國家信息安全漏洞共享平臺上周共收集、整理信息安全漏洞469個，互聯(lián)網(wǎng)上出現(xiàn)“GPAC緩沖區(qū)溢出漏洞（CNVD-2022-66588）、ZZCMS index php信息泄露漏洞”等零日代碼攻擊漏洞，上周信息安全漏洞威脅整體評價級別為中。中國電子銀行網(wǎng)為您梳理過去一周的信息安全行業(yè)要聞并告警重要漏洞，深入探討信息安全知識。

(資料圖片僅供參考)

一周行業(yè)要聞速覽

小鄭課堂｜《反電信網(wǎng)絡(luò)詐騙法》知識普及

反電信網(wǎng)絡(luò)詐騙法共七章50條，包括總則、電信治理、金融治理、互聯(lián)網(wǎng)治理、綜合措施、法律責(zé)任、附則等。>>詳細(xì)

姣姣課堂 | 警惕虛擬貨幣投資 粉碎“餡餅”濾鏡

近年來，隨著虛擬貨幣的興起，一些不法分子也緊跟“潮流”，利用互聯(lián)網(wǎng)平臺進(jìn)行虛擬交易，將詐騙“餡餅”滲透到生活中。>>詳細(xì)

安全加碼 | 開通云證書，安全更便捷

云證書是青島銀行與中國金融認(rèn)證中心(CFCA)推出的一種可靠、高效、便捷數(shù)字簽名的安全認(rèn)證工具。>>詳細(xì)

【反詐】防騙口訣來咯！守護(hù)您的“錢袋子”

接到電話不用慌，不給密碼不轉(zhuǎn)賬；中獎短信不輕信，天上不會掉餡餅；個人信息很重要，時時刻刻保護(hù)好。>>詳細(xì)

【消保以案說險】“屏幕共享”后錢不翼而飛？小心，別中招！

提升個人信息保護(hù)意識，不與陌生人開啟“屏幕共享”不在“屏幕共享”的情況下打開支付軟件、銀行賬戶等操作界面或進(jìn)行涉及輸入密碼、轉(zhuǎn)賬匯款等相關(guān)操作。>>詳細(xì)

助力提升公眾金融素養(yǎng) 營口銀行組織開展金融聯(lián)合教育宣傳活動

咨詢員為前來辦理業(yè)務(wù)的客戶講解金融知識，包括如何安全使用手機(jī)銀行和網(wǎng)上銀行，如何安全用卡，如何識別假幣，如何防范電信詐騙等，加強(qiáng)營業(yè)網(wǎng)點(diǎn)宣傳力度。>>詳細(xì)

【詐騙防范】如何防范電信詐騙，中銀E貸教您識別套路

一旦發(fā)現(xiàn)賬戶資金有異常變動，立刻凍結(jié)、掛失，并向當(dāng)?shù)毓矙C(jī)關(guān)報告。>>詳細(xì)

@所有用戶：一文讀懂?dāng)?shù)字證書申請、使用這些事兒！

您可以在各類場景使用數(shù)字證書，如網(wǎng)銀或手機(jī)銀行轉(zhuǎn)賬、在線簽署電子合同、在線辦理相關(guān)業(yè)務(wù)等。>>詳細(xì)

安全威脅播報

上周漏洞基本情況

上周（2022年9月26日-10月9日）信息安全漏洞威脅整體評價級別為中。國家信息安全漏洞共享平臺（以下簡稱CNVD）上周共收集、整理信息安全漏洞469個，其中高危漏洞151個、中危漏洞226個、低危漏洞92個。漏洞平均分值為5.79。上周收錄的漏洞中，涉及0day漏洞238個（占51%），其中互聯(lián)網(wǎng)上出現(xiàn)“GPAC緩沖區(qū)溢出漏洞（CNVD-2022-66588）、ZZCMS index php信息泄露漏洞”等零日代碼攻擊漏洞。

