上周关注度较高的产品安全漏洞(20211227-20220102)
一、境外厂商产品漏洞
1、Oracle Transportation Management未授权访问漏洞
Oracle Transportation Management(OTM)为公司提供了一个单一平台来管理整个供应链中的所有运输活动。Oracle TransportationManagement 6.4.3版中的UI Infrastructure组件存在未授权访问漏洞。攻击者可利用该漏洞获取敏感信息。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2021-102409
2、Nextcloud server授权问题漏洞（CNVD-2021-102886）
Nextcloud server是德国Nextcloud公司的一套开源的自托管文件同步和共享的通信应用平台。Nextcloud server在20.0.12, 21.0.4 or 22.1.0之前版本存在授权问题漏洞，该漏洞源于网络系统或产品中缺少身份验证措施或身份验证强度不足。攻击者可利用该漏洞能够绕过Nextcloud中的双因素身份验证。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2021-102886
3、AVEVA System Platform访问控制错误漏洞
AVEVA System Platform是英国AVEVA公司的一个应用软件。用于监管、企业SCADA、MES和IIoT应用程序的响应迅速、标准驱动且可扩展的基础。AVEVA System Platform存在访问控制错误漏洞，该漏洞源于软件不能正确地验证数据或通信的来源是有效的。目前没有详细的漏洞细节提供。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2021-102839
4、Oracle Transportation Management未授权访问漏洞（CNVD-2021-102408）
Oracle Transportation Management (OTM)为公司提供了一个单一平台来管理整个供应链中的所有运输活动。Oracle Transportation Management未授权访问漏洞。攻击者可利用该漏洞获取敏感信息。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2021-102408
5、SAP Netweaver跨站脚本漏洞（CNVD-2021-103657）
SAP Netweaver是德国思爱普（SAP）公司的一套面向服务的集成化应用平台。该平台主要为SAP应用程序提供开发和运行环境。SAP NetWeaver在700, 701, 702, 730版本存在跨站脚本漏洞，该漏洞源于未充分编码用户控制的输入。攻击者可通过该漏洞使潜在受害者向易受攻击的web应用程序提供恶意内容，然后将恶意内容反映给受害者并由web浏览器执行。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2021-103657
二、境内厂商产品漏洞
1、华为USG2210E存在弱口令漏洞
USG2210E安全网关是面向中小型企业/分支机构设计的新一代防火墙/UTM设备。华为USG2210E存在弱口令漏洞，攻击者可利用该漏洞获取敏感信息。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2021-93881
2、福建四创软件有限公司山洪灾害监测预警系统存在SQL注入漏洞
福建四创软件有限公司是一家致力于中国防灾减灾事业的技术型企业。专注于为政府提供防灾减灾应急指挥系统解决方案，为各级企业提供防灾减灾信息与应用租赁服务，为社会公众提供防灾减灾信息发布与预警服务。福建四创软件有限公司山洪灾害监测预警系统存在SQL注入漏洞，攻击者可利用该漏洞获取数据库敏感信息。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2021-93994
3、摩莎科技（上海）有限公司ioLogik E1242系列存在未授权访问漏洞
ioLogik E1242系列是菊花链式以太网交换机，支持最常用的I/O数据采集协议，可匹配各种应用。摩莎科技（上海）有限公司ioLogik E1242系列存在未授权访问漏洞，攻击者可利用漏洞获取敏感信息，执行未授权操作。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2021-92948
4、Huawei Hero-Ct060不正确身份验证漏洞
Huawei Hero-Ct060是中国华为（Huawei）公司的一款智能无线蓝牙耳机。Huawei Hero-Ct0601.0.0.200之前版本存在安全漏洞。该漏洞源于程序未对用户身份进行充分验证。攻击者可利用该漏洞执行某些授权外的不当操作。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2021-102867
5、Huawei Emui和Magic UI远程DoS漏洞（CNVD-2021-102862）
Huawei Emui是一款基于Android开发的移动端操作系统。Magic Ui是一款基于Android开发的移动端操作系统。Huawei Emui和Magic UI存在远程DoS漏洞。攻击者可利用该漏洞导致应用程序意外退出。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2021-102862
说明：关注度分析由CNVD秘书处根据互联网用户对CNVD漏洞信息查阅情况以及产品应用广泛情况综合评定。