原标题：安信与诚信息安全通告(5月份) – 信息安全漏洞
目 录
四、信息安全漏洞
4.1 微软公司发布的安全漏洞
4.2 Cisco公司发布的安全漏洞
4.3 OpenSSL团队发布的安全漏洞
4.4 威睿（VMware）公司发布的安全漏洞
4.5 华为公司发布的安全漏洞
4.6 IBM公司发布的安全漏洞
4.7 Apache安全漏洞
4.8 Oracle的安全漏洞
4.9 PHP的安全漏洞
4.10 bind的安全漏洞
四、信息安全漏洞
4.1 微软公司发布的安全漏洞
1、Microsoft Edge 安全漏洞
漏洞描述：Microsoft Edge是美国微软（Microsoft）公司的一款Windows 10之后版本系统附带的Web浏览器。
Microsoft Edge（基于Chromium）中存在安全漏洞，该漏洞源于Feedback扩展未正确验证输入内容。攻击者可利用该漏洞将文件写入任意位置并提升权限。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1195
解决方案：根据链接将部署相应版本的补丁程序。
2、Microsoft Windows splwow64 安全漏洞
漏洞描述：Microsoft Windows是美国微软（Microsoft）公司的一套个人设备使用的操作系统。splwow64是其中的一个用于32位应用程序的打印机驱动程序。
Microsoft Windows中的splwow64.exe存在提权漏洞，该漏洞源于程序没有正确验证用户输入。本地攻击者可利用该漏洞提升权限并在当前用户上下文中执行代码。
相关链接：
https://www.microsoft.com/
解决方案：根据链接将部署相应版本的补丁程序。
3、Microsoft Windows Block Level Backup Engine Service 安全漏洞
漏洞描述：Microsoft Windows和Microsoft Windows Server都是美国微软（Microsoft）公司的产品。Microsoft Windows是一套个人设备使用的操作系统。Microsoft Windows Server是一套服务器操作系统。
Microsoft Windows Block Level Backup Engine Service (wbengine)中存在提权漏洞。攻击者可通过登录到系统并运行特制的应用程序利用该漏洞删除任意地址上的文件。以下产品及版本受到影响：Microsoft Windows 10，Windows 10 1607版本，Windows 10 1709版本，Windows 10 1803版本，Windows 10 1809版本，Windows 10 1903版本，Windows 10 1909版本，Windows 7 SP1，Windows 8.1，Windows RT 8.1，Windows Server 2008 R2 SP1，Windows Server 2012，Windows Server 2012 R2，Windows Server 2016，Windows Server 2019，Windows Server 1803版本，Windows Server 1903版本，Windows Server 1909版本。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1010
解决方案：根据链接将部署相应版本的补丁程序。
4、Microsoft Windows 缓冲区错误漏洞
漏洞描述：Microsoft Windows和Microsoft Windows Server都是美国微软（Microsoft）公司的产品。Microsoft Windows是一套个人设备使用的操作系统。Microsoft Windows Server是一套服务器操作系统。
Microsoft Windows中存在拒绝服务漏洞，该漏洞源于程序没有正确地处理内存对象。攻击者可通过登录受影响的系统并运行特制的应用程序利用该漏洞导致目标系统停止响应。以下产品及版本受到影响：Microsoft Windows 10，Windows 10 1607版本，Windows 10 1709版本，Windows 10 1803版本，Windows 10 1809版本，Windows 10 1903版本，Windows 10 1909版本，Windows 8.1，Windows RT 8.1，Windows Server 2012，Windows Server 2012 R2，Windows Server 2016，Windows Server 2019，Windows Server 1803版本，Windows Server 1903版本，Windows Server 1909版本。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1076
解决方案：根据链接将部署相应版本的补丁程序。
5、Microsoft Windows Runtime 安全漏洞
漏洞描述：Microsoft Windows和Microsoft Windows Server都是美国微软（Microsoft）公司的产品。Microsoft Windows是一套个人设备使用的操作系统。Microsoft Windows Server是一套服务器操作系统。
Microsoft Windows Runtime中存在提权漏洞，该漏洞源于程序没有正确地处理内存对象。攻击者可借助特制的应用程序利用该漏洞提升权限，执行任意代码。以下产品及版本受到影响：Microsoft Windows 10 1607版本，Windows 10 1709版本，Windows 10 1803版本，Windows 10 1809版本，Windows 10 1903版本，Windows 10 1909版本，Windows Server 2016，Windows Server 2019，Windows Server 1803版本，Windows Server 1903版本，Windows Server 1909版本。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1077
