CNNVD：信息安全漏洞周报（2021年第38期）
公开漏洞情况
本周CNNVD采集安全漏洞427个。
接报漏洞情况
本周CNNVD接报漏洞1666个，其中信息技术产品漏洞（通用型漏洞）44个，网络信息系统漏洞（事件型漏洞）429个，漏洞平台推送漏洞1193个。
重大漏洞预警
VMware多个安全漏洞：包括VMware vCenter Server 授权问题漏洞(CNNVD-202109-1479、CVE-2021-22017)、VMware vCenter Server 权限许可和访问控制问题漏洞(CNNVD-202109-1482、CVE-2021-21991)等9个漏洞。VMware vCenter Server 6.5、VMware vCenter Server 6.7、VMware vCenter Server7.0版本均受漏洞影响。目前，VMware官方已经发布漏洞修复补丁，建议用户及时确认是否受到漏洞影响，尽快采取修补措施。
公开漏洞情况
根据国家信息安全漏洞库（CNNVD）统计，本周新增安全漏洞427个，漏洞新增数量有所下降。从厂商分布来看WordPress基金会新增漏洞最多，有42个；从漏洞类型来看，代码问题类的安全漏洞占比最大，达到11.71%。新增漏洞中，超危漏洞16个，高危漏洞144个，中危漏洞255个，低危漏洞12个。相应修复率分别为93.75%、98.61%、95.29%和100%。根据补丁信息统计，合计412个漏洞已有修复补丁发布，整体修复率为96.49%。
（一）安全漏洞增长数量情况
本周CNNVD采集安全漏洞427个。
图1 近五周漏洞新增数量统计图
（二）安全漏洞分布情况
从厂商分布来看，WordPress基金会新增漏洞最多，有42个。各厂商漏洞数量分布如表1所示。
表1 新增安全漏洞排名前五厂商统计表
本周国内厂商漏洞9个，友讯公司漏洞数量最多，有5个。国内厂商漏洞整体修复率为100%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。
从漏洞类型来看, 代码问题类的安全漏洞占比最大，达到11.71%。漏洞类型统计如表2所示。
表2 漏洞类型统计表
（三）安全漏洞危害等级与修复情况
本周共发布超危漏洞16个，高危漏洞144个，中危漏洞255个，低危漏洞12个。相应修复率分别为93.75%、98.61%、95.29%和100%。根据补丁信息统计，合计412个漏洞已有修复补丁发布，整体修复率为96.49%。详细情况如表3所示。
表3 漏洞危害等级与修复情况
（四）本周重要漏洞实例
本期漏重要洞实例如表4所示。
表4 本期重要漏洞实例
1. VMware vCenter Server 代码问题漏洞（CNNVD-202109-1486）
Vmware VMware vCenter Server是美国威睿（Vmware）公司的一套服务器和虚拟化管理软件。该软件提供了一个用于管理VMware vSphere环境的集中式平台，可自动实施和交付虚拟基础架构。
VMware vCenter Server 存在代码问题漏洞，该漏洞源于在Analytics服务中上传文件时文件验证不足导致。未经身份验证的攻击者可以通过网络访问443端口，在目标系统上传和执行任意文件。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://www.vmware.com/security/advisories/VMSA-2021-0020.html
2. Google Chrome 资源管理错误漏洞（CNNVD-202109-1506）
Google Chrome是美国谷歌（Google）公司的一款Web浏览器。
Google Chrome 存在资源管理错误漏洞，该漏洞源于网络系统或产品对系统资源（如内存、磁盘空间、文件等）的管理不当。目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://chromereleases.googleblog.com/2021/09/stable-channel-update-for-desktop_21.html
3. Amazon WorkSpaces 注入漏洞（CNNVD-202109-1598）
Amazon WorkSpaces是美国亚马逊（Amazon）公司的一种完全托管的持久桌面虚拟化服务，可让您的用户随时随地通过任何受支持的设备访问他们需要的数据、应用程序和资源。
Amazon WorkSpaces client 存在注入漏洞，该漏洞源于在3.1.9 版本之前的 Amazon AWS WorkSpaces 客户端中，workspaces URL处理程序中的参数注入可能会导致远程代码执行。
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://docs.aws.amazon.com/workspaces/latest/userguide/amazon-workspaces-windows-client.html#windows-release-notes
二、漏洞平台推送情况
本周漏洞平台推送漏洞1193个。
三、接报漏洞情况
本周CNNVD接报漏洞473个，其中信息技术产品漏洞（通用型漏洞）44个，网络信息系统漏洞（事件型漏洞）429个。
表5 本周漏洞报送情况
