总量已达142115个。
1. 漏洞增长概况
2020年3月新增安全漏洞1726个，与上月（1246个）相比增加了38.52%。根据近6个月来漏洞新增数量统计图，平均每月漏洞数量达到1491个。
2. 漏洞分布情况
（1）漏洞厂商分布
3月厂商漏洞数量分布情况如表1所示，Samsung 公司漏洞达到123个，占本月漏洞总量的7.13%。本月Microsoft、Google 等厂商的漏洞数量出现较不同程度的下降。
图1  2019年10月至2020年3月漏洞新增数量统计图
国 家 信 息 安 全 漏 洞 通 报
中国信息安全测评中心
（2020年3月）
表1  2020年3月排名前十厂商新增安全漏洞统计表
序号厂商名称漏洞数量所占比例1Samsung 1237.13%2Microsoft 117  6.78%3Google 64  3.71%4Qualcomm 48  2.78%5Apple 46  2.67%6Adobe 42  2.43%7GitLab 41  2.38%8IBM 40  2.32%9CloudBees 38  2.20%10
Intel
27
1.56%
表2  2020年3月主流操作系统漏洞数量统计表
序号操作系统名称漏洞数量1Windows 10802Windows Server 2019723Windows Server 2016724Windows Server 2012
565Windows 8.1
566Windows Server 2012 R2
567Windows Rt 8.1
568Android 529Windows 74010
Windows Server 20084011Windows Server 2008 R2
4012
Linux Kernel
4
由于Windows 整体市占率高达百分之九十以上，所以上表针对不同的Windows 版本分
别进行统计。上表漏洞数量为影响该版本的漏洞数量，由于同一漏洞可能影响多个版本操作系统，计算某一系列操作系统漏洞总量时，不能对该系列所有操作系统漏洞数量进行简单相加。
（2）漏洞产品分布
3月主流操作系统的漏洞统计情况如表2所示。本月Windows 10漏洞数量最多，共80个，占主流操作系统漏洞总量的12.82%，排名第一。
（3）漏洞类型分布
3月份发布的漏洞类型分布如表3所示，其中跨站
脚本类漏洞所占比例最大，约为15.47% 。
（4） 漏洞危害等级分布
根据漏洞的影响范围、利用方式、攻击后果等情况，从高到低可将其分为四个危害等级，即超危、高危、中危和低危级别。3月漏洞危害等级分布如图2所示，其中超危漏洞293条，占本月漏洞总数的16.97% 。
3.漏洞修复情况
（1）整体修复情况
3月漏洞修复情况按危害等级进行统计见图3。其中低
危漏洞修复率最高，达到86.27%，中危漏洞修复率最低，比例为69.65%。总体来看，本月整体修复率，由上月的74.88%上升至本月的75.78% 。
（2）厂商修复情况
3月漏洞修复情况按漏洞数量前十厂商进行统计，其中Samsung、Microsoft、Google 等十个厂商共586条漏洞，占本月漏洞总数的33.95%，漏洞修复率为98.98%，详细情况见表4。多数知名厂商对产品安全高度重视，产品漏洞
修复比较及时，其中Samsung、Google、Qualcomm、Apple、Adobe、GitLab、IBM、CloudBees 等公司本月漏洞修复率均为100%，共580条漏洞已全部修复。
4.重要漏洞实例
★超危漏洞实例
本月超危漏洞共293个，其中重要漏洞实例如下。
1. Adobe Acrobat 和Reader 缓冲区错误漏洞（CNNVD-202003-1043）
Adobe Acrobat 和Reader 都是美国奥多比（Adobe）公司的产品。Adobe Acrobat 是一套PDF 文件编辑和转换工具。Reader 是一套PDF 文档阅读软件。-基于Windows 和macOS 平台的Adobe Acrobat
和Reader 中存在缓冲区错误漏洞。攻
表3  2020年3月漏洞类型统计表
序号漏洞类型漏洞数量所占比例1跨站脚本26715.47%2缓冲区错误26515.35%3信息泄露118  6.84%4代码问题110  6.37%5输入验证错误105  6.08%6资源管理错误57  3.30%7SQL 注入56  3.24%8跨站请求伪造55  3.19%9操作系统命令注入
54  3.13%10授权问题52  3.01%11注入42  2.43%12路径遍历35  2.03%13访问控制错误22  1.27%14代码注入20  1.16%15信任管理问题160.93%16竞争条件问题120.70%17加密问题80.46%18环境问题60.35%19数据伪造问题50.29%20日志信息泄露50.29%21后置链接40.23%22安全特征问题30.17%23数字错误30.17%24命令注入
20.12%25权限许可和访问控制问题20.12%26格式化字符串错误
10.06%27参数注入10.06%28
其他
400
23.17%
图2  2020年3月漏洞危害等级分布图
图3  2020年3月漏洞修复数量统计图
表4  2020年3月厂商修复情况统计表
序号厂商名称漏洞数量修复数量修复率1Samsung 123123100.00%2Microsoft 11711699.15%3Google 6464100.00%4Qualcomm 4848100.00%5Apple 4646100.00%6Adobe 4242100.00%7GitLab 4141100.00%8IBM 4040100.00%9CloudBees
3838100.00%10
Intel
27
22
81.48%
击者可利用该漏洞执行任意代码。以下产品及版本受到影
响：Adobe Acrobat DC（Continuous）2020.006.20034及之前
版本，Acrobat 2017（Classic 2017）2017.011.30158及之前版
本，Acrobat 2015（Classic 2015）2015.006.30510及之前版本；
Acrobat Reader DC（Continuous）2020.006.20034及之前版本，