解决方案：根据链接将部署相应版本的补丁程序。
6、Microsoft Power BI Report Server 安全漏洞
漏洞描述：Microsoft Power BI Report Server中验证上传附件内容类型的方法存在欺骗漏洞。攻击者可通过上传特制的payload并将其发送给用户利用该漏洞执行操作，并在用户的安全上下文中运行脚本。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1173
解决方案：根据链接将部署相应版本的补丁程序。
7、Microsoft Windows State Repository Service 安全漏洞
漏洞描述：Microsoft Windows和Microsoft Windows Server都是美国微软（Microsoft）公司的产品。Microsoft Windows是一套个人设备使用的操作系统。Microsoft Windows Server是一套服务器操作系统。
Microsoft Windows State Repository Service中存在提权漏洞，该漏洞源于程序没有正确地处理内存对象。攻击者可通过在用户系统上运行特制的应用程序利用该漏洞提升权限，运行任意代码。以下产品及版本受到影响：Microsoft Windows 10 1607版本，Windows 10 1709版本，Windows 10 1803版本，Windows 10 1809版本，Windows 10 1903版本，Windows 10 1909版本，Windows Server 2016，Windows Server 2019，Windows Server 1803版本，Windows Server 1903版本，Windows Server 1909版本。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1191
解决方案：根据链接将部署相应版本的补丁程序。
8、Microsoft Windows Runtime 安全漏洞
漏洞描述：Microsoft Windows和Microsoft Windows Server都是美国微软（Microsoft）公司的产品。Microsoft Windows是一套个人设备使用的操作系统。Microsoft Windows Server是一套服务器操作系统。
Microsoft Windows Runtime中存在提权漏洞，该漏洞源于程序没有正确地处理内存对象。攻击者可借助特制的应用程序利用该漏洞提升权限，执行任意代码。以下产品及版本受到影响：Microsoft Windows 10 1709版本，Windows 10 1803版本，Windows 10 1809版本，Windows 10 1903版本，Windows 10 1909版本，Windows Server 2019，Windows Server 1803版本，Windows Server 1903版本，Windows Server 1909版本。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1155
解决方案：根据链接将部署相应版本的补丁程序。
9、Microsoft Windows Kernel 安全漏洞
漏洞描述：Microsoft Windows和Microsoft Windows Server都是美国微软（Microsoft）公司的产品。Microsoft Windows是一套个人设备使用的操作系统。Microsoft Windows Server是一套服务器操作系统。Windows Kernel是其中的一个Windows系统内核。
Microsoft Windows Kernel中内存对象的处理方法存在提权漏洞。攻击者可借助特制的应用程序利用该漏洞提升权限，执行代码。以下产品及版本受到影响：Microsoft Windows 10 1709版本，Windows 10 1803版本，Windows 10 1809版本，Windows 10 1903版本，Windows 10 1909版本，Windows Server 2019，Windows Server 1803版本，Windows Server 1903版本，Windows Server 1909版本。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1087
解决方案：根据链接将部署相应版本的补丁程序。
10、Microsoft Windows和Windows Server 安全漏洞
漏洞描述：Microsoft Windows和Microsoft Windows Server都是美国微软（Microsoft）公司的产品。Microsoft Windows是一套个人设备使用的操作系统。Microsoft Windows Server是一套服务器操作系统。
Microsoft Windows和Windows Server中存在提权漏洞，该漏洞源于程序没有正确处理对剪贴板服务的调用。攻击者可借助特制应用程序利用该漏洞在本地系统的安全上下文中运行任意代码。以下产品及版本受到影响：Microsoft Windows 10 1809版本，Windows 10 1903版本，Windows 10 1909版本，Windows Server 2019，Windows Server 1903版本，Windows Server 1909版本。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1111
解决方案：根据链接将部署相应版本的补丁程序。
11、Microsoft Windows和Windows Server 代码问题漏洞
漏洞描述：Microsoft Windows和Microsoft Windows Server都是美国微软（Microsoft）公司的产品。Microsoft Windows是一套个人设备使用的操作系统。Microsoft Windows Server是一套服务器操作系统。
