上周關(guān)注度較高的產(chǎn)品安全漏洞(20190401-20190407)

一、境外廠商產(chǎn)品漏洞

1、VMware Fusion虛擬機(jī)端遠(yuǎn)程代碼執(zhí)行漏洞

VMware Fusion是VMware公司出品的一款適用于Mac操作系統(tǒng)的虛擬機(jī)軟件。攻擊者可通過VMware Fusion在本地啟動(dòng)的WebSocket API接口在所有已安裝VMware Tools的虛擬機(jī)上利用該漏洞執(zhí)行任意代碼。

參考鏈接：

http://www.cnvd.org.cn/flaw/show/CNVD-2019-08856

2、Fortinet FortiOS堆緩沖區(qū)溢出漏洞

Fortinet FortiOS是美國飛塔（Fortinet）公司的一套專用于FortiGate網(wǎng)絡(luò)安全平臺(tái)上的安全操作系統(tǒng)。該系統(tǒng)為用戶提供防火墻、防病毒、IPSec/SSLVPN、Web內(nèi)容過濾和反垃圾郵件等多種安全功能。攻擊者可利用該漏洞導(dǎo)致緩沖區(qū)溢出或堆溢出等。

參考鏈接：

http://www.cnvd.org.cn/flaw/show/CNVD-2019-09073

3、Advantech WebAccess/SCADA不正確的訪問控制漏洞

Advantech WebAccess/SCADA是研華（Advantech）公司的一套基于瀏覽器架構(gòu)的SCADA軟件。該軟件支持動(dòng)態(tài)圖形顯示和實(shí)時(shí)數(shù)據(jù)控制，并提供遠(yuǎn)程控制和管理自動(dòng)化設(shè)備的功能。攻擊者可利用該漏洞導(dǎo)致拒絕服務(wù)。

參考鏈接：

http://www.cnvd.org.cn/flaw/show/CNVD-2019-08947

4、Joomla Sobi2 SobiPro組件SQL注入漏洞

Joomla是一套開源的內(nèi)容管理系統(tǒng)(CMS)。攻擊者可利用漏洞獲取數(shù)據(jù)庫敏感信息。

參考鏈接：http://www.cnvd.org.cn/flaw/show/CNVD-2019-08950

5、KindEditor編輯器存在目錄遍歷漏洞

KindEditor 是一套開源的在線HTML編輯器。攻擊者可利用該漏洞獲取敏感信息。

參考鏈接：

http://www.cnvd.org.cn/flaw/show/CNVD-2019-06739

二、境內(nèi)廠商產(chǎn)品漏洞

1、合優(yōu)網(wǎng)絡(luò)建站系統(tǒng)存在SQL注入漏洞

合優(yōu)網(wǎng)絡(luò)公司專注于在信息科技領(lǐng)域中向客戶提供網(wǎng)絡(luò)商業(yè)解決方案。攻擊者可利用該漏洞獲取數(shù)據(jù)庫敏感信息。

參考鏈接：

http://www.cnvd.org.cn/flaw/show/CNVD-2019-06369

2、海納企業(yè)網(wǎng)站管理系統(tǒng) V2.1存在代碼執(zhí)行漏洞

海納企業(yè)網(wǎng)站管理系統(tǒng)是一款針對(duì)中小型企業(yè)網(wǎng)站開發(fā)的網(wǎng)站程序。攻擊者可利用該漏洞獲取網(wǎng)站權(quán)限。

參考鏈接：

http://www.cnvd.org.cn/flaw/show/CNVD-2019-06370

3、SGO南方衛(wèi)星導(dǎo)航平臺(tái)軟件存在任意代碼執(zhí)行漏洞

廣州南方衛(wèi)星導(dǎo)航儀器有限公司隸屬于南方測繪集團(tuán)，是國內(nèi)首家貫通高精度GNSS技術(shù)產(chǎn)業(yè)鏈，實(shí)現(xiàn)規(guī)?；?、市場化應(yīng)用的國家高新技術(shù)企業(yè)。攻擊者可利用該漏洞執(zhí)行任意代碼。

參考鏈接：

http://www.cnvd.org.cn/flaw/show/CNVD-2019-07682

4、zzzphp V1.6.0后臺(tái)存在代碼執(zhí)行漏洞

zzzphp是采用PHP開發(fā)的免費(fèi)建站整站系統(tǒng)。攻擊者可利用該漏洞注入任意代碼并執(zhí)行。

參考鏈接：

http://www.cnvd.org.cn/flaw/show/CNVD-2019-05488

5、啟明星工作日志W(wǎng)orklog 25.0系統(tǒng)前臺(tái)存在SQL注入漏洞

啟明星工作日志系統(tǒng)Worklog是一款構(gòu)架企業(yè)內(nèi)部協(xié)同辦公的基于B/S的軟件。攻擊者可利用該漏洞對(duì)數(shù)據(jù)庫進(jìn)行操作。

參考鏈接：

http://www.cnvd.org.cn/flaw/show/CNVD-2019-06367

說明：關(guān)注度分析由CNVD秘書處根據(jù)互聯(lián)網(wǎng)用戶對(duì)CNVD漏洞信息查閱情況以及產(chǎn)品應(yīng)用廣泛情況綜合評(píng)定。