國(guó)家信息安全漏洞共享平臺(tái)上周共收集、整理信息安全漏洞699個(gè)，互聯(lián)網(wǎng)上出現(xiàn)“Rasilient PixelStor 5000遠(yuǎn)程代碼執(zhí)行漏洞、WordPress Theme Fruitful跨站腳本漏洞”等零日代碼攻擊漏洞，上周信息安全漏洞威脅整體評(píng)價(jià)級(jí)別為中。中國(guó)電子銀行網(wǎng)為您梳理過(guò)去一周的信息安全行業(yè)要聞并告警重要漏洞，深入探討信息安全知識(shí)。
一周行業(yè)要聞速覽
中國(guó)信通院：《“互聯(lián)網(wǎng)+行業(yè)”個(gè)人信息保護(hù)研究報(bào)告（2020年）》
在各類“互聯(lián)網(wǎng)+”便民服務(wù)不斷創(chuàng)新發(fā)展過(guò)程中，用戶個(gè)人信息保護(hù)問(wèn)題日益凸顯，個(gè)人信息泄露事件頻頻發(fā)生。>>詳細(xì)
金融科技，“戰(zhàn)疫”在前線
通過(guò)運(yùn)用CFCA提供的金融科技產(chǎn)品和服務(wù)，針對(duì)線上融資面臨的安全、法律風(fēng)險(xiǎn)構(gòu)建了安全體系，解決了在開放的互聯(lián)網(wǎng)環(huán)境中面臨的信息竊取、冒用身份、否認(rèn)交易、難以舉證的問(wèn)題。>>詳細(xì)
金融機(jī)構(gòu)數(shù)字化轉(zhuǎn)型 電子簽章強(qiáng)助攻
金融機(jī)構(gòu)作為國(guó)家的經(jīng)濟(jì)支撐，面對(duì)疫情，該如何為客戶提供無(wú)接觸、不現(xiàn)場(chǎng)的線上化業(yè)務(wù)辦理模式？線上化業(yè)務(wù)形式中，又如何保證業(yè)務(wù)的安全及用戶的便利性呢？>>詳細(xì)
2020年3月起28項(xiàng)網(wǎng)絡(luò)信息安全規(guī)范和標(biāo)準(zhǔn)正式實(shí)施
剛經(jīng)過(guò)了四年一遇的日子，正式進(jìn)入2020年3月份，28項(xiàng)重要的項(xiàng)網(wǎng)絡(luò)與信息安全規(guī)范和標(biāo)準(zhǔn)正式實(shí)施。>>詳細(xì)
CFCA獲得金融業(yè)機(jī)房動(dòng)力系統(tǒng)檢測(cè)機(jī)構(gòu)資質(zhì)
中國(guó)金融認(rèn)證中心（CFCA）信息安全實(shí)驗(yàn)室經(jīng)中金國(guó)盛認(rèn)證中心嚴(yán)格的資質(zhì)審查、人員考核和現(xiàn)場(chǎng)評(píng)審后，于近日正式成為中金國(guó)盛認(rèn)證中心授權(quán)的金融業(yè)信息系統(tǒng)機(jī)房動(dòng)力系統(tǒng)認(rèn)證服務(wù)合作檢測(cè)實(shí)驗(yàn)室。>>詳細(xì)
銀聯(lián)密集發(fā)文打擊非法交易，快速進(jìn)件、獨(dú)家代理等被警示
銀聯(lián)偵測(cè)發(fā)現(xiàn)有疑似不法分子利用條碼支付綜合前置平臺(tái)商戶快速進(jìn)件通道，進(jìn)件風(fēng)險(xiǎn)涉賭商戶。>>詳細(xì)
由于漏洞，Let’s Encrypt將從今天起撤銷近300萬(wàn)個(gè)TLS證書
2月底的時(shí)候，Let’s Encrypt發(fā)現(xiàn)其證書頒發(fā)機(jī)構(gòu)（CA）中的軟件漏洞導(dǎo)致某些證書不能通過(guò)為關(guān)聯(lián)域配置的證書頒發(fā)機(jī)構(gòu)授權(quán)（CAA）正確驗(yàn)證。>>詳細(xì)
Wi-Fi漏洞Kr00k曝光：全球數(shù)十億臺(tái)設(shè)備受影響
該漏洞存在于賽普拉斯和博通的Wi-Fi芯片中，而這是擁有全球市場(chǎng)份額較高的兩大品牌，從筆記本電腦到智能手機(jī)、從AP到物聯(lián)網(wǎng)設(shè)備中都有廣泛使用。>>詳細(xì)
安全威脅播報(bào)
上周漏洞基本情況