Microsoft Windows和Windows Server中存在提权漏洞，该漏洞源于Windows Background Intelligent Transfer Service (BITS) IIS模块无法正确处理上传的内容。攻击者可借助特制的文件利用该漏洞向IIS托管的文件夹中上传被限制的文件类型。以下产品及版本受到影响：Microsoft Windows 10，Windows 10 1607版本，Windows 10 1709版本，Windows 10 1803版本，Windows 10 1809版本，Windows 10 1903版本，Windows 10 1909版本，Windows 7 SP1，Windows 8.1，Windows RT 8.1，Windows Server 2008 SP2，Windows Server 2008 R2 SP1，Windows Server 2012，Windows Server 2012 R2，Windows Server 2016，Windows Server 2019，Windows Server 1803版本，Windows Server 1903版本，Windows Server 1909版本。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1112
解决方案：根据链接将部署相应版本的补丁程序。
12、Microsoft Windows Kernel 安全漏洞
漏洞描述：Microsoft Windows和Microsoft Windows Server都是美国微软（Microsoft）公司的产品。Microsoft Windows是一套个人设备使用的操作系统。Microsoft Windows Server是一套服务器操作系统。Windows Kernel是其中的一个Windows系统内核。
Microsoft Windows Kernel中存在提权漏洞，该漏洞源于程序没有正确处理内存对象。攻击者可通过登录到系统并运行特制的应用程序利用该漏洞在内核模式中运行任意代码。以下产品及版本受到影响：Microsoft Windows 10，Windows 10 1607版本，Windows 10 1709版本，Windows 10 1803版本，Windows 10 1809版本，Windows 10 1903版本，Windows 10 1909版本，Windows 7 SP1，Windows 8.1，Windows RT 8.1，Windows Server 2008 SP2，Windows Server 2008 R2 SP1，Windows Server 2012，Windows Server 2012 R2，Windows Server 2016，Windows Server 2019，Windows Server 1803版本，Windows Server 1903版本，Windows Server 1909版本。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1114
解决方案：根据链接将部署相应版本的补丁程序。
13、Microsoft Windows Graphics Components 缓冲区错误漏洞
漏洞描述：Microsoft Windows和Microsoft Windows Server都是美国微软（Microsoft）公司的产品。Microsoft Windows是一套个人设备使用的操作系统。Microsoft Windows Server是一套服务器操作系统。Graphics Components是其中的一个图形组件。
Microsoft Windows Graphics Components中存在远程代码执行漏洞，该漏洞源于程序没有正确处理内存中的对象。攻击者可借助特制文件利用该漏洞对目标系统执行任意代码。以下产品及版本受到影响：Microsoft Windows 7 SP1，Windows 8.1，Windows RT 8.1，Windows 10，Windows Server 2008 SP2，Windows Server 2008 R2 SP1，Windows Server 2012，Windows Server 2012 R2，Windows Server 2016，Windows Server 2019，Windows 10 1607版本，Windows 10 1709版本，Windows 10 1803版本，Windows 10 1809版本，Windows 10 1903版本，Windows 10 1909版本，Windows Server 1803版本，Windows Server 1903版本，Windows Server 1909版本。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1153
解决方案：根据链接将部署相应版本的补丁程序。
14、Microsoft Windows Media Foundation 缓冲区错误漏洞
漏洞描述：Microsoft Windows是美国微软（Microsoft）公司的一套个人设备使用的操作系统。Media Foundation是其中的一个多媒体开发库。
Microsoft Windows Media Foundation中存在安全漏洞，该漏洞源于程序没有正确处理内存中的对象。攻击者可利用该漏洞安装程序，查看、更改或删除数据或创建具有全部用户权限的账户。以下产品及版本受到影响：Microsoft Windows 8.1，Windows RT 8.1，Windows 10，Windows Server 2012 R2，Windows Server 2016，Windows Server 2019，Windows 10 1607版本，Windows 10 1709版本，Windows 10 1803版本，Windows 10 1809版本，Windows 10 1903版本，Windows 10 1909版本，Windows Server 1803版本，Windows Server 1903版本，Windows Server 1909版本。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1136
