漏洞情况
根据国家信息安全漏洞库（CNNVD）统计，本周（2025年1月13日至2025年1月19日）安全漏洞情况如下：
公开漏洞情况
本周CNNVD采集安全漏洞1292个。
接报漏洞情况
本周CNNVD接报漏洞22643个，其中信息技术产品漏洞（通用型漏洞）325个，网络信息系统漏洞（事件型漏洞）129个，漏洞平台推送漏洞22189个。
重大漏洞通报
Fortinet FortiOS和FortiProxy安全漏洞(CNNVD-202501-1747、CVE-2024-55591)：未经身份验证的远程攻击者可以通过向Node.js websocket模块发送特制请求，进而获得超级管理员权限。FortiOS和FortiProxy多个版本均受此漏洞影响。目前，Fortinet官方已发布新版本修复了漏洞，建议用户及时确认产品版本，尽快采取修补措施。
一
公开漏洞情况
根据国家信息安全漏洞库（CNNVD）统计，本周新增安全漏洞1292个，漏洞新增数量有所上升。从厂商分布来看WordPress基金会新增漏洞最多，有359个；从漏洞类型来看，跨站脚本类的安全漏洞占比最大，达到17.11%。新增漏洞中，超危漏洞94个，高危漏洞289个，中危漏洞886个，低危漏洞23个。
（一） 安全漏洞增长数量情况
本周CNNVD采集安全漏洞1292个。
图1 近五周漏洞新增数量统计图
（二） 安全漏洞分布情况
从厂商分布来看，WordPress基金会新增漏洞最多，有359个。各厂商漏洞数量分布如表1所示。
表1 新增安全漏洞排名前五厂商统计表
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
本周国内厂商漏洞136个，睿因公司漏洞数量最多，有62个。国内厂商漏洞整体修复率为57.35%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。
从漏洞类型来看，跨站脚本类的安全漏洞占比最大，达到17.11%。漏洞类型统计如表2所示。
表2 漏洞类型统计表
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
（三） 安全漏洞危害等级与修复情况
本周共发布超危漏洞94个，高危漏洞289个，中危漏洞886个，低危漏洞23个。相应修复率分别为97.87%、74.05%、76.64%和73.91%。根据补丁信息统计，合计1002个漏洞已有修复补丁发布，整体修复率为77.55%。详细情况如表3所示。
表3 漏洞危害等级与修复情况
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
| |
（四） 本周重要漏洞实例
本周重要漏洞实例如表4所示。
表4 本期重要漏洞实例
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
1. Microsoft OLE 资源管理错误漏洞（CNNVD-202501-1944）
Microsoft OLE是美国微软（Microsoft）公司的一种面向对象的技术。
Microsoft OLE存在资源管理错误漏洞，该漏洞源于内存释放后重用。攻击者利用该漏洞可以远程执行代码。以下产品和版本受到影响：Windows Server 2019 (Server Core installation),Windows Server 2022,Windows Server 2022 (Server Core installation),Windows 10 Version 21H2 for 32-bit Systems,Windows 10 Version 21H2 for ARM64-based Systems,Windows 10 Version 21H2 for x64-based Systems,Windows 11 Version 22H2 for ARM64-based Systems,Windows 11 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for x64-based Systems,Windows 10 Version 22H2 for ARM64-based Systems,Windows 10 Version 22H2 for 32-bit Systems,Windows Server 2025 (Server Core installation),Windows 11 Version 23H2 for ARM64-based Systems,Windows 11 Version 23H2 for x64-based Systems,Windows Server 2022, 23H2 Edition (Server Core installation),Windows 11 Version 24H2 for ARM64-based Systems,Windows 11 Version 24H2 for x64-based Systems,Windows Server 2025,Windows 10 for 32-bit Systems,Windows 10 for x64-based Systems,Windows 10 Version 1607 for 32-bit Systems,Windows 10 Version 1607 for x64-based Systems,Windows Server 2016,Windows Server 2016 (Server Core installation),Windows Server 2008 for 32-bit Systems Service Pack 2,Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation),Windows Server 2008 for x64-based Systems Service Pack 2,Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation),Windows Server 2008 R2 for x64-based Systems Service Pack 1,Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation),Windows Server 2012,Windows Server 2012 (Server Core installation),Windows Server 2012 R2,Windows Server 2012 R2 (Server Core installation),Windows 10 Version 1809 for 32-bit Systems,Windows 10 Version 1809 for x64-based Systems,Windows Server 2019。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21298