上周重要漏洞安全告警

Google產(chǎn)品安全漏洞

Google Android是美國谷歌（Google）公司的一套以Linux為基礎(chǔ)的開源操作系統(tǒng)。上周，上述產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞提升權(quán)限，在系統(tǒng)上執(zhí)行任意代碼。

CNVD收錄的相關(guān)漏洞包括：Google Android權(quán)限提升漏洞（CNVD-2022-65631、CNVD-2022-65633、CNVD-2022-65639、CNVD-2022-65636、CNVD-2022-65640、CNVD-2022-65641、CNVD-2022-65642）、Google Android代碼執(zhí)行漏洞（CNVD-2022-65638）。上述漏洞的綜合評級為“高?！薄Ｄ壳?，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。

Microsoft產(chǎn)品安全漏洞

Microsoft Windows是美國微軟（Microsoft）公司的一套個人設(shè)備使用的操作系統(tǒng)。Microsoft Windows Kernel是美國微軟（Microsoft）公司的Windows操作系統(tǒng)的內(nèi)核。Microsoft Windows Installer是美國微軟（Microsoft）公司的Windows 操作系統(tǒng)的一個組件。為安裝和卸載軟件提供了標(biāo)準(zhǔn)基礎(chǔ)。上周，上述產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞獲取敏感信息，在系統(tǒng)上執(zhí)行任意代碼，導(dǎo)致權(quán)限提升，造成拒絕服務(wù)。

CNVD收錄的相關(guān)漏洞包括：Microsoft Windows Secure Channel拒絕服務(wù)漏洞、Microsoft Windows Telephony Serve權(quán)限提升漏洞、Microsoft Windows Upgrade Assistant遠(yuǎn)程代碼執(zhí)行漏洞、Microsoft Windows Kernel信息泄露漏洞（CNVD-2022-65612）、Microsoft Windows Digital Media Receiver提升權(quán)限漏洞、Microsoft Windows Endpoint Configuration Manager權(quán)限提升漏洞、Microsoft Windows Installer權(quán)限提升漏洞、Microsoft Windows iSCSI Target Service信息泄露漏洞。其中，“Microsoft Windows Telephony Serve權(quán)限提升漏洞”的綜合評級為“高?！?。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。

Adobe產(chǎn)品安全漏洞

Adobe Bridge是美國奧多比（Adobe）公司的一款文件查看器。Adobe Photoshop是一個由Adobe公司開發(fā)和發(fā)行的應(yīng)用軟件，用于圖像處理。Adobe InDesign是美國奧多比（Adobe）公司的一套排版編輯應(yīng)用程序。Adobe Experience Manager（AEM）是美國奧多比（Adobe）公司的一套可用于構(gòu)建網(wǎng)站、移動應(yīng)用程序和表單的內(nèi)容管理解決方案。該方案支持移動內(nèi)容管理、營銷銷售活動管理和多站點(diǎn)管理等。上周，上述產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞讀取任意文件，在當(dāng)前用戶的上下文中執(zhí)行任意代碼，導(dǎo)致緩沖區(qū)溢出等。

CNVD收錄的相關(guān)漏洞包括：Adobe Bridge資源管理錯誤漏洞（CNVD-2022-66014、CNVD-2022-66013）、Adobe Photoshop緩沖區(qū)溢出漏洞（CNVD-2022-66018、CNVD-2022-66021、CNVD-2022-66022）、Adobe InDesign緩沖區(qū)溢出漏洞（CNVD-2022-66017）、Adobe Bridge緩沖區(qū)溢出漏洞（CNVD-2022-66015）、Adobe Experience Manager跨站腳本漏洞（CNVD-2022-66019）。其中，除“Adobe Bridge資源管理錯誤漏洞（CNVD-2022-66014）、Adobe InDesign緩沖區(qū)溢出漏洞（CNVD-2022-66017）、Adobe Experience Manager跨站腳本漏洞（CNVD-2022-66019）”外，其余漏洞的綜合評級為“高危”。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。