解决方案：根据链接将部署相应版本的补丁程序。
15、Microsoft Windows Runtime 安全漏洞
漏洞描述：Microsoft Windows和Microsoft Windows Server都是美国微软（Microsoft）公司的产品。Microsoft Windows是一套个人设备使用的操作系统。Microsoft Windows Server是一套服务器操作系统。
Microsoft Windows Runtime中存在提权漏洞，该漏洞源于程序没有正确处理内存中的对象。攻击者可借助特制应用程序利用该漏洞提升权限，运行任意代码。以下产品及版本受到影响：Microsoft Windows 8.1，Windows RT 8.1，Windows 10，Windows Server 2012 R2，Windows Server 2016，Windows Server 2019，Windows 10 1607版本，Windows 10 1709版本，Windows 10 1803版本，Windows 10 1809版本，Windows 10 1903版本，Windows 10 1909版本，Windows Server 1803版本，Windows Server 1903版本，Windows Server 1909版本。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1149
解决方案：根据链接将部署相应版本的补丁程序。
16、Microsoft Windows和Windows Server 安全漏洞
漏洞描述：Microsoft Windows和Microsoft Windows Server都是美国微软（Microsoft）公司的产品。Microsoft Windows是一套个人设备使用的操作系统。Microsoft Windows Server是一套服务器操作系统。
Microsoft Windows和Windows Server中存在提权漏洞，该漏洞源于程序没有正确处理对剪贴板服务的调用。攻击者可借助特制应用程序利用该漏洞在本地系统的安全上下文中运行任意代码。以下产品及版本受到影响：Microsoft Windows 10 1903版本，Windows 10 1909版本，Windows Server 1903版本，Windows Server 1909版本。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1166
解决方案：根据链接将部署相应版本的补丁程序。
17、Microsoft Windows State Repository Service 安全漏洞
漏洞描述：Microsoft Windows State Repository Service中存在提权漏洞，该漏洞源于程序无法正确处理内存对象。攻击者可通过运行特制的应用程序利用该漏洞执行任意代码。以下产品及版本受到影响：Microsoft Windows 10 1607版本，Windows 10 1709版本，Windows 10 1803版本，Windows 10 1809版本，Windows 10 1903版本，Windows 10 1909版本，Windows Server 2016，Windows Server 2019，Windows Server 1803版本，Windows Server 1903版本，Windows Server 1909版本。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1190
解决方案：根据链接将部署相应版本的补丁程序。
18、Microsoft .NET Core和.NET Framework 安全漏洞
漏洞描述：Microsoft .NET Core和Microsoft .NET Framework都是美国微软（Microsoft）公司的产品。.NET Core是一套免费的开源开发平台。该平台具有多语言支持和跨平台等特点。Microsoft .NET Framework是一种全面且一致的编程模型，也是一个用于构建Windows、Windows Store、Windows Phone、Windows Server和Microsoft Azure的应用程序的开发平台。该平台包括C＃和Visual Basic编程语言、公共语言运行库和广泛的类库。
Microsoft .NET Core和.NET Framework中存在安全漏洞，该漏洞源于程序没有正确处理Web请求。攻击者可借助特制的请求利用该漏洞导致拒绝服务。以下产品及版本受到影响：Microsoft .NET Framework 4.8版本，4.7.2版本，4.7.1版本，4.7版本，4.6.2版本，4.6.1版本，4.6版本，4.5.2版本，3.5.1版本，3.5版本，3.0版本，2.0版本。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1108
解决方案：根据链接将部署相应版本的补丁程序。
19、Microsoft SharePoint 代码问题漏洞
漏洞描述：Microsoft SharePoint是美国微软（Microsoft）公司的一套企业业务协作平台。该平台用于对业务信息进行整合，并能够共享工作、与他人协同工作、组织项目和工作组、搜索人员和信息。
Microsoft SharePoint Enterprise Server 2016、Microsoft SharePoint Foundation 2013 SP1和Microsoft SharePoint Server 2019中存在远程代码执行漏洞。攻击者可通过诱使用户上传特制的SharePoint应用程序包利用该漏洞在SharePoint应用程序池和SharePoint服务器场帐户的上下文中运行任意代码。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1024
解决方案：根据链接将部署相应版本的补丁程序。
20、Microsoft SharePoint 缓冲区错误漏洞
