第18周网络安全风险提示

（发布日期：2023年6月20日）

 

一、重要漏洞安全提示

1．Google产品安全漏洞

Google Chrome是美国谷歌（Google）公司的一款Web浏览器。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞在系统上执行任意代码或导致应用程序崩溃。

CNVD收录的相关漏洞包括：Google Chrome类型混肴漏洞、Google Chrome Extensions组件内存错误引用漏洞、Google Chrome PDF组件内存错误引用漏洞（CNVD-2023-46113、CNVD-2023-46115、CNVD-2023-46110）、Google Chrome V8组件代码执行漏洞（CNVD-2023-46117、CNVD-2023-46116）、Google Chrome Mojo组件代码执行漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2023-46107

https://www.cnvd.org.cn/flaw/show/CNVD-2023-46110

https://www.cnvd.org.cn/flaw/show/CNVD-2023-46109

https://www.cnvd.org.cn/flaw/show/CNVD-2023-46113

https://www.cnvd.org.cn/flaw/show/CNVD-2023-46117

https://www.cnvd.org.cn/flaw/show/CNVD-2023-46116

https://www.cnvd.org.cn/flaw/show/CNVD-2023-46115

https://www.cnvd.org.cn/flaw/show/CNVD-2023-46119

2．Linux产品安全漏洞

Linux kernel是美国Linux基金会的开源操作系统Linux所使用的内核。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞在未经授权的情况下执行管理命令，导致用户崩溃或提升系统权限等。

CNVD收录的相关漏洞包括：Linux kernel命令执行漏洞、Linux kernel ntfs_set_ea越界读取漏洞、Linux kernel缓冲区溢出漏洞（CNVD-2023-48543）、Linux kernel资源管理错误漏洞（CNVD-2023-48542、CNVD-2023-48540、CNVD-2023-48546、CNVD-2023-48545）、Linux kernel数字错误漏洞（CNVD-2023-48544）。其中，“Linux kernel资源管理错误漏洞（CNVD-2023-48542、CNVD-2023-48540）”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2023-48539

https://www.cnvd.org.cn/flaw/show/CNVD-2023-48537

https://www.cnvd.org.cn/flaw/show/CNVD-2023-48543

https://www.cnvd.org.cn/flaw/show/CNVD-2023-48542

https://www.cnvd.org.cn/flaw/show/CNVD-2023-48540

https://www.cnvd.org.cn/flaw/show/CNVD-2023-48546

https://www.cnvd.org.cn/flaw/show/CNVD-2023-48545

https://www.cnvd.org.cn/flaw/show/CNVD-2023-48544

3．Adobe产品安全漏洞

Adobe Experience Manager（AEM）是美国奥多比（Adobe）公司的一套可用于构建网站、移动应用程序和表单的内容管理解决方案。该方案支持移动内容管理、营销销售活动管理和多站点管理等。本周，上述产品被披露存在URL重定向漏洞，攻击者可利用漏洞将用户重定向到恶意网站。

CNVD收录的相关漏洞包括：Adobe Experience Manager URL重定向漏洞（CNVD-2023-45904、CNVD-2023-45903、CNVD-2023-45901、CNVD-2023-45906、CNVD-2023-45905、CNVD-2023-45909、CNVD-2023-45908、CNVD-2023-45907）。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2023-45904

https://www.cnvd.org.cn/flaw/show/CNVD-2023-45903

https://www.cnvd.org.cn/flaw/show/CNVD-2023-45901

https://www.cnvd.org.cn/flaw/show/CNVD-2023-45906

https://www.cnvd.org.cn/flaw/show/CNVD-2023-45905

https://www.cnvd.org.cn/flaw/show/CNVD-2023-45909

https://www.cnvd.org.cn/flaw/show/CNVD-2023-45908

https://www.cnvd.org.cn/flaw/show/CNVD-2023-45907

4．Juniper Networks产品安全漏洞

Juniper Networks Junos OS是美国瞻博网络（Juniper Networks）公司的一套专用于该公司的硬件设备的网络操作系统。该操作系统提供了安全编程接口和Junos SDK。Juniper Networks Junos OS Evolved是美国瞻博网络（Juniper Networks）公司的Junos OS的升级版系统。Juniper Networks Paragon Active Assurance是美国瞻博网络（Juniper Networks）公司的一种可编程的测试和服务保证解决方案。使用基于软件和流量生成的测试代理，可作为SaaS解决方案从云中轻松使用和交付，或在NFV环境中本地部署。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞绕过控制台访问控制，将潜在的恶意文件复制到本地系统上的现有Docker容器中，随后管理员可能会无意中启动Docker容器，导致恶意文件以root身份执行等。

CNVD收录的相关漏洞包括：Juniper Networks Junos OS访问控制错误漏洞（CNVD-2023-48478）、Juniper Networks Junos OS Evolved权限提升漏洞、Juniper Networks Junos OS资源管理错误漏洞（CNVD-2023-48482、CNVD-2023-49464）、Juniper Networks Junos OS输入验证错误漏洞（CNVD-2023-48481）、Juniper Networks Junos OS拒绝服务漏洞（CNVD-2023-49463）、Juniper Networks Junos OS bbe-smgd拒绝服务漏洞、Juniper Networks Paragon Active Assurance跨站脚本漏洞。其中，“Juniper Networks Junos OS访问控制错误漏洞（CNVD-2023-48478）、Juniper Networks Paragon Active Assurance跨站脚本漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2023-48478

https://www.cnvd.org.cn/flaw/show/CNVD-2023-48477

https://www.cnvd.org.cn/flaw/show/CNVD-2023-48482

https://www.cnvd.org.cn/flaw/show/CNVD-2023-48481

https://www.cnvd.org.cn/flaw/show/CNVD-2023-49463

https://www.cnvd.org.cn/flaw/show/CNVD-2023-49462

https://www.cnvd.org.cn/flaw/show/CNVD-2023-49465

https://www.cnvd.org.cn/flaw/show/CNVD-2023-49464

5．TP-Link Archer VR1600V命令注入漏洞

TP-Link Archer VR1600V是中国普联（TP-LINK）公司的一款无线调制解调器。本周，TP-Link Archer VR1600V被披露存在命令注入漏洞。攻击者可利用该漏洞以管理员用户身份通过“X_TP_IfName”参数打开操作系统级shell。目前，厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2023-49482

6. 微软发布了2023年6月份的月度例行安全公告

修复了多款产品存在的81个安全漏洞。受影响的产品包括：Windows 11 22H2（31个）、Windows 11（29个）、Windows Server 2022（34个）、Windows 10 22H2（29个）、Windows 10 21H2（29个）、Windows 10 1809 & Windows Server 2019（32个）、Server 2012 R2（23个）、Windows Server 2012（20个）和Microsoft Office-related software（9个）。

利用上述漏洞，攻击者可进行欺骗，绕过安全功能限制，获取敏感信息，提升权限，执行远程代码，或发起拒绝服务攻击等。CNVD提醒广大Microsoft用户尽快下载补丁更新，避免引发漏洞相关的网络安全事件。

 

（重要漏洞安全提示内容来源：国家信息安全漏洞共享平台www.cnvd.org.cn）

 

二、网络安全重点工作提示

1.请对以上漏洞排查、修复。

2.提高网络安全意识，做好个人账号密码管理（例如：钉钉、邮箱、上网认证等），定期修改密码，提高密码强度，不泄露给他人，发现账号异常及时修改密码。

3.请各网络安全管理员落实工作，提示本部门做好以上工作。