IBM產(chǎn)品安全漏洞

IBM Security Identity Governance and Intelligence（IGI）是美國IBM公司的一套身份治理解決方案。該產(chǎn)品包括生命周期管理、訪問風(fēng)險評估和身份認(rèn)證管理等功能。IBM Cognos Controller是美國IBM公司的一套商業(yè)智能與計劃解決方案。該產(chǎn)品具有流程自動化、財務(wù)審計控制、創(chuàng)建和管理財務(wù)報告等功能。IBM InfoSphere Information Server是美國IBM公司的一套數(shù)據(jù)整合平臺。該平臺可用于整合各種渠道獲取的數(shù)據(jù)信息。IBM Guardium Data Encryption是獲取定價信息、用于保護(hù)數(shù)據(jù)和業(yè)務(wù)的加密解決方案 。IBM Engineering Requirements Quality Assistant是美國IBM公司的一款基于Watson AI用于輔助開發(fā)人員提高工程需求質(zhì)量的軟件。該應(yīng)用可顯著降低發(fā)現(xiàn)缺陷成本，有利于盡早發(fā)現(xiàn)工程流程中的需求錯誤，加快產(chǎn)品上市。IBM Data Virtualization on Cloud Pak for Data是美國IBM公司的一種云原生解決方案。可讓您快速高效地使用數(shù)據(jù)。IBM Business Automation Workflow是美國IBM公司的一套工作流程自動化解決方案。該產(chǎn)品主要用于工作流程管理、合規(guī)性管理，并具有工作流程可見性和可擴(kuò)展等特點(diǎn)。上周，上述產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞獲取敏感信息或消耗內(nèi)存資源，在Web UI中嵌入任意JavaScript代碼，造成應(yīng)用拒絕服務(wù)等。

CNVD收錄的相關(guān)漏洞包括：IBM Security Identity Governance and Intelligence信息泄露漏洞（CNVD-2022-66259）、IBM Cognos Controller XML外部實(shí)體注入漏洞（CNVD-2022-66264、CNVD-2022-66265）、IBM InfoSphere Information Server跨站腳本漏洞（CNVD-2022-66262）、IBM Guardium Data Encryption信息泄漏漏洞（CNVD-2022-66261）、IBM Engineering Requirements Quality Assistant拒絕服務(wù)漏洞、IBM Data Virtualization on Cloud Pak for Data信息泄露漏洞、IBM Business Automation Workflow和Business Process Manager信息泄露漏洞。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。

Linux kernel拒絕服務(wù)漏洞（CNVD-2022-66585）

Linux kernel是美國Linux基金會的開源操作系統(tǒng)Linux所使用的內(nèi)核。上周，Linux kernel被披露存在拒絕服務(wù)漏洞。攻擊者可利用該漏洞通過io_uring觸發(fā)Linux kernel的內(nèi)存損壞，從而導(dǎo)致拒絕服務(wù)。目前，廠商尚未發(fā)布上述漏洞的修補(bǔ)程序。

小結(jié)

上周，Google產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞提升權(quán)限，在系統(tǒng)上執(zhí)行任意代碼。此外，Microsoft、Adobe、IBM等多款產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞讀取任意文件，獲取敏感信息，執(zhí)行任意代碼，導(dǎo)致權(quán)限提升，造成拒絕服務(wù)等。另外，Linux kernel被披露存在拒絕服務(wù)漏洞。攻擊者可利用該漏洞通過io_uring觸發(fā)Linux kernel的內(nèi)存損壞，從而導(dǎo)致拒絕服務(wù)。建議相關(guān)用戶隨時關(guān)注上述廠商主頁，及時獲取修復(fù)補(bǔ)丁或解決方案。

中國電子銀行網(wǎng)綜合CNVD、中國銀行微銀行、交通銀行、鄭州銀行、微青銀、桂林銀行金融服務(wù)、營口銀行、東莞銀行報道

關(guān)鍵詞： 拒絕服務(wù) 信息安全 權(quán)限提升