漏洞描述：Microsoft SharePoint是美国微软（Microsoft）公司的一套企业业务协作平台。该平台用于对业务信息进行整合，并能够共享工作、与他人协同工作、组织项目和工作组、搜索人员和信息。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1069
解决方案：根据链接将部署相应版本的补丁程序。
21、Microsoft Excel 缓冲区错误漏洞
漏洞描述：Microsoft Excel是美国微软（Microsoft）公司的一款Office套件中的电子表格处理软件。
Microsoft Excel中存在缓冲区错误漏洞，该漏洞源于程序没有正确处理内存对象。攻击者可通过诱使用户打开特制文件利用该漏洞在当前用户的上下文中执行任意代码。以下产品及版本受到影响：Microsoft 365 Apps for Enterprise，Microsoft Excel 2010 SP2，Microsoft Excel 2013 RT SP1，Microsoft Excel 2016，Microsoft Office 2016 for Mac，Microsoft Office 2019 ，Microsoft Office 2019 for Mac。
相关链接：
解决方案：根据链接将部署相应版本的补丁程序。
22、Microsoft SharePoint 代码问题漏洞
漏洞描述：Microsoft SharePoint是美国微软（Microsoft）公司的一套企业业务协作平台。该平台用于对业务信息进行整合，并能够共享工作、与他人协同工作、组织项目和工作组、搜索人员和信息。
Microsoft SharePoint Enterprise Server 2016和Microsoft SharePoint Server 2019中存在远程代码执行漏洞。攻击者可通过诱使用户上传特制的SharePoint应用程序包利用该漏洞在SharePoint应用程序池和SharePoint服务器场帐户的上下文中运行任意代码。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1102
解决方案：根据链接将部署相应版本的补丁程序。
23、Microsoft SharePoint 信息泄露漏洞
漏洞描述：Microsoft SharePoint是美国微软（Microsoft）公司的一套企业业务协作平台。该平台用于对业务信息进行整合，并能够共享工作、与他人协同工作、组织项目和工作组、搜索人员和信息。
Microsoft SharePoint Enterprise Server 2016、Microsoft SharePoint Foundation 2013 SP1和Microsoft SharePoint Server 2019中的搜索功能的部分模式存在信息泄露漏洞。攻击者可利用该漏洞以登录用户的身份调用搜索查询，进而获悉可被搜索到的文档。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1103
解决方案：根据链接将部署相应版本的补丁程序。
24、Microsoft .NET Framework 安全漏洞
漏洞描述：Microsoft .NET Framework是美国微软（Microsoft）公司的一种全面且一致的编程模型，也是一个用于构建Windows、Windows Store、Windows Phone、Windows Server和Microsoft Azure的应用程序的开发平台。该平台包括C＃和Visual Basic编程语言、公共语言运行库和广泛的类库。
Microsoft .NET Framework 3.0 SP2版本和3.5.1版本中存在提权漏洞。攻击者可通过访问本地计算机并运行恶意程序利用该漏洞提升权限。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1066
解决方案：根据链接将部署相应版本的补丁程序。
25、Microsoft Edge和ChakraCore 缓冲区错误漏洞
漏洞描述：Microsoft ChakraCore和Microsoft Edge都是美国微软（Microsoft）公司的产品。ChakraCore是使用在Edge浏览器中的一个开源的ChakraJava脚本引擎的核心部分，也可作为单独的Java引擎使用。Microsoft Edge是一款Windows 10之后版本系统附带的Web浏览器。
Microsoft Edge和ChakraCore中存在远程代码执行漏洞。攻击者可利用该漏洞在当前用户的上下文中执行任意代码，损坏内存。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1037
解决方案：根据链接将部署相应版本的补丁程序。
26、Microsoft Edge 安全漏洞
漏洞描述：Microsoft Edge是美国微软（Microsoft）公司的一款Windows 10之后版本系统附带的Web浏览器。
Microsoft Edge中存在提权漏洞，该漏洞源于程序不正确地强制实施跨域策略。攻击者可利用该漏洞访问信息并将其注入到其他域中。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1056
解决方案：根据链接将部署相应版本的补丁程序。
27、Microsoft Edge PDF Reader 缓冲区错误漏洞
漏洞描述：Microsoft Edge是美国微软（Microsoft）公司的一款Windows 10之后版本系统附带的Web浏览器。
Microsoft Edge PDF Reader中存在远程代码执行漏洞，该漏洞源于程序没有正确处理内存对象。攻击者可利用该漏洞在当前用户的环境中执行任意代码，损坏内存。
相关链接：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1096
解决方案：根据链接将部署相应版本的补丁程序。
4.2 Cisco公司发布的安全漏洞
1、Cisco Prime Network Registrar 输入验证错误漏洞
