中国移动网络安全预警通告.docx
《中国移动网络安全预警通告.docx》由会员分享，可在线阅读，更多相关《中国移动网络安全预警通告.docx（13页珍藏版）》请在冰豆网上搜索。
中国移动网络安全预警通告
中国移动网络安全预警通告
文档编号：
安全预警信息公告-2012年11月19日-SA-121119-12040
通告概述
本期通告共发布3个安全漏洞信息
其中:
3个安全漏洞风险级别为中度:
TP-LINKTL-WR841N路由器的本地文件包含漏洞
MicrosoftOfficeExcel的拒绝服务漏洞
GoogleWeb工具包未指定的跨站脚本漏洞
建议您立刻安装相关补丁，或者采取临时的措施！
通告分析
Ø安全公告简介：
1.TP-LINKTL-WR841N路由器到本地文件包含漏洞很容易的，因为它没有充分清理用户提供的输入。
攻击者可以利用这个漏洞来查看文件和执行本地脚本的背景下，受影响的设备。
这可能有助于进一步攻击。
2.MicrosoftOffice是微软发布的非常流行的办公软件套件。
MicrosoftOffice2007（又名Office12）中的MicrosoftExcelViewer（又名Xlview.exe）和Excel中存在漏洞。
远程攻击者利用该漏洞通过特制的电子表格文件（如带有电池电压数据的.xls文件）导致拒绝服务（读访问冲突和应用程序崩溃）。
3.GoogleWebToolkit中存在未明跨站脚本漏洞，该漏洞源于没有验证用户提供的输入。
攻击者利用该漏洞在受影响站点上下文中不知情用户浏览器中执行任意脚本代码，窃取基于cookie认证证书进而发起其他攻击。
安全补丁简介：
详见以下内容。
目录
中国移动网络安全预警通告1
通告概述1
漏洞预警部分5
一、操作系统安全漏洞5
Windows5
Linux5
Solaris5
AIX5
HP-UX5
MacOS5
其他系统5
二、数据库系统安全漏洞6
DB26
Oracle6
MicrosoftSQLServer6
MySQL6
Informix6
Firebird6
Sybase6
其他数据库系统6
三、网络设备安全漏洞7
Cisco7
Juniper7
Huawei7
其他网络设备7
漏洞名称:
TP-LINKTL-WR841N路由器的本地文件包含漏洞7
四、WEB应用安全漏洞8
Apache8
WebSphere8
Tomcat8
WebLogic8
BEA9
其他WEB应用9
漏洞名称:
GoogleWeb工具包未指定的跨站脚本漏洞9
五、DNS应用安全漏洞10
BIND10
WindowsDNS10
其它DNS10
六、邮件系统以及邮件服务器10
七、其他应用安全漏洞10
网管软件10
办公软件11
漏洞名称:
MicrosoftOfficeExcel的拒绝服务漏洞11
编程软件13
及时通讯软件13
其他软件13
补丁通告部分14
一、操作系统补丁14
Windows14
Linux14
Solaris14
AIX14
HP-UX14
MacOSX14
二、数据库系统补丁14
DB214
Oracle15
MicrosoftSQLServer15
MySQL15
Informix15
Sybase15
三、网络设备补丁15
Cisco15
Juniper15
Huawei15
其他网络设备15
四、其他应用程序补丁16
网管软件16
办公软件16
编程软件16
及时通讯软件16
其他软件16
漏洞预警部分
一、操作系统安全漏洞
Windows
无
Linux
无
Solaris
无
AIX
无
HP-UX
无
MacOS
无
其他系统
无
二、数据库系统安全漏洞
DB2
无
Oracle
无
MicrosoftSQLServer
无
MySQL
无
Informix
无
Firebird
无
Sybase
无
其他数据库系统
无
三、网络设备安全漏洞
Cisco
无
Juniper
无
Huawei
无
其他网络设备
漏洞名称:
TP-LINKTL-WR841N路由器的本地文件包含漏洞
漏洞名称
TP-LINKTL-WR841N路由器的本地文件包含漏洞
发布日期
2012-10-29
漏洞级别
中度
CVEID
暂无
BugTraqID
56320
CNCERTID
暂无
领信ID
LVID-20121031-02
受影响系统/软件
不受影响系统/软件
漏洞起因
输入验证错误
危害
其它
攻击所需条件
漏洞简述
TP-LINKTL-WR841N路由器到本地文件包含漏洞很容易的，因为它没有充分清理用户提供的输入。
攻击者可以利用这个漏洞来查看文件和执行本地脚本的背景下，受影响的设备。