上周（2月24日-3月1日）信息安全漏洞威脅整體評(píng)價(jià)級(jí)別為中。國(guó)家信息安全漏洞共享平臺(tái)（以下簡(jiǎn)稱CNVD）上周共收集、整理信息安全漏洞699個(gè)，其中高危漏洞288個(gè)、中危漏洞327個(gè)、低危漏洞84個(gè)。漏洞平均分值為6.35。上周收錄的漏洞中，涉及0day漏洞309個(gè)（占44%），其中互聯(lián)網(wǎng)上出現(xiàn)“Rasilient PixelStor 5000遠(yuǎn)程代碼執(zhí)行漏洞、WordPress Theme Fruitful跨站腳本漏洞”等零日代碼攻擊漏洞。
上周重要漏洞安全告警
IBM產(chǎn)品安全漏洞
IBM Emptoris Spend Analysis是一套采購(gòu)解決方案中的用于對(duì)分散系統(tǒng)的支出數(shù)據(jù)進(jìn)行整合、清理和分類的產(chǎn)品。IBM Spectrum Protect Plus是一套數(shù)據(jù)保護(hù)平臺(tái)。"IBM QRadar Advisor with Watson是一套安全威脅分析解決方案。IBM Security Identity Manager（ISIM）是一套身份管理和治理解決方案。上周，上述產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞獲取敏感信息，執(zhí)行任意命令等。
CNVD收錄的相關(guān)漏洞包括：IBM Emptoris Spend AnalysisSQL注入漏洞（CNVD-2020-13057）、IBM Spectrum Protect Plus命令注入漏洞（CNVD-2020-14207、CNVD-2020-14208、CNVD-2020-14211、CNVD-2020-14212、CNVD-2020-14213）、IBM QRadar Advisor WithWatson App信息泄露漏洞、IBM Security IdentityManager信任管理問(wèn)題漏洞。上述漏洞的綜合評(píng)級(jí)為“高危”。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。
Apple產(chǎn)品安全漏洞
AppleSafari是一款Web瀏覽器，是Mac OS X和iOS操作系統(tǒng)附帶的默認(rèn)瀏覽器。Apple iOS是一套為移動(dòng)設(shè)備所開發(fā)的操作系統(tǒng)。Apple tvOS是一套智能電視操作系統(tǒng)。Apple macOS Mojave是一套專為Mac計(jì)算機(jī)所開發(fā)的專用操作系統(tǒng)。Apple macOS Catalina是一套專為Mac計(jì)算機(jī)所開發(fā)的專用操作系統(tǒng)。上周，上述產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞造成應(yīng)用程序意外終止或執(zhí)行任意代碼。
CNVD收錄的相關(guān)漏洞包括：多款A(yù)pple產(chǎn)品WebKit組件內(nèi)存破壞漏洞（CNVD-2020-14243、CNVD-2020-14244）、多款A(yù)pple產(chǎn)品Core Data組件和Siri組件緩沖區(qū)溢出漏洞、多款A(yù)pple產(chǎn)品UIFoundation組件緩沖區(qū)溢出漏洞、多款A(yù)pple產(chǎn)品Foundation組件緩沖區(qū)溢出漏洞、多款A(yù)pple產(chǎn)品Core Data組件緩沖區(qū)溢出漏洞、Apple macOS Catalina內(nèi)存破壞漏洞（CNVD-2020-14694、CNVD-2020-14695）。上述漏洞的綜合評(píng)級(jí)為“高危”。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。
Microsoft產(chǎn)品安全漏洞
MicrosoftWindows是一套個(gè)人設(shè)備使用的操作系統(tǒng)。Microsoft Windows Server是一套服務(wù)器操作系統(tǒng)。Microsoft Internet Explorer（IE）是一款Windows操作系統(tǒng)附帶的Web瀏覽器。Microsoft Exchange Server是一套電子郵件服務(wù)程序，它提供郵件存取、儲(chǔ)存、轉(zhuǎn)發(fā)，語(yǔ)音郵件，郵件過(guò)濾篩選等功能。上周，上述產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞提升權(quán)限，執(zhí)行任意代碼，導(dǎo)致緩沖區(qū)溢出或堆溢出等。
