国家信息安全漏洞共享平台上周共收集、整理信息安全漏洞240个，互联网上出现“FiberHomeFiberhome AN5506-04-F跨站脚本漏洞、OFCMS后台ueditor uploadScrawl文件上传漏洞”等零日代码攻击漏洞，上周信息安全漏洞威胁整体评价级别为中。中国电子银行网为您梳理过去一周的信息安全行业要闻，告警重要漏洞并推出技术观澜，深入探讨信息安全知识。

　　一周行业要闻速览

　　全国人大代表、贵阳市长陈晏： 数据库和数据安全是探索重点

　　从当前的实践看，大数据产业若要迎来产业规模的突破，关键在于数据的处理和个人隐私保护。背后的关键则在于数据库。这是现代信息技术领域的三大核心基础之一，是大数据产业的核心技术，决定了大数据存储、管理和应用的高效性，对于各行各业的大数据应用都具有不可替代的作用。>>详细

　　生物识别：传统信息安全在新技术环境的创新应用

　　生物识别既是重要的模式识别和计算机视觉学科前沿方向，也是人工智能落地最快和商业市场规模最大的主要方向之一，然而，生物识别涉及各攸关方利益、隐私、道德、法律等问题，也必然引发广泛关注。>>详细

　　315特辑│电子证据保全司法效用：让海量数据“进得来、出得去、改不了”

　　当面对面的线下业务场景转至线上，如何保证业务办理过程的安全性，降低电子缔约可能出现的司法风险？电子数据因易破坏、易篡改、易伪造等特点，不能作为证据直接使用，如何将电子数据有效地转化为电子证据，并将分散的电子数据进行司法证据关联？>>详细

　　自带指纹验证银行卡问世再也不用输密码了

　　苏格兰皇家银行即将测试一种全新的生物验证银行卡，该银行卡自己具有指纹识别功能，能够在购物时对用户的身份进行认证。这将极大提升安全性。>>详细

　　广发信用卡：增强信息安全意识科技护航金融消费安全

　　大数据时代，个人信息泄漏尤其是金融消费信息泄露常给大众生活带来诸多安全隐患，甚至直接导致财产损失。那么，个人信息到底是如何泄露的？怎样保护个人信息确保金融消费安全呢？>>详细

　　趋势科技发现针对巴西和台湾银行的无文件银行特洛伊木马

　　无文件恶意软件是黑客用来访问用户设备而不必在设备上写入或留下活动痕迹的恶意软件。使用此方法，可执行文件不会出现在磁盘上。它使用mshta.exe等程序中已存在的可执行文件。此外，恶意软件通常使用Powershell。>>详细

　　加密货币挖矿类恶意软件仍是互联网的一大威胁但已有下滑的趋势

　　Check Point最新发布的全球恶意软件报告显示，加密货币挖矿类恶意软件，仍然是互联网上最为活跃的一大威胁，前十里面有五个都是它。>>详细

　　美国会议员提出了改善物联网设备安全性的新法案

　　在默认的密码和无法修复的漏洞等问题面前，形势显得非常严峻。去年的参议院听证会上，国防情报局长罗伯特·阿什利中将(Lt。 General Robert Ashley)向议员们表示：“对美国国家安全来说，不安全的物联网设备，是需要被重点考量的新兴网络威胁之一”。>>详细

　　剧透：英特尔CPU 再曝漏洞

　　该安全漏洞利用方式多样，浏览器页面中的恶意JavaScript、系统上运行的恶意软件，或者恶意登入用户，都可以利用该漏洞从内存中抽取口令、密钥和其他数据。>>详细

　　技术观澜

　　从DoS 到APDoS:DDoS 攻击进化史

　　另一个趋势是在攻击中使用多个攻击向量，也称为高级持久拒绝服务(APDoS)。例如，APDoS攻击可能涉及应用层，例如对数据库和应用程序的攻击以及直接在服务器上的攻击。>>详细

　　安全威胁播报

　　上周漏洞基本情况

　　上周(2019 年03 月04 日-2019 年03 月10 日)信息安全漏洞威胁整体评价级别为中。

　　国家信息安全漏洞共享平台(以下简称CNVD)上周共收集、整理信息安全漏洞240个，其中高危漏洞105个、中危漏洞122个、低危漏洞13个。漏洞平均分值为6.38。上周收录的漏洞中，涉及0day漏洞115个(占48%)，其中互联网上出现“FiberHomeFiberhome AN5506-04-F跨站脚本漏洞、OFCMS后台ueditor uploadScrawl文件上传漏洞”等零日代码攻击漏洞。

　　上周重要漏洞安全告警

　　Cisco产品安全漏洞

　　Cisco HyperFlex Software是一套可扩展的分布式文件系统。Cisco Prime Infrastructure是一种网络管理工具，支持从一个图形界面对整个网络基础设施进行全生命周期管理。Cisco Nexus 9000系列交换机是专为数据中心设计的模块化和固定端口网络交换机。Cisco NX-OS是一套交换机使用的数据中心级操作系统软件。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞实施中间人攻击，查看并修改敏感信息，提升权限，执行任意命令，发起拒绝服务攻击等。