这可能有助于进一步攻击。
检验方法
暂无
解决措施
应急措施：
N/A
根除措施：
目前厂商暂未发布补丁信息，请关注厂商主页以便及时下载更新：
http:
//www.tp-
参考链接
公开漏洞库：
BUGTRAQID：
CVEID：
N/A
其他链接：
四、WEB应用安全漏洞
Apache
无
WebSphere
无
Tomcat
无
WebLogic
无
BEA
无
其他WEB应用
漏洞名称:
GoogleWeb工具包未指定的跨站脚本漏洞
漏洞名称
GoogleWeb工具包未指定的跨站脚本漏洞
发布日期
2012-10-30
漏洞级别
中度
CVEID
CVE-2012-4563
BugTraqID
56336
CNCERTID
暂无
领信ID
LVID-20121030-07
受影响系统/软件
不受影响系统/软件
漏洞起因
其它错误类型
危害
其它
攻击所需条件
漏洞简述
GoogleWebToolkit中存在未明跨站脚本漏洞，该漏洞源于没有验证用户提供的输入。
攻击者利用该漏洞在受影响站点上下文中不知情用户浏览器中执行任意脚本代码，窃取基于cookie认证证书进而发起其他攻击。
检验方法
暂无
解决措施
应急措施：
N/A
根除措施：
目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：
参考链接
公开漏洞库：
BUGTRAQID：
CVEID：
http:
//cve.mitre.org/cgi-bin/cvename.cgi?
name=CVE-2012-4563
其他链接：
五、DNS应用安全漏洞
BIND
无
WindowsDNS
无
其它DNS
无
六、邮件系统以及邮件服务器
无
七、其他应用安全漏洞
网管软件
无
办公软件
漏洞名称:
MicrosoftOfficeExcel的拒绝服务漏洞
漏洞名称
MicrosoftOfficeExcel的拒绝服务漏洞
发布日期
2012-10-11
漏洞级别
中度
CVEID
CVE-2012-5672
BugTraqID
56309
CNCERTID
暂无
领信ID
LVID-20121011-15
受影响系统/软件
MicrosoftOffice20070
+
MicrosoftAccess20070
+
MicrosoftAccess20070
+
MicrosoftExcel2003
+
MicrosoftExcel20070
+
MicrosoftExcel20070
+
MicrosoftFrontPage2003
+
MicrosoftGroove20070
+
MicrosoftGroove20070
+
MicrosoftInfoPath2003
+
MicrosoftInfoPath20070
+
MicrosoftInfoPath20070
+
MicrosoftOfficeCommunicator20070
+
MicrosoftOfficeCommunicator20070
+
MicrosoftOne
不受影响系统/软件
漏洞起因
其它错误类型
危害
远程拒绝服务
攻击所需条件
漏洞简述
MicrosoftOffice是微软发布的非常流行的办公软件套件。
MicrosoftOffice2007（又名Office12）中的MicrosoftExcelViewer（又名Xlview.exe）和Excel中存在漏洞。
远程攻击者利用该漏洞通过特制的电子表格文件（如带有电池电压数据的.xls文件）导致拒绝服务（读访问冲突和应用程序崩溃）。
检验方法
暂无
解决措施
应急措施：
N/A
根除措施：
目前厂商暂未发布补丁信息，请关注厂商主页以便及时下载更新：
参考链接
公开漏洞库：
BUGTRAQID：
CVEID：
http:
//cve.mitre.org/cgi-bin/cvename.cgi?
name=CVE-2012-5672
其他链接：
MicrosoftExcel主页（Microsoft）
编程软件
无
及时通讯软件
无
其他软件
无
补丁通告部分
一、操作系统补丁
Windows
无
Linux
无
Solaris
无
AIX
无
HP-UX
无
MacOSX
无
二、数据库系统补丁
DB2
无
Oracle
无
MicrosoftSQLServer
无
MySQL
无
Informix
无
Sybase
无
三、网络设备补丁
Cisco
无
Juniper
无
Huawei
无
其他网络设备
无
四、其他应用程序补丁
网管软件
无
办公软件
无
编程软件
无
及时通讯软件
无
其他软件
无
升级会员 