上周关注度较高的产品安全漏洞

一、境外厂商产品漏洞

1、Adobe Genuine Software Service访问控制错误漏洞

Adobe Genuine Software Service是美国奥多比（Adobe）公司的一款正版软件服务。Adobe Genuine Software Service存在访问控制错误漏洞，本地经过身份验证的攻击者可以利用此漏洞在当前用户的上下文中实现权限提升。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-74105

2、VMware vCenter Server拒绝服务漏洞（CNVD-2021-74280）

Vmware VMware vCenter Server是美国威睿（Vmware）公司的一套服务器和虚拟化管理软件。该软件提供了一个用于管理VMware vSphere环境的集中式平台，可自动实施和交付虚拟基础架构。VMware vCenter Server存在拒绝服务漏洞，该漏洞源于VAPI服务消耗过多内存，攻击者可利用该漏洞导致拒绝服务。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-74280

3、Microsoft Windows Server远程代码执行漏洞（CNVD-2021-74292）

Microsoft Windows DNS是美国微软（Microsoft）公司的一个域名解析服务。域名系统（DNS）是包含TCP / IP的行业标准协议套件之一，并且DNS客户端和DNS服务器共同为计算机和用户提供计算机名称到IP地址的映射名称解析服务。Microsoft Windows Server中的Windows DNS Server存在远程代码执行漏洞，攻击者可利用该漏洞实现远程代码执行。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-74292

4、Adobe Illustrator 2021操作系统命令注入漏洞

Adobe Illustrator 2021是一款矢量绘图软件。Adobe Illustrator 2021 25.2.3及之前版本存在安全漏洞。攻击者可利用该漏洞在当前用户的上下文中实现任意代码执行。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-74108

5、FFmpeg缓冲区溢出漏洞（CNVD-2021-74087）

FFmpeg是FFmpeg团队的一套可录制、转换以及流化音视频的完整解决方案。FFmpeg存在安全漏洞，允许攻击者可利用该漏洞造成拒绝服务或其他未指定的影响。

参考链接：https://www.cnvd.org.cn/flaw/show/CNVD-2021-74087

二、境内厂商产品漏洞

1、MetInfo SQL注入漏洞（CNVD-2021-74293）

MetInfo采用PHP+Mysql架构，是一款对SEO非常友好,功能全面，支持多语言、响应式展示，极其适合企业、公司网站建设的cms建站系统。MetInfo 7.0.0版存在SQL注入漏洞，攻击者可通过admin/?n=logs&c=index&a=dodel利用该漏洞进行SQL注入攻击。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-74293

2、Maccms跨站脚本漏洞（CNVD-2021-74101）

Maccms是一套基于PHP的影视内容管理系统（CMS）。Maccms存在安全漏洞，该漏洞源于产品中后台管理员文章管理模块未能对 Chinese and English字段的数据做有效验证。攻击者可通过该漏洞获取管理员和用户的Cookie。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-74101

3、四创科技有限公司山洪灾害监测预警发布平台存在SQL注入漏洞

四创科技有限公司是中国减灾兴利信息服务提供商。四创科技有限公司山洪灾害监测预警发布平台存在SQL注入漏洞，攻击者可利用漏洞获取数据库敏感信息。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-62143

4、北京星网锐捷网络技术有限公司NBR_RGOS 11.9存在文件包含漏洞

北京星网锐捷网络技术有限公司是一家主要经营信息系统集成服务；因特网虚拟专用网服务；互联网管理服务等项目的公司。北京星网锐捷网络技术有限公司NBR_RGOS 11.9存在文件包含漏洞，攻击者可利用该漏洞获取敏感信息。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-62983

5、北京亚鸿世纪科技发展有限公司企业侧互联网综合管理平台存在命令执行漏洞

北京亚鸿世纪科技发展有限公司是一家专注于互联网空间数据治理、网络与信息安全及数据增值解决方案及服务的高科技公司。北京亚鸿世纪科技发展有限公司企业侧互联网综合管理平台存在命令执行漏洞，攻击者可利用该漏洞获取服务器控制权。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2021-64012

说明：关注度分析由CNVD秘书处根据互联网用户对CNVD漏洞信息查阅情况以及产品应用广泛情况综合评定。