國家信息安全漏洞共享平臺(tái)上周共收集、整理信息安全漏洞234個(gè)，互聯(lián)網(wǎng)上出現(xiàn)“SWFTools getGifDelayTime函數(shù)緩沖區(qū)溢出漏洞、Bento4 AP4_HdlrAtom::AP4_HdlrAtom函數(shù)拒絕服務(wù)漏洞”等零日代碼攻擊漏洞，上周信息安全漏洞威脅整體評(píng)價(jià)級(jí)別為中。中國電子銀行網(wǎng)為您梳理過去一周的信息安全行業(yè)要聞并告警重要漏洞，深入探討信息安全知識(shí)。

(資料圖片)

一周行業(yè)要聞速覽

金融防騙小貼士丨如何識(shí)別非法金融廣告

隨著金融產(chǎn)品及服務(wù)種類日益豐富，金融廣告內(nèi)容也變得五花八門，但一些不法分子卻利用各種渠道平臺(tái)投放非法金融廣告，誤導(dǎo)甚至誘騙金融消費(fèi)者，從而導(dǎo)致金融消費(fèi)者的人身權(quán)益、財(cái)產(chǎn)權(quán)益等受到損害。>>詳細(xì)

江蘇省聯(lián)社崔懷雷：數(shù)據(jù)運(yùn)用標(biāo)簽化、模糊化，保護(hù)客戶隱私

在崔懷雷看來，數(shù)據(jù)主要分為采集、傳輸、存儲(chǔ)和運(yùn)用四個(gè)環(huán)節(jié)，“這四個(gè)環(huán)節(jié)都涉及數(shù)據(jù)安全一系列問題，包括《個(gè)保法》《征信管理辦法》以及數(shù)據(jù)‘二十條’等?！?>詳細(xì)

【警惕】電信詐騙手段升級(jí)，消費(fèi)者如何防范？

向您索要“兩碼”的都是騙子！所有索要銀行卡密碼、驗(yàn)證碼的非官方鏈接，統(tǒng)統(tǒng)關(guān)閉。所有索要銀行卡密碼、驗(yàn)證碼的客服電話，統(tǒng)統(tǒng)掛斷。>>詳細(xì)

證監(jiān)會(huì)發(fā)布《證券期貨業(yè)網(wǎng)絡(luò)和信息安全管理辦法》

《辦法》全面覆蓋了包括證券期貨關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者、核心機(jī)構(gòu)、經(jīng)營機(jī)構(gòu)、信息技術(shù)系統(tǒng)服務(wù)機(jī)構(gòu)等各類主體，以安全保障為基本原則，對(duì)網(wǎng)絡(luò)和信息安全管理提出規(guī)范要求。>>詳細(xì)

【以案說險(xiǎn)】眼見不一定為實(shí)，警惕AI詐騙

青年人要及時(shí)做好家中老人的宣傳防范工作。提醒、告誡老年人在接到電話、收到短信時(shí)，只要是不認(rèn)識(shí)、不熟悉的人和事，均不要理睬，以免被誘被騙。>>詳細(xì)

【知識(shí)】警惕！這類“貸款短信”是詐騙！

短信中如果含有不明鏈接地址，需要謹(jǐn)慎對(duì)待，有疑問應(yīng)通過銀行官網(wǎng)或致電銀行客服熱線進(jìn)行咨詢，避免被釣魚的風(fēng)險(xiǎn)。>>詳細(xì)

安全課堂 | ETC停用提醒多留意，小心掉入詐騙陷阱

不要輕易點(diǎn)擊不明短信內(nèi)鏈接，不在陌生網(wǎng)址輸入身份證號(hào)、銀行卡號(hào)、驗(yàn)證碼等個(gè)人信息。>>詳細(xì)

醫(yī)療數(shù)據(jù)頻泄露？別慌！這一招全部解決！

CFCA作為我國重要的信息安全基礎(chǔ)設(shè)施之一，深入了解醫(yī)療行業(yè)數(shù)據(jù)安全管理痛點(diǎn)難點(diǎn)，圍繞數(shù)據(jù)安全的重點(diǎn)管控環(huán)節(jié)，推出了針對(duì)全生命周期的數(shù)據(jù)安全治理咨詢解決方案。>>詳細(xì)

