第19周网络安全风险提示
（发布日期：2023年6月27日）
一、重要漏洞安全提示
1.Adobe产品安全漏洞
Adobe Commerce是美国奥多比（Adobe）公司的一种面向商家和品牌的数字商务解决方案。Adobe Premiere Rush是美国奥多比（Adobe）公司的一套跨平台的视频编辑软件。Adobe Photoshop是美国奥多比（Adobe）公司的一套图片处理软件。该软件主要用于处理图片。Adobe Illustrator是美国奥多比（Adobe）公司的一套基于向量的图像制作软件。Adobe Creative Cloud Desktop Application是美国奥多比（Adobe）公司的一套用于在Creative云会员管理中心管理应用程序和服务的应用程序。该程序支持同步和共享文件、管理字体以及访问商业摄影和设计的资产库。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞绕过安全功能，在系统上执行任意代码。
CNVD收录的相关漏洞包括：Adobe Commerce任意代码执行漏洞、Adobe Commerce安全绕过漏洞（CNVD-2023-50130）、Adobe Premiere Rush内存错误引用漏洞、Adobe Photoshop内存错误引用漏洞、Adobe Illustrator越界写入漏洞（CNVD-2023-50820、CNVD-2023-50822）、Adobe Illustrator代码执行漏洞（CNVD-2023-50821）、Adobe Creative Cloud Desktop Application代码执行漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2023-50124
https://www.cnvd.org.cn/flaw/show/CNVD-2023-50130
https://www.cnvd.org.cn/flaw/show/CNVD-2023-50814
https://www.cnvd.org.cn/flaw/show/CNVD-2023-50817
https://www.cnvd.org.cn/flaw/show/CNVD-2023-50820
https://www.cnvd.org.cn/flaw/show/CNVD-2023-50821
https://www.cnvd.org.cn/flaw/show/CNVD-2023-50822
https://www.cnvd.org.cn/flaw/show/CNVD-2023-50823
2.Foxit产品安全漏洞
Foxit PDF Reader是中国福昕（Foxit）公司的一款PDF阅读器。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞在当前进程的上下文中执行代码，造成拒绝服务（DoS）。
CNVD收录的相关漏洞包括：Foxit PDF Reader拒绝服务漏洞、Foxit PDF Reader资源管理错误漏洞（CNVD-2023-49833、CNVD-2023-49832、CNVD-2023-49836、CNVD-2023-49835、CNVD-2023-49834）、Foxit PDF Reader缓冲区溢出漏洞（CNVD-2023-49839、CNVD-2023-49838）。其中，除“Foxit PDF Reader拒绝服务漏洞、Foxit PDF Reader缓冲区溢出漏洞（CNVD-2023-49838）”外，其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2023-49829
https://www.cnvd.org.cn/flaw/show/CNVD-2023-49833
https://www.cnvd.org.cn/flaw/show/CNVD-2023-49832
https://www.cnvd.org.cn/flaw/show/CNVD-2023-49836
https://www.cnvd.org.cn/flaw/show/CNVD-2023-49835
https://www.cnvd.org.cn/flaw/show/CNVD-2023-49834
https://www.cnvd.org.cn/flaw/show/CNVD-2023-49839
https://www.cnvd.org.cn/flaw/show/CNVD-2023-49838
3.Rockwell Automation产品安全漏洞
Rockwell Automation Kinetix 5500是美国罗克韦尔（Rockwell Automation）公司的第一款采用外部公共交流/直流总线连接系统设计的Kinetix驱动器。 它降低了硬件要求，并允许无缝扩展，对单轴或多轴系统使用单一平台。Rockwell Automation Arena Simulation Software是美国罗克韦尔（Rockwell Automation）公司的一套提供3D动画和图形功能的仿真软件。Rockwell Automation FactoryTalk Vantagepoint是美国罗克韦尔（Rockwell Automation）公司的在统一生产模型（UPM）中组织、关联和规范化制造和生产流程以及业务系统的不同数据的平台。Rockwell Automation ThinManager ThinServer是美国罗克韦尔（Rockwell Automation）公司的一款瘦客户端管理软件。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞通过开放端口未经授权访问设备，远程执行任意代码，导致程序崩溃等。
CNVD收录的相关漏洞包括：Rockwell Automation Kinetix 5500访问控制错误漏洞、Rockwell Automation Arena Simulation Software缓冲区溢出漏洞（CNVD-2023-49823、CNVD-2023-49822、CNVD-2023-49821）、Rockwell Automation FactoryTalk Vantagepoint跨站请求伪造漏洞、Rockwell Automation ThinManager ThinServer路径遍历漏洞（CNVD-2023-49827、CNVD-2023-49826）、Rockwell Automation ThinManager ThinServer缓冲区溢出漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2023-49819
https://www.cnvd.org.cn/flaw/show/CNVD-2023-49823
https://www.cnvd.org.cn/flaw/show/CNVD-2023-49822
https://www.cnvd.org.cn/flaw/show/CNVD-2023-49821
https://www.cnvd.org.cn/flaw/show/CNVD-2023-49820
https://www.cnvd.org.cn/flaw/show/CNVD-2023-49827
https://www.cnvd.org.cn/flaw/show/CNVD-2023-49826
https://www.cnvd.org.cn/flaw/show/CNVD-2023-49825
4.Google产品安全漏洞
Google Android是美国谷歌（Google）公司的一套以Linux为基础的开源操作系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，提升权限，造成拒绝服务。
CNVD收录的相关漏洞包括：Google Android权限提升漏洞（CNVD-2023-50309、CNVD-2023-50310、CNVD-2023-50311、CNVD-2023-50829、CNVD-2023-50830）、Google Android拒绝服务漏洞（CNVD-2023-50826）、Google Android信息泄露漏洞（CNVD-2023-50827、CNVD-2023-50828）。其中，除“Google Android信息泄露漏洞（CNVD-2023-50827、CNVD-2023-50828）”外，其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2023-50309
https://www.cnvd.org.cn/flaw/show/CNVD-2023-50310
https://www.cnvd.org.cn/flaw/show/CNVD-2023-50311
https://www.cnvd.org.cn/flaw/show/CNVD-2023-50826
https://www.cnvd.org.cn/flaw/show/CNVD-2023-50827
https://www.cnvd.org.cn/flaw/show/CNVD-2023-50828
https://www.cnvd.org.cn/flaw/show/CNVD-2023-50829
https://www.cnvd.org.cn/flaw/show/CNVD-2023-50830
5.D-Link DIR-600命令注入漏洞
D-Link DIR-600是中国友讯（D-Link）公司的一款无线路由器。本周，D-Link DIR-600被披露存在命令注入漏洞。该漏洞源于lxmldbc_system()函数中的ST参数未能正确过滤构造命令特殊字符、命令等。攻击者可利用此漏洞导致任意命令执行。目前，厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2023-50813
（重要漏洞安全提示内容来源：国家信息安全漏洞共享平台www.cnvd.org.cn）
二、网络安全重点工作提示
1.请对以上漏洞排查、修复。
2.排查使用信息系统中的测试账号、僵尸账号等长期不使用账号，发现后立即清除。排查管理员账户密码是否为出厂默认密码，发现后立即修改，消除弱口令问题。
3.请各网络安全管理员落实工作，提示本部门做好以上工作。