Acrobat Reader 2017（Classic 2017）2017.011.30158及之前版本，
Acrobat Reader 2015（Classic 2015）2015.006.30510及之前版本。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
helpx.adobe/security/products/acrobat/apsb20-13.html。
2. Apache Traffic Server 环境问题漏洞（CNNVD-
202003-1353）
Apache Traffic Server（ATS）是美国阿帕奇（Apache）软
件基金会的一套可扩展的HTTP代理和缓存服务器。
Apache Traffic Server 6.0.0版本至6.2.3版本、7.0.0版本至
7.1.8版本和8.0.0版本至8.0.5版本中存在环境问题漏洞，该
漏洞源于不正确的输入验证。攻击者可借助特制的请求利用
该漏洞实施HTTP请求夹带攻击。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
/thread.html/r99d18d0bc4daa05e7d0e5a63e0
e22701a421b2ef5a8f4f7694c43869%afficserver.
<%3E。
3. Microsoft Application Inspector 跨站脚本漏洞
（CNNVD-202003-520）
Microsoft Application Inspector是美国微软（Microsoft）公司
的一款软件源代码分析工具。该产品支持扫描C、C++、C＃、
Java和JavaScript等多种语言。
Microsoft Application Inspector v1.0.23及之前版本中存在远
程代码问题漏洞。攻击者可利用该漏洞将代码段发送到外部
服务器上。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
portal.msrc.microsoft/zh-CN/security-guidance/advisory/
CVE-2020-0872。
4. Apache Shiro 授权问题漏洞（CNNVD-202003
-1579）
Apache Shiro是美国阿帕奇（Apache）软件基金会的一套
用于执行认证、授权、加密和会话管理的Java安全框架。
Apache Shiro 1.5.2之前版本中存在安全漏洞。攻击者可
借助特制的请求利用该漏洞绕过身份验证。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
/thread.html/rc64fb2336683feff3580c3c3a8b28e805
25077621089641f2f386b63@%3Ccommits.%3E。
5. Microsoft Server Message Block 安全漏洞（CNNVD-
202003-607）
Microsoft Windows和Microsoft Windows Server都是美国微软
（Microsoft）公司的产品。Microsoft Windows是一套个人设备使
用的操作系统。Microsoft Windows Server是一套服务器操作系统。
Server Message Block是其中的一个服务器信息传输协议。
Microsoft Server Message Block 3.1.1 (SMBv3)版本中存在安
全漏洞，该漏洞源于SMBv3协议在处理恶意压缩数据包时，
进入了错误流程。远程未经身份验证的攻击者可利用该漏
洞在应用程序中执行任意代码。以下产品及版本受到影响：
Microsoft Windows 10版本1903，Windows Server版本1903，
Windows 10版本1909，Windows Server版本1909。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
portal.msrc.microsoft/zh-cn/security-guidance/advisory/
CVE-2020-0796。
6. Adobe Acrobat和Reader 资源管理错误漏洞
（CNNVD-202003-1047）
Adobe Acrobat和Reader都是美国奥多比（Adobe）公司
的产品。Adobe Acrobat是一套PDF文件编辑和转换工具。
Reader是一套PDF文档阅读软件。
基于Windows和macOS平台的Adobe Acrobat和Reader
中存在安全漏洞。攻击者可利用该漏洞执行任意代码。以
下产品及版本受到影响：Adobe Acrobat DC（Continuous）
2020.006.20034及之前版本，Acrobat 2017（Classic 2017）2017.011.30158
及之前版本，Acrobat 2015（Classic 2015）2015.006.30510及之前版本；
Acrobat Reader DC（Continuous）2020.006.20034及之前版本，Acrobat
Reader 2017（Classic 2017）2017.011.30158及之前版本，Acrobat Reader
2015（Classic 2015）2015.006.30510及之前版本。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
helpx.adobe/security/products/acrobat/apsb20-13.html。
7. Safescan Timemoto TA-8000系列路径遍历漏
洞（CNNVD-202003-826）
Safescan Timemoto TA-8000是荷兰Safescan公司的一套
TA-8000系列考勤系统。
Safescan Timemoto TA-8000系列1.0版本中存在路径遍历