漏洞描述：Cisco Prime Network Registrar（CPNR）是美国思科（Cisco）公司的一款网络注册器产品。该产品提供了动态主机配置协议（DHCP）、域名系统（DNS）和IP地址管理（IPAM）等服务。
Cisco CPNR中存在输入验证错误漏洞，该漏洞源于程序没有对接收的DHCP流量进行充分的输入验证。远程攻击者可借助特制的DHCP请求利用该漏洞导致拒绝服务。
相关链接：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cpnr-dhcp-dos-BkEZfhLP
解决方案：根据链接升级到最新版本。
2、Cisco Firepower Device Manager On-Box software 缓冲区错误漏洞
漏洞描述：Cisco Firepower Device Manager（FDM）是美国思科（Cisco）公司的一款防火墙设备管理器。该产品支持访问规则配置、系统监控等功能。Cisco Firepower Device Manager On-Box software是其中的一套内置软件。
Cisco FDM On-Box software Release 6.2.3之前版本中的XML解析器代码存在缓冲区错误漏洞。远程攻击者可借助恶意的文件利用该漏洞造成XML解析器进程崩溃，影响系统稳定性，耗尽内存并可能造成系统重新加载。
相关链接：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-xpftd-gYDXyN8H
3、Cisco Firepower Threat Defense 缓冲区错误漏洞
漏洞描述：Cisco Firepower Threat Defense（FTD）是美国思科（Cisco）公司的一套提供下一代防火墙服务的统一软件。
Cisco Firepower 1000 Series中的FTD Software的Secure Sockets Layer (SSL)/Transport Layer Security (TLS)处理器存在缓冲区错误漏洞。远程攻击者可通过发送特制的SSL/TLS消息利用该漏洞造成拒绝服务。
相关链接：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ftd-tls-dos-4v5nmWtZ
4、Cisco Umbrella 注入漏洞
漏洞描述：Cisco Umbrella是美国思科（Cisco）公司的一套云安全平台。该平台能够预防网络钓鱼、恶意软件和勒索软件等网络威胁。
Cisco Umbrella中存在注入漏洞，该漏洞源于程序没有充分验证用户提交的输入。远程攻击者可通过诱使用户访问特制的URL利用该漏洞向发往用户浏览器的HTTP响应中注入任意的HTTP头。
相关链接：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-umbrella-head-inject-n4QArJH
5、多款Cisco产品安全漏洞
漏洞描述：Cisco 3000 Series Industrial Security Appliances等都是美国思科（Cisco）公司的产品。Cisco 3000 Series Industrial Security Appliances是一款3000系列防火墙设备。Cloud Services Router 1000V Series是一款1000v系列云服务路由器。Cisco 1000 Series Integrated Services Routers（ISRs）是一款1000系列集成多业务路由器。
多款Cisco产品的Snort检查引擎中HTTP响应处理的方法存在安全漏洞。远程攻击者可通过发送特制的HTTP数据包利用该漏洞绕过所配置的文件策略并向受保护的网络发送恶意的payload。以下产品及版本受到影响：1000 Series Integrated Services Routers；3000 Series Industrial Security Appliances；4000 Series Integrated Services Routers；Cloud Services Router 1000V Series；Firepower Threat Defense Software；Integrated Services Virtual Router。
相关链接：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-snort_filepolbypass-m4X5DgOP
6、Cisco Firepower User Agent Software 信任管理问题漏洞
漏洞描述：Cisco Firepower User Agent Software是美国思科（Cisco）公司的一套用于Firepower防火墙管理器的用户代理软件。
Cisco Firepower User Agent Software中存在信任管理问题漏洞，该漏洞源于系统账户使用了默认的静态密码并且系统管理员无法进行更改。远程攻击者可借助此账户利用该漏洞访问系统的敏感部分。
相关链接：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fmcua-statcred-weeCcZct
4.3 OpenSSL团队发布的安全漏洞
本月无更新补丁
4.4 威睿（VMware）公司发布的安全漏洞
1、VMware ESXi、VMware Workstation和VMware Fusion VMCI模块安全漏洞
漏洞描述：VMware ESXi等都是美国威睿（VMware）公司的产品。VMware ESXi是一套可直接安装在物理服务器上的服务器虚拟化平台。VMware Workstation是一套虚拟机软件。该软件提供可以同时运行多个不同的操作系统的虚拟机功能。VMware Fusion是一套专用于在苹果机（Mac）上运行Windows应用程序的的虚拟机软件。VMCI是其中的一个虚拟机通信接口模块。
相关链接：
解决方案：根据链接升级到最新版本。
2、VMware Fusion、VMware Remote Console和VMware Horizo??n Client 竞争条件问题漏洞
