每周疫情分析（2016年9月14日）-信息技术中心

网络安全

每周疫情分析（2016年9月14日）

发布时间：2016-09-14 阅读次数：195

1、Google产品安全漏洞

Google Chrome是美国谷歌（Google）公司开发的一款Web浏览器。PDFium是其中的一个开源PDF渲染引擎。本周，上述产品被披露存在堆缓冲区溢出和任意代码执行漏洞，攻击者可利用漏洞执行任意代码。

CNVD 收录的相关漏洞包括：Google ChromePDFium堆缓冲区溢出漏洞（CNVD-2016-07196、CNVD-2016-07197、CNVD-2016-07206、 CNVD-2016-07207）、Google Chrome任意代码执行漏洞（CNVD-2016-07195、CNVD-2016-07209、CNVD-2016-07210、CNVD- 2016-07215）等。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

参考链接：

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07196

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07197

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07206

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07207

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07195

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07209

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07210

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07215

2、PHP产品安全漏洞

PHP是一种开源的通用计算机脚本语言。本周，该产品被披露存本地拒绝服务漏洞，攻击者可利用漏洞发起拒绝服务攻击。

CNVD 收录的相关漏洞包括：PHP 5.0.0’fbird_[p]connect()’本地拒绝服务漏洞、PHP 5.0.0’snmprealwalk()’本地拒绝服务漏洞、PHP 5.0.0’snmpset()’本地拒绝服务漏洞、PHP 5.0.0’snmpwalk()’本地拒绝服务漏洞、PHP 5.0.0’snmpwalkoid()’本地拒绝服务漏洞、PHP 5.0.0’xmldocfile()’ 本地拒绝服务漏洞、PHP’AppendIterator::append’本地拒绝服务漏洞、 PHPJsonSerializable::jsonSerialize json_encode本地拒绝服务漏洞等。目前，厂商尚未发布该漏洞的修补程序。请用户随时关注厂商主页，以获取最新版本。

参考链接： http://www.cnvd.org.cn/flaw/show/CNVD-2016-07222

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07220

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07223

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07221

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07219

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07224

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07399

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07400

3、Zzcms产品安全漏洞

ZZCMS突出招商及供求功能，可快速搭建产品招商网站。本周，该产品被披露存在SQL注入漏洞，攻击者可利用漏洞获取数据库敏感数据。

CNVD 收录的相关漏洞包括：zzcms最新产品版/zx/search.php页面存在SQL注入漏洞、zzcms最新产品版/zs/search.php页面存在SQL注入漏洞、zzcms存在SQL盲注漏洞、zzcmszs/contrast.php存在SQL注入漏洞、zzcmsuser/del.php 存在SQL注入漏洞、zzcms inc/stopsqlin.php存在SQL注入漏洞、zzcms最新产品版/pp/search.php页面存在SQL注入漏洞、zzcms/dl /show.php存在SQL注入漏洞等。上述漏洞的综合评级为“高危”。目前，厂商尚未发布该漏洞的修补程序。请用户随时关注厂商主页，以获取最新版本。

参考链接： http://www.cnvd.org.cn/flaw/show/CNVD-2016-07227

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07228

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07186

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07188

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07189

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07190

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07191

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07193

4、Red Hat产品安全漏洞

Red Hat OpenShift是美国红帽（Red Hat）公司的一款平台即服务（PaaS）云计算平台。OpenShiftEnterprise是一个开源的私有云版本。Red Hat JBoss BPMS是一套集合了JBoss BRMS所有功能的业务流程管理平台。Red Hat oVirtEngine是一套开源的虚拟化管理平台。RESTEasy是JBoss的开源项目之一，是一个RESTful WebServices框架。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞泄露敏感信息或发起拒绝服务攻击等。

CNVD收录的相关漏洞包括：Red HatOpenShift Enterprise拒绝服务漏洞、Red Hat OpenShift Enterprise拒绝服务漏洞（CNVD-2016-07357）、Red Hat JBossBPMS存在多个HTML注入漏洞、Red Hat JBoss BPMS跨站请求伪造漏洞、Red Hat oVirtEngine本地信息泄露漏洞、Red Hat RESTEasy信息泄露漏洞、Red HatRESTEasy拒绝服务漏洞。目前，厂商已经发布了“Red Hat OpenShift Enterprise拒绝服务漏洞、Red HatOpenShift Enterprise拒绝服务漏洞（CNVD-2016-07357）”的修补程序。

参考链接： http://www.cnvd.org.cn/flaw/show/CNVD-2016-07356

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07357

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07326

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07325

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07270

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07272

http://www.cnvd.org.cn/flaw/show/CNVD-2016-07273

5、ArcServe UDP服务器路径权限提升漏洞

Arcserve UDP是一套统一数据保护解决方案。本周，Arcserve UDP被披露存在权限提升漏洞。攻击者可利用漏洞在搜索路径目录放置一个恶意的二进制和提升权限。目前，互联网上已经出现了针对该漏洞的攻击代码，厂商尚未发布该漏洞的修补程序。请用户随时关注厂商主页，以获取最新版本。

参考链接：http://www.cnvd.org.cn/flaw/show/CNVD-2016-07398