cnvd 【安全提示】CNVD发布上周关注度较高的产品安全漏洞

海外制造商产品的弱点

1.Google Android MediaProvider权限控制漏洞Android是Google和开放手持设备联盟基于Linux的开源操作系统。Android-11 MediaProvider存在权限控制漏洞。该漏洞源于权限绕过，攻击者可以使用权限绕过来访问内容解析器和媒体存储条目，从而导致本地权限提升。参考链接:https://www.cnvd.org.cn/flaw/show/CNVD-2020-54674

2.Artifex Ghostscript代码执行漏洞Artifex Ghostscript是美国Artifex软件公司的开源PostScript解析器，可以在非Postscript打印机上显示Postscript文件和打印Postscript文件。在9.24之前的artifex ghostscript中存在一个安全漏洞，这是由于程序在处理/invalidaccess异常时未能正确检测到“恢复权限”而导致的。攻击者可以通过提交巧尽心思构建的PostScript来利用此漏洞执行代码。参考链接:https://www.cnvd.org.cn/flaw/show/CNVD-2020-54477

3.Telmat AccessLog代码注入漏洞Telmat AccessLog是法国Telmat的一款访问日志监控产品。该产品可以根据访问日志保护公共和私有网络。6.0之前的Telmat Access Log中存在一个代码注入漏洞，这是由于网络系统或产品在从外部输入数据构造可执行命令的过程中没有正确过滤特殊元素造成的。攻击者可以利用此漏洞获得根外壳权限。参考链接:https://www.cnvd.org.cn/flaw/show/CNVD-2020-54312

4.Zoho managing ine Applications Manager SQL注入漏洞Zoho managing ine Applications Manager是美国卓浩公司的IT运维管理解决方案。该产品具有应用性能管理、故障管理、报告生成和SLA管理等功能。14740之前的Zoho Management Applications Manager中存在一个SQL注入漏洞，这是由于基于数据库的应用中缺乏对外部输入SQL语句的验证。攻击者可以利用此漏洞执行非法的SQL命令。参考链接:https://www.cnvd.org.cn/flaw/show/CNVD-2020-54780

5.Observium SQL注入漏洞Observium是一个低维护、自动发现的网络监控平台，支持多种设备类型、平台和操作系统。天文台有SQL注入漏洞。攻击者可以利用此漏洞，通过includes/authenticate.inc.php中默认URI的Cookie头注入恶意SQL语句，从而实现身份验证绕过。参考链接:https://www.cnvd.org.cn/flaw/show/CNVD-2020-54789

国内制造商产品的弱点

1.网络游戏加速器有地方维权漏洞。网络游戏加速器是乐智科技有限公司旗下的一款网络游戏加速软件，可以有效解决延迟高、登录困难、掉话频繁等问题。，并保证游戏环境的流畅。网络游戏加速器有一个本地特权提升漏洞，攻击者可以利用它来获得服务器管理权限。参考链接:https://www.cnvd.org.cn/flaw/show/CNVD-2020-53550

2.安徽希望网络科技有限公司网站建设系统存在SQL注入漏洞，安徽希望网络科技有限公司是一家主要从事网站建设、网络推广、网络营销的互联网基础产品服务商。安徽希望网络科技有限公司网站建设系统存在一个SQL注入漏洞，攻击者可以利用该漏洞获取敏感的数据库信息。参考链接:https://www.cnvd.org.cn/flaw/show/CNVD-2020-48244

3.北京网瑞达科技有限公司的资源访问控制系统存在命令执行漏洞。资源访问控制系统是一种方便的访问工具，它为用户提供无需客户端的资源。北京网瑞达科技有限公司的资源访问控制系统中存在一个命令执行漏洞，攻击者可以利用该漏洞获得对网站服务器的控制。参考链接:https://www.cnvd.org.cn/flaw/show/CNVD-2020-54319

4.石家庄第一广告有限公司网站建设系统存在SQL注入漏洞，石家庄第一广告有限公司是一家致力于企业品牌策划和营销策划的公司。石家庄第一广告有限公司网站建设系统存在一个SQL注入漏洞，攻击者可以利用该漏洞获取敏感的数据库信息。参考链接:https://www.cnvd.org.cn/flaw/show/CNVD-2020-54841

5.北京四方继电保护自动化有限公司网络控制存在命令执行漏洞。CyberControl是一个灵活定制的自动化监控软件平台，可以在各种操作系统上运行，应用领域包括大型工业系统的监控主站到基于平板电脑的本地监控系统。北京四方继电保护自动化有限公司网络控制存在命令执行漏洞..攻击者可以利用漏洞执行任意命令。参考链接:https://www.cnvd.org.cn/flaw/show/CNVD-2020-53356