漏洞描述：VMware Fusion等都是美国威睿（VMware）公司的产品。VMware Fusion是一套专用于在苹果机（Mac）上运行Windows应用程序的的虚拟机软件。VMware Remote Console是一款远程控制台应用程序。VMware Horizo??n Client是一款用于连接VMware Horizo??n虚拟桌面的客户端应用程序。
VMware Fusion 11.5.5之前的11.x版本、VMware Remote Console 11.x及之前版本（Mac）和VMware Horizo??n Client 5.x及之前版本（Mac）中的service opener存在竞争条件问题漏洞。攻击者可利用该漏洞将权限提升为root。
相关链接：
解决方案：根据链接升级到最新版本。
3、VMware Cloud Director 注入漏洞
漏洞描述：VMware Cloud Director是美国威睿（VMware）公司的一套云服务交付平台。该平台支持虚拟数据中心创建、多站点管理、数据中心扩展和云迁移以及云原生应用程序开发等功能。
Vmware vCloud Director中存在注入漏洞，该漏洞源于程序没有正确处理输入。攻击者可利用该漏洞执行任意代码。以下产品及版本受到影响：vCloud Director 10.0.0.2之前的10.0.x版本，9.7.0.5之前的9.7.0.x版本，9.5.0.6之前的9.5.0.x版本，9.1.0.4之前的9.1.0.x版本。
相关链接：
解决方案：根据链接升级到最新版本。
4、VMware Spring Security 数据伪造问题漏洞
漏洞描述：VMware Spring Security是美国威睿（VMware）公司的一套为基于Spring的应用程序提供说明性安全保护的安全框架。
VMware Spring Security 5.2.4之前的5.2.x版本和5.3.2之前的5.3.x版本中存在数据伪造问题漏洞。该漏洞源于网络系统或产品未充分验证数据的来源或真实性。攻击者可利用伪造的数据进行攻击。
相关链接：
解决方案：根据链接升级到最新版本。
4.5 华为公司发布的安全漏洞
1、Huawei CloudEngine 6800和Huawei CloudEngine 12800 安全漏洞
漏洞描述：Huawei CloudEngine 6800和Huawei CloudEngine 12800都是中国华为（Huawei）公司的产品。CloudEngine 6800是一款面对数据中心的6800系列万兆以太网交换机。Huawei CloudEngine 12800是一款12800系列数据中心交换机。
Huawei CloudEngine 12800和CloudEngine 6800中存在安全漏洞，该漏洞源于软件对内存管理不当。攻击者可通过执行一系列操作利用该漏洞导致拒绝服务。以下产品及版本受到影响：Huawei CloudEngine 12800 V200R019C00版本，V200R019C00SPC600版本，V200R019C00SPC800版本，V200R019C10版本；CloudEngine 6800 V200R019C00SPC800版本。
相关链接：
解决方案：根据链接将受影响产品升级到相应版本。
2、Huawei E6878-370 缓冲区错误漏洞
漏洞描述：Huawei E6878-370是中国华为（Huawei）公司的一款便携式5G路由器。
Huawei E6878-370 10.0.3.1(H557SP27C233)版本和10.0.3.1(H563SP1C233)版本中存在缓冲区错误漏洞，该漏洞源于程序没有充分验证拷贝到目标缓冲区数据长度。攻击者可借助特制消息利用该漏洞执行恶意代码。
相关链接：
解决方案：根据链接将受影响产品升级到相应版本。
3、Huawei E6878-370 资源管理错误漏洞
漏洞描述：Huawei E6878-370是中国华为（Huawei）公司的一款便携式5G路由器。
Huawei E6878-370 10.0.3.1(H557SP27C233)版本、10.0.3.1(H563SP1C00)版本和10.0.3.1(H563SP1C233)版本中存在资源管理错误漏洞。攻击者可借助Web界面利用该漏洞执行恶意代码。
相关链接：
解决方案：根据链接将受影响产品升级到相应版本。
4.6 IBM公司发布的安全漏洞
1、IBM MQ 安全漏洞
漏洞描述：IBM MQ（IBM WebSphere MQ）是美国IBM公司的一款消息传递中间件产品。该产品主要为面向服务的体系结构（SOA）提供可靠的、经过验证的消息传递主干网。
IBM MQ（用在HPE NonStop上）8.1.0版本和8.0.4版本中存在安全漏洞。攻击者可利用该漏洞提升权限。
相关链接：
解决方案：根据链接将部署相应版本的补丁程序。
2、IBM Jazz Reporting Service 跨站脚本漏洞
漏洞描述：IBM Jazz Reporting Service（JRS）是美国IBM公司的一套即用型报告组件。该产品包括报表生成、数据收集和生命周期查询等功能。
IBM JRS 7.0版本、6.0.6.1版本和6.0.6版本中的Report Builder存在跨站脚本漏洞。攻击者可借助Java代码利用该漏洞获取会话中的凭据。
相关链接：
解决方案：根据链接将部署相应版本的补丁程序。
3、IBM i SQL注入漏洞
漏洞描述：IBM i是美国IBM公司的一套运行在IBM Power Systems和IBM PureSystems中的操作系统。
IBM i 7.2版本、7.3版本和7.4版本中存在安全漏洞。本地攻击者可利用该漏洞访问未授权的敏感信息。
相关链接：
解决方案：根据链接将部署相应版本的补丁程序。
4、IBM i2 Analysts Notebook和IBM i2 Analysts Notebook Premium 缓冲区错误漏洞
漏洞描述：IBM i2 Analysts Notebook和IBM i2 Analysts Notebook Premium都是美国IBM公司的产品。IBM i2 Analysts Notebook是一款数据可视化分析工具。该产品支持数据存储和数据分析等功能。IBM i2 Analysts Notebook Premium是IBM i2 Analysts Notebook的高级版本。