　　CNVD收录的相关漏洞包括：Cisco HyperFlex跨站脚本漏洞、Cisco HyperFlex Software远程命令注入漏洞、Cisco Prime Infrastructure SSL证书验证安全绕过漏洞、Cisco Nexus 9000 ACI模式任意文件读取漏洞、Cisco Nexus 9000 ACI模式权限提升漏洞、Cisco NX-OS拒绝服务漏洞、Cisco NX-OS权限提升漏洞、Cisco Nexus 9000系列交换矩阵交换机本地命令注入漏洞。其中，“Cisco HyperFlex Software远程命令注入漏洞、Cisco Nexus 9000 ACI模式权限提升漏洞、Cisco NX-OS权限提升漏洞、Cisco Nexus 9000系列交换矩阵交换机本地命令注入漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

　　Linux产品安全漏洞

　　Linux kernel是美国Linux基金会的发布的开源操作系统Linux所使用的内核。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞提升权限，造成拒绝服务或执行任务代码。

　　CNVD收录的相关漏洞包括：Linux kernel‘update_blocked_averages’函数无限循环漏洞、Linux kernel内存错误引用漏洞(CNVD-2019-06182)、Linux kernel本地权限提升漏洞(CNVD-2019-06183)、Linux kernel drivers/char/ipmi/ipmi_msghandler.c文件内存错误引用漏洞、Linux Kernel ‘xfs_attr.c’本地拒绝服务漏洞、Linux kernel ‘usb_audio_probe’函数内存错误引用漏洞、Linux kernel子系统拒绝服务漏洞、Linux kernel NFS41+子系统内存错误引用漏洞。其中，“Linux kernel ‘update_blocked_averages’函数无限循环漏洞、Linux kernel内存错误引用漏洞(CNVD-2019-06182)、Linux kerneldrivers/char/ipmi/ipmi_msghandler.c文件内存错误引用漏洞、Linux kernel子系统拒绝服务漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

　　IBM产品安全漏洞

　　IBM Sterling B2B Integrator是一套集成了重要的B2B流程、交易和关系的软件。IBM Cloud Private是一套企业私有云解决方案。IBM Rational DOORS Next Generation(DNG/RRC)是一套用于捕获、跟踪、分析和管理需求的软件。IBM WebSphere ApplicationServer(WAS)是一款应用服务器产品。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞伪造URL，实施钓鱼攻击，获取敏感信息，向Web UI中注入任意的JavaScript代码。

　　CNVD收录的相关漏洞包括：IBM Sterling B2BIntegrator跨站脚本漏洞(CNVD-2019-06044、CNVD-2019-06047、CNVD-2019-06160)、IBM Sterling B2B Integrator信息泄露漏洞(CNVD-2019-06050)、IBM Cloud Private信息泄露漏洞(CNVD-2019-06159)、IBM Cloud Private重定向漏洞、IBM Rational DOORS Next Generation跨站脚本漏洞(CNVD-2019-06352)、IBM WebSphere ApplicationServer跨站脚本漏洞(CNVD-2019-06354)。其中，“IBM Cloud Private重定向漏洞” 的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

　　Moxa产品安全漏洞

　　Moxa IKS和EDS是Moxa推出的工业交换机系列。Moxa NPort W2x50A是一款用于将工业串口设备连上网络的串口通讯服务器。上周，该产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，执行任意代码，发起拒绝服务攻击等。

　　CNVD收录的相关漏洞包括：Moxa IKS和EDS越界读取漏洞、Moxa IKS和EDS明文密码存储漏洞、Moxa IKS和EDS不受控资源消耗漏洞、Moxa NPort W2x50A操作系统命令注入漏洞、Moxa IKS和EDS缓冲区溢出漏洞、Moxa IKS和EDS跨站请求伪造漏洞、Moxa IKS和EDS跨站脚本漏洞、Moxa IKS和EDS访问控制不当漏洞。上述漏洞的综合评级为“高危”。厂商已经发布了上述漏洞的修补程序。

　　Dell EMC RSA Archer信息泄露漏洞(CNVD-2019-06042)

　　Dell EMC RSA Archer是一款企业IT治理和合规治理产品。上周，Dell EMC RSA Archer被披露存在信息泄露漏洞。攻击者可利用该漏洞泄露信息。

　　小结

　　上周，Cisco被披露存在多个漏洞，攻击者可利用漏洞攻击者可利用漏洞实施中间人攻击，查看并修改敏感信息，提升权限，执行任意命令，发起拒绝服务攻击等。此外，Linux、IBM、Moxa等多款产品被披露存在多个漏洞，攻击者可利用漏洞提升权限，伪造URL，实施钓鱼攻击，获取敏感信息，向WebUI中注入任意的JavaScript代码，发起拒绝服务攻击等另外，Dell EMC RSA Archer被披露存在信息泄露漏洞。攻击者可利用该漏洞泄露信息。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

（文章来源：中国电子银行网）