CNVD收錄的相關(guān)漏洞包括：Microsoft Windows RemoteDesktop Client代碼執(zhí)行漏洞、Microsoft Windows和Microsoft Windows Server權(quán)限提升漏洞（CNVD-2020-13557、CNVD-2020-13559）、Microsoft Internet Explorer緩沖區(qū)溢出漏洞（CNVD-2020-13691）、Microsoft Exchange驗(yàn)證密鑰遠(yuǎn)程代碼執(zhí)行漏洞、Microsoft Windows Graphics組件權(quán)限提升漏洞（CNVD-2020-14699）、Microsoft DirectX權(quán)限提升漏洞、Microsoft Windows Win32k權(quán)限提升漏洞（CNVD-2020-14702）。上述漏洞的綜合評(píng)級(jí)為“高危”。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。
Moxa產(chǎn)品安全漏洞
Moxa AWK-3131A是一款無(wú)線接入設(shè)備。Moxa EDS-G516E和EDS-510E series都是Moxa生產(chǎn)的以太網(wǎng)交換機(jī)。上周，上述產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞解密被捕獲的流量，繞過(guò)身份驗(yàn)證，執(zhí)行任意代碼或?qū)е戮芙^服務(wù)等。
CNVD收錄的相關(guān)漏洞包括：Moxa AWK-3131A訪問(wèn)控制錯(cuò)誤漏洞、Moxa AWK-3131A操作系統(tǒng)命令注入漏洞（CNVD-2020-13473）、Moxa AWK-3131A iw_webs功能操作系統(tǒng)命令注入漏洞（CNVD-2020-13475、CNVD-2020-13477）、Moxa AWK-3131A身份驗(yàn)證繞過(guò)漏洞、Moxa AWK-3131AServiceAgent信任管理問(wèn)題漏洞、Moxa EDS-G516E和EDS-510E series緩沖區(qū)溢出漏洞（CNVD-2020-13508、CNVD-2020-13515）。其中，“Lenovo System InterfaceFoundation未簽名DLL加載漏洞、Lenovo XClarity Administrator訪問(wèn)控制錯(cuò)誤漏洞、Lenovo ThinkPad輸入驗(yàn)證錯(cuò)誤漏洞、Lenovo System Interface Foundation任意代碼執(zhí)行漏洞”的綜合評(píng)級(jí)為“高?！?。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。
NETGEAR Nighthawk X10-R9000命令注入漏洞
NETGEAR Nighthawk X10-R9000是一款無(wú)線路由器。上周，NETGEAR Nighthawk X10-R9000被披露存在命令注入漏洞。攻擊者可利用該漏洞執(zhí)行非法命令。目前，廠商尚未發(fā)布上述漏洞的修補(bǔ)程序。
小結(jié)
上周，IBM產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞獲取敏感信息，執(zhí)行任意命令等此外，Apple、Microsoft、Moxa等多款產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞解密被捕獲的流量，繞過(guò)身份驗(yàn)證，提升權(quán)限，執(zhí)行任意代碼或?qū)е戮芙^服務(wù)等。另外，NETGEAR Nighthawk X10-R9000被披露存在命令注入漏洞。攻擊者可利用該漏洞執(zhí)行非法命令。
中國(guó)電子銀行網(wǎng)綜合CNVD、中國(guó)信通院、移動(dòng)支付網(wǎng)、FreeBuf.COM、cnBeta.COM、網(wǎng)絡(luò)安全等保與關(guān)保報(bào)道