2. IBM TXSeries for Multiplatforms 安全漏洞（CNNVD-202501-2800）
IBM TXSeries for Multiplatforms是美国国际商业机器（IBM）公司的一种事务处理监控和管理的软件产品，它旨在支持多平台上的分布式事务处理。
IBM TXSeries for Multiplatforms 10.1版本存在安全漏洞，该漏洞源于资源分配不当。攻击者利用该漏洞可以导致程序拒绝服务。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://www.ibm.com/support/pages/node/7172103
3. WordPress plugin Ultimate Member SQL注入漏洞（CNNVD-202501-2708）
WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。
WordPress plugin Ultimate Member 2.9.1版本及之前版本存在SQL注入漏洞，该漏洞源于对用户提供的参数转义不足，以及对现有SQL查询准备不足。攻击者利用该漏洞可以从数据库中提取敏感信息。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://wordpress.org/plugins/ultimate-member/
二
漏洞平台推送情况
本周CNNVD接收漏洞平台推送漏洞22189个。
表5 本周漏洞平台推送情况
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
| |
三
接报漏洞情况
本周CNNVD接报漏洞454个，其中信息技术产品漏洞（通用型漏洞）325个，网络信息系统漏洞（事件型漏洞）129个。
表6 本周漏洞报送情况
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
| |
四
收录漏洞通报情况
本周CNNVD收录漏洞通报136份。
表7 本周漏洞通报情况
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
| |
五
重大漏洞通报
CNNVD关于Fortinet FortiOS和FortiProxy
安全漏洞的通****报
近日，国家信息安全漏洞库（CNNVD）收到关于Fortinet FortiOS和FortiProxy安全漏洞(CNNVD-202501-1747、CVE-2024-55591)情况的报送。未经身份验证的远程攻击者可以通过向Node.js websocket模块发送特制请求，进而获得超级管理员权限。FortiOS和FortiProxy多个版本均受此漏洞影响。目前，Fortinet官方已发布新版本修复了漏洞，建议用户及时确认产品版本，尽快采取修补措施。
1.漏洞介绍
Fortinet FortiOS和Fortinet FortiProxy都是美国飞塔（Fortinet）公司的产品。Fortinet FortiOS是一套专用于FortiGate网络安全平台上的安全操作系统。Fortinet FortiProxy是一种安全的网络代理，通过结合多种检测技术，如Web过滤、DNS过滤、DLP、反病毒、入侵防御等保护用户免受网络攻击。FortiOS和FortiProxy中存在一个身份认证绕过漏洞。未经身份验证的远程攻击者可以通过向Node.js websocket模块发送特制请求利用该漏洞，进而获得超级管理员权限。
2.危害影响
FortiOS 7.0.0版本-7.0.16版本，FortiProxy 7.2.0版本-7.2.12版本，FortiProxy 7.0.0版本-7.0.19版本均受漏洞影响。
3.修复建议
目前，Fortinet官方已发布升级补丁修复了该漏洞，建议用户及时确认产品版本，尽快采取修补措施。官方参考链接如下：
https://fortiguard.fortinet.com/psirt/FG-IR-24-535
题外话
黑客&网络安全如何学习
今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。
1.学习路线图
攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。
2.视频教程
网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我们和网安大厂360共同研发的的网安视频教程，之前都是内部资源，专业方面绝对可以秒杀国内99%的机构和个人教学！全网独一份，你不可能在网上找到这么专业的教程。
内容涵盖了入门必备的操作系统、计算机网络和编程语言等初级知识，而且包含了中级的各种渗透技术，并且还有后期的CTF对抗、区块链安全等高阶技术。总共200多节视频，200多G的资源，不用担心学不全。
因篇幅有限，仅展示部分资料，需要见下图即可前往获取
🐵这些东西我都可以免费分享给大家，需要的可以点这里自取👉:网安入门到进阶资源
3.技术文档和电子书
技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。
因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取
🐵这些东西我都可以免费分享给大家，需要的可以点这里自取👉:网安入门到进阶资源
4.工具包、面试题和源码
“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。
还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。
🐵这些东西我都可以免费分享给大家，需要的可以点这里自取👉:网安入门到进阶资源
最后就是我这几年整理的网安方面的面试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。
这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。
参考解析：深信服官网、奇安信官网、Freebuf、csdn等
内容特点：条理清晰，含图像化表示更加易懂。
内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…
因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取
🐵这些东西我都可以免费分享给大家，需要的可以点这里自取👉:网安入门到进阶资源
————————————————
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
侵权，请联系删除。
扫一扫
1226
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