四、接报漏洞预警情况
本周CNNVD接报漏洞预警55份
五、重大漏洞预警
VMware vCenter Server多个安全漏洞的预警
近日，VMware 官方发布了多个安全漏洞公告，包括VMware vCenter Server 授权问题漏洞(CNNVD-202109-1479、CVE-2021-22017)、VMware vCenter Server 权限许可和访问控制问题漏洞(CNNVD-202109-1482、CVE-2021-21991)等9个漏洞。VMware vCenter Server 6.5、VMware vCenter Server 6.7、VMware vCenter Server 7.0版本均受漏洞影响。成功利用上述漏洞的攻击者可实现远程代码攻击、未授权访问等操作，最终完全控制相关设备。目前，VMware官方已经发布漏洞修复补丁，建议用户及时确认是否受到漏洞影响，尽快采取修补措施。
.漏洞介绍
VMware vCenter Server是美国威睿（Vmware）公司的一套服务器和虚拟化管理软件。该软件提供了一个用于管理VMware vSphere环境的集中式平台，可自动实施和交付虚拟基础架构。
1、VMware vCenter Server 授权问题漏洞(CNNVD-202109-1479、CVE-2021-22017)
VMware vCenter Server 存在授权问题漏洞，该漏洞源于对URL规范化存在缺陷。远程攻击者可利用该漏洞发送一个特制的URL，绕过认证并访问内部端点。
2、VMware vCenter Server 权限许可和访问控制问题漏洞(CNNVD-202109-1482、CVE-2021-21991)
VMware vCenter Server 存在权限许可和访问控制问题漏洞，该漏洞源于vCenter Server处理会话令牌的方式存在问题。本地用户可以通过vSphere Client(HTML5)或vCenter Server vSphere Web Client (FLEX Flash)将用户权限升级为管理员权限。
3、VMware vCenter Server 安全漏洞(CNNVD-202109-1483、CVE-2021-22015)
VMware vCenter Server 存在安全漏洞，该漏洞源于系统设置的文件和文件夹默认权限不正确。本地用户在vCenter Server一体机中可以将访问权限提升为root权限。
4、VMware vCenter Server 代码问题漏洞(CNNVD-202109-1484、CVE-2021-21993)
VMware vCenter Server 存在代码问题漏洞，该漏洞源于对用户提供的输入验证不足导致。远程用户可以发送一个特别设计的HTTP请求，进而上传文件。
5、VMware vCenter Server 代码问题漏洞(CNNVD-202109-1486、CVE-2021-22005)
VMware vCenter Server 存在代码问题漏洞，该漏洞源于在Analytics服务中上传文件时文件验证不足导致。未经身份验证的攻击者可以通过网络访问443端口，在目标系统上传和执行任意文件。
6、VMware vCenter Server 代码注入漏洞(CNNVD-202109-1487、CVE-2021-22014)
VMware vCenter Server 存在代码注入漏洞，该漏洞源于VAMI(虚拟设备管理基础设施)中的输入验证不正确。通过身份验证的远程VAMI用户可以向5480端口发送一个特别设计的请求，并在目标系统上执行任意代码。
7、VMware vCenter Server 授权问题漏洞(CNNVD-202109-1489、CVE-2021-22006)
VMware vCenter Server 存在授权问题漏洞，利用该漏洞远程攻击者可以在未经授权的情况下访问系统。
8、VMware vCenter Server 授权问题漏洞(CNNVD-202109-1492、CVE-2021-22011)
VMware vCenter Server 存在授权问题漏洞，该漏洞源于vCenter Server Content Library中API端点缺少认证。未经身份验证的攻击可以通过网络访问443端口，利用漏洞获得对系统的访问权限，并执行虚拟机网络设置操作。
9、VMware vCenter Server 授权问题漏洞(CNNVD-202109-1493、CVE-2021-22012)
VMware vCenter Server 存在授权问题漏洞，该漏洞源于缺少对设备管理API的身份验证。远程未经身份验证的攻击者可利用该漏洞访问443端口，从而访问系统上的敏感信息。
.危害影响
VMware vCenter Server 6.5、VMware vCenter Server 6.7、VMware vCenter Server 7.0均受漏洞影响。具体影响范围可访问下列链接进行查看：
https://www.vmware.com/security/advisories/VMSA-2021-0020.html
.修复建议
目前，VMware官方已经发布漏洞修复补丁，建议用户及时确认是否受到漏洞影响，采取修补措施。官方链接如下：
https://www.vmware.com/security/advisories/VMSA-2021-0020.html