【以案說險(xiǎn)】“代理退?！憋L(fēng)險(xiǎn)高，個(gè)人信息要守牢

根據(jù)自身需求選擇合適的金融產(chǎn)品或服務(wù)，勿受“退舊保新”“高收益”等說辭誘導(dǎo)，慎重考慮退保。>>詳細(xì)

安全威脅播報(bào)

上周漏洞基本情況

上周（2023年2月27日-3月5日）信息安全漏洞威脅整體評(píng)價(jià)級(jí)別為中。國家信息安全漏洞共享平臺(tái)（以下簡稱CNVD）上周共收集、整理信息安全漏洞234個(gè)，其中高危漏洞154個(gè)、中危漏洞72個(gè)、低危漏洞8個(gè)。漏洞平均分值為6.93。上周收錄的漏洞中，涉及0day漏洞163個(gè)（占70%），其中互聯(lián)網(wǎng)上出現(xiàn)“SWFTools getGifDelayTime函數(shù)緩沖區(qū)溢出漏洞、Bento4 AP4_HdlrAtom::AP4_HdlrAtom函數(shù)拒絕服務(wù)漏洞”等零日代碼攻擊漏洞。

上周重要漏洞安全告警

Siemens產(chǎn)品安全漏洞

Siemens Tecnomatix Plant Simulation是面向?qū)ο蟮摹D形化的、集成的建模、仿真工具。Siemens Parasolid是德國西門子（Siemens）公司的一個(gè)幾何建模內(nèi)核。Siemens Solid Edge是德國西門子（Siemens）公司的一款三維CAD軟件。該軟件可用于零件設(shè)計(jì)、裝配設(shè)計(jì)、鈑金設(shè)計(jì)、焊接設(shè)計(jì)等行業(yè)。JT Open Toolkit是為支持JT的軟件開發(fā)人員提供的應(yīng)用程序編程接口（API）。JT是由西門子數(shù)字工業(yè)軟件開發(fā)的公開發(fā)布的數(shù)據(jù)格式，廣泛用于通信、可視化、數(shù)字模型和各種其他目的。Siemens Comos是德國西門子（Siemens）公司的一個(gè)工廠工程軟件解決方案。用于過程工業(yè)。上周，上述產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞在系統(tǒng)上執(zhí)行任意代碼或者導(dǎo)致拒絕服務(wù)。

CNVD收錄的相關(guān)漏洞包括：Siemens Tecnomatix Plant Simulation越界寫入漏洞（CNVD-2023-13089、CNVD-2023-13088、CNVD-2023-13087、CNVD-2023-13090、CNVD-2023-13095）、Siemens Parasolid和Solid Edge SE2022越界讀取漏洞、Siemens JT Open和JT Utilitiesh內(nèi)存破壞漏洞、Siemens Comos緩沖區(qū)溢出漏洞。上述漏洞的綜合評(píng)級(jí)為“高?！薄Ｄ壳埃瑥S商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。

Google產(chǎn)品安全漏洞

Google Chrome是美國谷歌（Google）公司的一款Web瀏覽器。Google Android是美國谷歌（Google）公司的一套以Linux為基礎(chǔ)的開源操作系統(tǒng)。上周，上述產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞通過特制的HTML頁面繞過內(nèi)容安全策略，泄露跨域數(shù)據(jù)，提升權(quán)限等。

CNVD收錄的相關(guān)漏洞包括：Google Chrome V8類型混淆漏洞（CNVD-2023-12021）、Google Android Kernel權(quán)限提升漏洞（CNVD-2023-12019）、Google Chrome iframe Sandbox代碼問題漏洞、Google Chrome安全特制問題漏洞、Google Chrome信息泄露漏洞（CNVD-2023-12025、CNVD-2023-14253、CNVD-2023-14290、CNVD-2023-14291）。其中，除“Google Android Kernel權(quán)限提升漏洞（CNVD-2023-12019）、Google Chrome信息泄露漏洞（CNVD-2023-12025）”外，其余漏洞的綜合評(píng)級(jí)為“高危”。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。