IBM i2 Analysts Notebook 9.2.1版本和i2 Analysts Notebook Premium 9.2.1版本中存在缓冲区错误漏洞。攻击者可通过诱使用户打开特制文档利用该漏洞执行任意代码，或导致应用程序崩溃。
相关链接：
解决方案：根据链接将部署相应版本的补丁程序。
4.7 Apache安全漏洞
1、Apache Kylin 操作系统命令注入漏洞
漏洞描述：Apache Kylin是美国阿帕奇（Apache）软件基金会的一款开源的分布式分析型数据仓库。该产品主要提供Hadoop/Spark之上的SQL查询接口及多维分析（OLAP）等功能。
Apache Kylin中的静态API存在安全漏洞。攻击者可借助特制输入利用该漏洞在系统上执行任意OS命令。以下产品及版本受到影响：Apache Kylin 2.3.0版本至2.3.2版本，2.4.0版本至2.4.1版本，2.5.0版本至2.5.2版本，2.6.0版本至2.6.5版本，3.0.0-alpha版本，3.0.0-alpha2版本，3.0.0-beta版本，3.0.0版本，3.0.1版本。
相关链接：
https://lists.apache.org/thread.html/r1332ef34cf8e2c0589cf44ad269fb1fb4c06addec6297f0320f5111d%40%3Cuser.kylin.apache.org%3E
解决方案：根据链接将部署相应版本的补丁程序。
2、Apache CouchDB 安全漏洞
漏洞描述：Apache CouchDB是美国阿帕奇（Apache）软件基金会的使用Erlang开发的一套面向文档的数据库系统。
Apache CouchDB 3.0.0版本（带有用于管理访问控制的新配置设置）中存在安全漏洞。远程攻击者可利用该漏洞提升权限。
相关链接：
https://docs.couchdb.org/en/master/cve/2020-1955.html
解决方案：根据链接将部署相应版本的补丁程序。
3、Apache Camel 输入验证错误漏洞
漏洞描述：Apache Camel是美国阿帕奇（Apache）软件基金会的一套开源的基于Enterprise Integration Pattern(企业整合模式，简称EIP)的集成框架。该框架提供企业集成模式的Java对象（POJO）的实现，且通过应用程序接口来配置路由和中介的规则。
Apache Camel中的JMX存在输入验证错误漏洞。攻击者可借助特制请求利用该漏洞获取敏感信息。以下产品及版本受到影响：Apache Camel 2.22.x版本，2.23.x版本，2.24.x版本，2.25.0版本，3.0.0版本至3.1.0版本。
相关链接：
解决方案：根据链接将部署相应版本的补丁程序。
4、Apache CloudStack baremetal组件输入验证错误漏洞
漏洞描述：Apache CloudStack是美国阿帕奇软件（Apache Software）基金会的一套基础架构即服务（IaaS）云计算平台。该平台主要用于部署和管理大型虚拟机网络。
Apache CloudStack 4.13.1之前版本中的baremetal组件存在输入验证错误漏洞，该漏洞源于程序没有正确验证baremetal虚拟路由中的‘mac’参数。攻击者可利用该漏洞执行任意shell命令。
相关链接：
解决方案：根据链接将部署相应版本的补丁程序。
5、Apache log4net 代码问题漏洞
漏洞描述：Apache log4net是美国阿帕奇（Apache）软件基金会的一款日志输出工具。
Apache log4net 2.0.8之前版本中log4net配置文件的解析过程存在代码问题漏洞。攻击者可借助特制XML内容利用该漏洞迫使系统接受任意配置文件。
相关链接：
https://issues.apache.org/jira/browse/LOG4NET-575
解决方案：根据链接将部署相应版本的补丁程序。
4.8 Oracle的安全漏洞
1、Oracle iPlanet Web Server 加密问题漏洞
漏洞描述：Oracle iPlanet Web Server（OiWS）是美国甲骨文（Oracle）公司的一款主要用于中型和大型业务应用程序的Web服务器。
Oracle OiWS 7.0.x版本中的管理控制台存在安全漏洞，该漏洞源于程序没有对admingui/version URIs进行正确的访问控制。攻击者可利用该漏洞访问密密钥。
相关链接：
https://www.oracle.com/security-alerts/cpuapr2020.html
解决方案：根据链接将部署相应版本的补丁程序。
2、Oracle iPlanet Web Server 注入漏洞
漏洞描述：Oracle iPlanet Web Server（OiWS）是美国甲骨文（Oracle）公司的一款主要用于中型和大型业务应用程序的Web服务器。
Oracle OiWS 7.0.x版本中的管理控制台存在注入漏洞。攻击者可借助‘productNameSrc’参数利用该漏洞实施钓鱼攻击或社会工程攻击。
相关链接：
https://www.oracle.com/l
解决方案：根据链接将部署相应版本的补丁程序。
4.9 PHP的安全漏洞
1、PHP 输入验证错误漏洞
漏洞描述：PHP（PHP：Hypertext Preprocessor，PHP：超文本预处理器）是PHPGroup和开放源代码社区的共同维护的一种开源的通用计算机脚本语言。该语言主要用于Web开发，支持多种数据库及操作系统。
PHP 7.2.31之前的7.2.x版本、7.3.18之前的7.3.x版本和7.4.6之前的7.4.x版本中存在输入验证错误漏洞，该漏洞源于在通过HTTP协议上传文件时，如果文件名或字段名过长，PHP引擎会分配过大内存，达到内存限制并停止处理请求，但不会清除创建的临时文件。攻击者可利用该漏洞导致拒绝服务。
相关链接：
https://bugs.php.net/bug.php?id=78875
解决方案：根据链接将部署相应版本的补丁程序。
4.10 bind的安全漏洞
责任编辑：