漏洞。远程攻击者可借助用于管理API利用该漏洞执行代码。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
support.timemoto/en/s/safescan-time-clock-systems/a/
firmware-update-7-dot-03-dot-100-ta8000-14。
8. Microsoft DirectX 安全漏洞（CNNVD-202003-603）
Microsoft Windows和Microsoft Windows Server都是美国微
软（Microsoft）公司的产品。Microsoft Windows 是一套个人设备使用的操作系统。Microsoft Windows Server 是一套服务器操作系统。DirectX 是其中的一个多媒体系统链接库。
Microsoft DirectX 中存在安全漏洞，该漏洞源于程序没有正确地处理内存对象。攻击者可通过登录到系统并运行特制的应用程序利用该漏洞在内核模式中运行任意代码。以下产品及版本受到影响：Microsoft Windows 10，Windows 10 Version 1607，Windows 10版本1709，Windows 10版本1803，Windows 10版本1809，Windows 10版本1903，Windows 10版本1909，Windows Server 2016，Windows Server 版本1803，Windows Server 版本1903，Windows Server 版本1909。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：portal.msrc.microsoft/zh-CN/security-guidance/advisory/CVE-2020-0690。
★高危漏洞实例
本月高危漏洞共677个，其中重点漏洞实例如下。
1. Cisco SD-WAN Solution vManage SQL 注入漏洞（CNNVD-202003-1140）
Cisco SD-WAN Solution 是美国思科（Cisco）公司的一套网络扩展解决方案。vManage 是一套网络管理系统。
Cisco SD-WAN Solution vManage Release 19.2.2之前版本中的Web UI 存在SQL 注入漏洞，该漏洞源于Web UI 没有正确验证SQL 值。远程攻击者可通过进行身份验证并发送恶意的SQL 值利用该漏洞修改底层数据库和操作系统上的值或返回值。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：tools.cisco/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200318-vmanage-cypher-inject。
2. IBM Spectrum Scale 和IBM Spectrum Protect Plus 操作系统命令注入漏洞（CNNVD-202003-1688）
IBM Spectrum Scale 和IBM Spectrum Protect Plus 都是美国IBM 公司的产品。IBM Spectrum Scale 是一套基于IBM GPFS（专为PB 级存储管理而优化的企业文件管理系统）的可扩展的数据及文件管理解决方案。该产品支持帮助客户减少存储成本，同时提高云、大数据和分析环境中的安全性和管理效率等。IBM Spectrum Protect Plus 是一套数据保护平台。该平台为企业提供单一控制和管理点，并支持对所有规模的虚拟、物理和云环境进行备份和恢复。
IBM Spectrum Scale 和IBM Spectrum Protect Plus 10.1.0版本至10.1.5版本中存在操作系统命令注入漏洞。远程攻击者可通过发送特制的请求利用该漏洞在系统上中执行任意命令。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：www.ibm/support/pages/node/6114130
3. I n t e l  G r a p h i c s  D r i v e r s  代码问题漏洞（C N N V D -202003-533）
Intel Graphics Drivers 是美国英特尔（Intel）公司的一款集成显卡驱动程序。
Intel Graphics Drivers 26.20.100.7158之前版本中存在安全漏洞。本地攻击者可利用该漏洞提升权限。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：www.intel/content/www/us/en/security-center/advisory/intel-sa-00315.html。
4. M i c r o s o f t  I n t e r n e t  E x p l o r e r  缓冲区错误漏洞（C N N V D -202003-388）
Microsoft Internet Explorer（IE）是美国微软（Microsoft）公司的一款Windows 操作系统附带的Web 浏览器。-Microsoft IE 11中脚本引擎处理内存对象的方式存在远程代码执行漏洞。攻击者可利用该漏洞在当前用户的上下文中执行任意代码，损坏内存。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
portal.msrc.microsoft/zh-CN/security-guidance/advisory/CVE-2020-0833。
5. Cisco Prime Network Registrar 跨站请求伪造漏洞（CNNVD-202003-182）
Cisco Prime Network Registrar（CPNR）是美国思科（Cisco）公司的一款网络注册器产品。该产品提供了动态主机配置协议（DHCP）、域名系统（DNS）和IP 地址管理（IPAM）等服务。