Adobe產(chǎn)品安全漏洞

Adobe After Effects是美國奧多比（Adobe）公司的一套視覺效果和動(dòng)態(tài)圖形制作軟件。該軟件主要用于2D和3D合成、動(dòng)畫制作和視覺特效制作等。Adobe Bridge是美國奧多比（Adobe）公司的一款文件查看器。上周，上述產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞在當(dāng)前用戶的上下文中執(zhí)行任意代碼。

CNVD收錄的相關(guān)漏洞包括：Adobe After Effects輸入驗(yàn)證錯(cuò)誤漏洞、Adobe After Effects越界寫入漏洞（CNVD-2023-13729、CNVD-2023-13731）、Adobe Bridge越界寫入漏洞（CNVD-2023-13728、CNVD-2023-13734、CNVD-2023-14293）、Adobe Bridge堆棧緩沖區(qū)溢出漏洞（CNVD-2023-13735）、Adobe Bridge輸入驗(yàn)證錯(cuò)誤漏洞（CNVD-2023-14292）。上述漏洞的綜合評(píng)級(jí)為“高?！?。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。

Dell產(chǎn)品安全漏洞

Dell PowerScale OneFS是美國戴爾（Dell）公司的提供橫向擴(kuò)展NAS的PowerScale OneFS操作系統(tǒng)。上周，上述產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞通過多個(gè)受影響字段存儲(chǔ)惡意HTML或JavaScript代碼，獲取敏感信息，導(dǎo)致系統(tǒng)崩潰等。

CNVD收錄的相關(guān)漏洞包括：Dell PowerScale OneFS跨站腳本漏洞、Dell PowerScale OneFS緩沖區(qū)溢出漏洞、Dell PowerScale OneFS日志信息泄露漏洞（CNVD-2023-12626、CNVD-2023-12625、CNVD-2023-12630、CNVD-2023-12627）、Dell PowerScale OneFS信任管理問題漏洞、Dell PowerScale OneFS操作系統(tǒng)命令注入漏洞。其中，“Dell PowerScale OneFS日志信息泄露漏洞（CNVD-2023-12626、CNVD-2023-12627）、Dell PowerScale OneFS信任管理問題漏洞”的綜合評(píng)級(jí)為“高危”。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。

Tenda i9 formWifiMacFilterGet函數(shù)緩沖區(qū)溢出漏洞

Tenda i9是一款企業(yè)無線AP設(shè)備。上周，Tenda i9 formWifiMacFilterGet函數(shù)存在緩沖區(qū)溢出漏洞。攻擊者可利用該漏洞通過特制的字符串造成拒絕服務(wù)（DoS）。目前，廠商尚未發(fā)布上述漏洞的修補(bǔ)程序。

小結(jié)

上周，Siemens產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞在系統(tǒng)上執(zhí)行任意代碼或者導(dǎo)致拒絕服務(wù)。此外，Google、Adobe、Dell等多款產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞通過特制的HTML頁面繞過內(nèi)容安全策略，泄露跨域數(shù)據(jù)，提升權(quán)限，在當(dāng)前用戶的上下文中執(zhí)行任意代碼，導(dǎo)致系統(tǒng)崩潰等。另外，Tenda i9 formWifiMacFilterGet函數(shù)被披露存在緩沖區(qū)溢出漏洞。攻擊者可利用該漏洞通過特制的字符串造成拒絕服務(wù)（DoS）。建議相關(guān)用戶隨時(shí)關(guān)注上述廠商主頁，及時(shí)獲取修復(fù)補(bǔ)丁或解決方案。

中國電子銀行網(wǎng)綜合CNVD、21世紀(jì)經(jīng)濟(jì)報(bào)道、證券日?qǐng)?bào)、招商銀行、興業(yè)銀行、北京銀行微銀行、河北銀行、貴州銀行、江西轄內(nèi)農(nóng)商銀行微銀行報(bào)道

關(guān)鍵詞：