华云安漏洞安全周报【第109期】

诸葛龙飞

根据国家信息安全漏洞库（CNNVD）统计，本周（2022.11.07~2022.11.13）CNNVD接报漏洞233个，其中信息技术产品漏洞（通用型漏洞）132个，网络信息系统漏洞（事件型漏洞）101个，其中华云安报送4个；CNNVD接报漏洞预警71份，其中华云安报送预警2份！
本周重点关注漏洞包括：Lenovo Notebook BIOS 11月多个安全漏洞、CVE-2022-31687-VMware Workspace ONE Assist未授权访问漏洞、CVE-2021-26360-AMD Secure Processor 代码执行漏洞、Microsoft 11月多个安全漏洞、CVE-2022-38387-IBM Cloud Pak for Security 远程命令执行漏洞。漏洞影响范围较广，华云安建议相关用户做好资产自查与预防工作。

01 Lenovo Notebook BIOS 11月多个安全漏洞
威胁等级：严重
漏洞描述：
2022年11月8日，华云安思境安全团队发现Lenovo官网发布Lenovo Notebook BIOS更新，此次安全更新发布了3个漏洞补丁（CVE-2022-3430、CVE-2022-3431、CVE-2022-3432），主要覆盖了ThinkBook、IdeaPad 和 Yoga 等多种笔记本电脑型号。对于CVE-2022-3432，由于Ideapad Y700-14ISK已到达生命周期，Lenovo将不再支持维护，受影响用户应当注意防范。对此，华云安建议相关用户及时到 Lenovo 官方下载安装对应的安全补丁进行更新！
情报来源：
https://support.lenovo.com/us/en/product_security/LEN-94952

02 CVE-2022-31687-VMware Workspace ONE Assist未授权访问漏洞
威胁等级：超危
漏洞描述：
2022年11月8日，华云安思境安全团队发现 VMware 官方发布安全更新，披露了 VMware Workspace ONE Assist 22.10 之前版本存在安全漏洞。VMware Workspace ONE Assist是一个实时远程支持解决方案，允许VMware Workspace ONE UEM 管理员实时远程访问设备并进行故障排除，同时尊重最终用户的隐私。该漏洞源于包含一个访问控制漏洞，该漏洞被攻击者利用后，攻击者可在无需对应用程序进行身份验证的情况下获得管理访问权限。
情报来源：
https://www.vmware.com/security/advisories/VMSA-2022-0028.html

03 CVE-2021-26360-AMD Secure Processor 代码执行漏洞
威胁等级：高危
漏洞描述：
2022年11月9日，华云安思境安全团队发现 AMD 官方发布安全更新，披露了 AMD Secure Processor (ASP) 存在安全漏洞。AMD Secure Processor（ASP）是一款独立的 ARM Coretex-A5 芯片。该漏洞是由于获取系统访问权的攻击者可以对SOC寄存器的安全配置进行未经授权修改，从而破坏加密内存内容，导致任意代码执行。
情报来源：
https://www.amd.com/en/corporate/product-security/bulletin/amd-sb-1029

04 Microsoft 11月多个安全漏洞
威胁等级：严重
漏洞描述：
2022年11月9日，华云安思境安全团队发现Microsoft官方发布11月份安全更新，此次安全更新发布了64个漏洞的补丁，主要覆盖了以下组件：Microsoft Windows and Windows Components; Azure and Azure Real Time Operating System; Microsoft Dynamics; Exchange Server; Office and Office Components; SysInternals; Visual Studio; SharePoint Server; Network Policy Server (NPS); Windows BitLocker; Linux Kernel 和Open Source Software等。其中包含11个严重漏洞，53个高危漏洞。对此，华云安建议相关用户及时到 Microsoft 官方下载安装对应的安全补丁进行更新！
情报来源：
https://msrc.microsoft.com/update-guide/releaseNote/2022-Nov

05 CVE-2022-38387-IBM Cloud Pak for Security 远程命令执行漏洞
威胁等级：高危
漏洞描述：
2022年11月11日，华云安思境安全团队发现 IBM官方发布安全更新，披露了 IBM Cloud Pak for Security (CP4S) 1.10.0.0至1.10.2.0版本存在安全漏洞。IBM Cloud Pak for Security是一款应用软件，一个开放的安全平台，可连接到现有的数据源，能够更快地采取自动化行动。该漏洞可被通过身份验证的远程攻击者，构建发送特定编写的请求在系统上执行任意命令。
情报来源：
https://www.ibm.com/support/pages/node/6833584

华云安
华云安是一家深耕于网络空间安全领域的高新技术企业，专注于漏洞研究、攻防对抗、产品研发、安全服务；致力于对主动防御、情报协同、溯源反制能力进行融合创新，以攻击者视角构建攻击面管理安全能力平台，提供新一代网络安全对抗防御解决方案。公司服务于国家网络安全监管部门及金融、能源、教育、医疗等关键信息基础设施行业。
公司持续构建的原子化安全能力平台，秉承数据驱动、AI引领的理念，通过基于知识图谱的安全风险库和场景化人工智能引擎两大核心技术，结合不同的业务需求灵活组合安全能力，实现一个平台覆盖所有安全能力。

旋叶弄舞

前排支持下了哦~