Cisco CPNR 10.1之前版本（releases）中基于Web 的接口存在跨站请求伪造漏洞，该漏洞源于程序没有进行充分的跨站请求伪造保护。远程攻击者可通过诱使用户点击恶意链接利用该漏洞修改设备配置，进而可以编辑或创建任意权限用户的账户。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：tools.cisco/security/center/content/CiscoSecurityAdvisory/cisco-sa-cpnr-csrf-WWTrDkyL。
6. I n t e l  G r a p h i c s  D r i v e r s  路径遍历漏洞（C N N V D -202003-537）
Intel Graphics Drivers 是美国英特尔（Intel）公司的一款集成显卡驱动程序。
Intel Graphics Drivers 中的igdkmd64.sys 文件存在路径遍历漏洞。本地攻击者可利用该漏洞提升权限。以下产品及版本受到影响：Intel Graphics Drivers 15.45.30.5103之前版本, 15.40.44.5107
之前版本, 15.36.38.5117之前版本, 15.33.49.5100之前版本。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
www.intel/content/www/us/en/security-center/advisory/intel-
sa-00315.html。
7. 多款Apple产品WebKit组件资源管理错误漏
洞（CNNVD-202003-1546）
Apple iOS等都是美国苹果（Apple）公司的产品。Apple
iOS是一套为移动设备所开发的操作系统。Apple tvOS是一套
智能电视操作系统。Apple iPadOS是一套用于iPad平板电脑的
操作系统。WebKit是其中的一个Web浏览器引擎组件。
多款Apple产品中的WebKit组件存在资源管理错误漏
洞。攻击者可借助恶意制作的Web内容利用该漏洞执行代码。
以下产品及版本受到影响：基于Windows平台的Apple iCloud
7.18之前版本，10.9.3之前版本；基于Windows平台的iTunes
12.10.5之前版本；iOS 13.4之前版本；iPadOS 13.4之前版本；
Safari 13.1之前版本；tvOS 13.4之前版本。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
support.apple/zh-cn/HT211101，support.apple/
zh-cn/HT211102，support.apple/zh-cn/HT211104，
support.apple/zh-cn/HT211105，support.apple/zh-cn/
HT211106，support.apple/zh-cn/HT211107。
8. Dell EMC Data Protection Advisor 代码注入漏洞
（CNNVD-202003-1130）
Dell EMC Data Protection Advisor是美国戴尔（Dell）公司的
一套数据保护管理解决方案。该方案支持自动和集中执行所
有此类数据的收集与分析，并获得数据保护环境和活动的单
个全面视图等。
Dell EMC Data Protection Advisor中的REST API存在代码注
入漏洞。远程攻击者可借助特制脚本利用该漏洞在系统上执行
任意命令。以下产品及版本受到影响：Dell EMC Data Protection
Advisor 6.3版本，6.4版本，6.5版本，18.2版本，19.1版本。
目前厂商已发布升级补丁以修复漏洞，补丁获取链
接：www.dell/support/security/zh-cn/details/539430/DSA-
2019-155-Dell-EMC-Data-Protection-Advisor-Security-Update-for-
Multiple-Vulnerabilities。
二、接报漏洞情况
本月接报漏洞7156个，其中信息技术产品漏洞（通
用型漏洞）217个，网络信息系统漏洞（事件型漏洞）
6939个。具体如表5所示。
表5  2020年3月漏洞接报情况表
序号报送单位漏洞总量
1网神信息技术（北京）股份有限公司3025
2上海斗象信息科技有限公司2963
3北京华云安信息技术有限公司411
4太极计算机股份有限公司250
5西安四叶草信息技术有限公司80
6北京国舜科技股份有限公司65
7中国电信集团系统集成有限责任公司45
8北京启明星辰信息安全技术有限公司41
9内蒙古洞明科技有限公司40
10北京圣溥润高新技术股份有限公司37
11山东新潮信息技术有限公司25
12浙江大华技术股份有限公司19
13上海安洵信息技术有限公司18
14北京数字观星科技有限公司16
15北京云测信息技术有限公司13
16恒安嘉新（北京）科技股份公司9
17北京梆梆安全科技有限公司8
18北京神州绿盟科技有限公司8
19北京山石网科信息技术有限公司8
20西安交大捷普网络科技有限公司8
21中新网络信息安全股份有限公司6
22浙江宇视科技有限公司6
23天津市兴先道科技有限公司6
24河南听潮盛世信息技术有限公司5
25深圳开源互联网安全技术有限公司5
26杭州木链物联网科技有限公司4
27上海安识网络科技有限公司4
28成都科来软件有限公司4
29北京智游网安科技有限公司4
30个人3
31远江盛邦（北京）网络安全科技股份有限公司2
windowsserver2012四个版本
32长扬科技（北京）有限公司2
33清华大学2
34哈尔滨理工大学2
35北京邮电大学2
36北京天融信网络安全技术有限公司2
37知道创宇1
38上海三零卫士信息安全有限公司1
39北京威努特技术有限公司1
40深信服科技股份有限公司1
41山东潍微科技股份有限公司1
42锐捷网络股份有限公司1
43广州竞远安全技术股份有限公司1
报送总计7156

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。