國家信息安全漏洞共享平臺上周共收集、整理信息安全漏洞405個，互聯(lián)網(wǎng)上出現(xiàn)“FacturaScripts跨站腳本漏洞（CNVD-2022-76230）、Survey Sparrow Enterprise Survey Software跨站腳本漏洞”等零日代碼攻擊漏洞，上周信息安全漏洞威脅整體評價級別為中。中國電子銀行網(wǎng)為您梳理過去一周的信息安全行業(yè)要聞并告警重要漏洞，深入探討信息安全知識。

(資料圖片)

一周行業(yè)要聞速覽

【反詐】視頻換臉、合成語音……“AI技術(shù)”詐騙要警惕！

隨著現(xiàn)代科技飛速發(fā)展，一些不法分子利用音頻、視頻讀取合成技術(shù)，把搜集到的人臉、聲音等信息合成到一起，變成他們謀財?shù)氖侄?，這就是新型“AI技術(shù)”詐騙，小編特意給大家搜集整理了3類常見騙局，不可不防!>>詳細(xì)

【新市民小課堂】小心！揭秘騙子“洗錢”套路，遠(yuǎn)離洗錢陷阱

不隨意出借身份證供他人使用。不輕信、不參與所謂資本運(yùn)作傳銷項(xiàng)目，不提供資金轉(zhuǎn)移交易。>>詳細(xì)

投資理財類詐騙真相：你貪收益，他圖本金！

銀行存款利率不夠高?有沒有更高收益的產(chǎn)品?有人為追求資金高收益，通過網(wǎng)絡(luò)搜索高收益“理財產(chǎn)品”或者通過微信群跟著“投資專家”理財，殊不知落入詐騙圈套，本金一去不復(fù)返!>>詳細(xì)

以案說險！“雙十一”防騙攻略請查收

妥善保管好自已的身份證件、手機(jī)、銀行卡、密碼。不向銀行和支付機(jī)構(gòu)業(yè)務(wù)流程外的任何渠道提供銀行卡密碼和手機(jī)驗(yàn)證碼。>>詳細(xì)

鯉想金融小課堂：冒充電商客服詐騙

對對方發(fā)來的網(wǎng)站鏈接和二維碼首先不要輕信，謹(jǐn)慎點(diǎn)開，不要隨意下載APP，不要相信來歷不明的網(wǎng)站里的內(nèi)容。>>詳細(xì)

CFCA云證簽：移動端輕量化CA認(rèn)證產(chǎn)品 打開APP即掃即簽！

中國金融認(rèn)證中心（CFCA）陸續(xù)推出了云證通、Fido+、手機(jī)盾等手機(jī)端證書認(rèn)證產(chǎn)品，通過提供SDK軟件開發(fā)工具包（Software Development Kit），由業(yè)務(wù)方APP進(jìn)行開發(fā)集成，為業(yè)務(wù)方APP提供證書認(rèn)證、生物識別等功能。>>詳細(xì)

警惕！莫要淪為“跑分”工具人，警銀協(xié)作成功打擊販卡團(tuán)伙

多知道、多了解、多掌握一些電信網(wǎng)絡(luò)詐騙防范知識，面對詐騙做到不輕信、不透露、不轉(zhuǎn)賬。>>詳細(xì)

安全威脅播報

上周漏洞基本情況

上周（2022年11月7日-11月13日）信息安全漏洞威脅整體評價級別為中。國家信息安全漏洞共享平臺（以下簡稱CNVD）上周共收集、整理信息安全漏洞405個，其中高危漏洞172個、中危漏洞169個、低危漏洞64個。漏洞平均分值為6.09。上周收錄的漏洞中，涉及0day漏洞311個（占77%），其中互聯(lián)網(wǎng)上出現(xiàn)“FacturaScripts跨站腳本漏洞（CNVD-2022-76230）、Survey Sparrow Enterprise Survey Software跨站腳本漏洞”等零日代碼攻擊漏洞。

上周重要漏洞安全告警

F5產(chǎn)品安全漏洞

F5 F5OS-A是美國F5公司的一種操作系統(tǒng)軟件。F5 BIG-IP是F5公司的一款集成了網(wǎng)絡(luò)流量編排、負(fù)載均衡、智能DNS，遠(yuǎn)程接入策略管理等功能的應(yīng)用交付平臺。上周，上述產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞獲取對Docker注冊表的只讀訪問權(quán)，導(dǎo)致服務(wù)降級，從而導(dǎo)致BIG-IP系統(tǒng)上的拒絕服務(wù)等。

CNVD收錄的相關(guān)漏洞包括：F5 F5OS-A信息泄露漏洞、F5 BIG-IP資源管理錯誤漏洞（CNVD-2022-74967、CNVD-2022-74965）、F5 BIG-IP輸入驗(yàn)證錯誤漏洞（CNVD-2022-74966）、F5 BIG-IP路徑遍歷漏洞、F5 BIG-IP代碼問題漏洞（CNVD-2022-74968）、F5 BIG-IP iControl SOAP目錄遍歷漏洞、F5 BIG-IP APM資源管理錯誤漏洞（CNVD-2022-74964）。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。

Microsoft產(chǎn)品安全漏洞

Microsoft Windows SMB Server是美國微軟（Microsoft）公司的一個網(wǎng)絡(luò)文件共享協(xié)議。它允許計(jì)算機(jī)上的應(yīng)用程序讀取和寫入文件以及從計(jì)算機(jī)網(wǎng)絡(luò)中的服務(wù)器程序請求服務(wù)。Microsoft Windows是美國微軟（Microsoft）公司的一種桌面操作系統(tǒng)。Microsoft Windows Remote Desktop Protocol（RDP）是美國微軟（Microsoft）公司的一款用于連接遠(yuǎn)程Windows桌面的應(yīng)用。Microsoft Windows Network File System是美國微軟（Microsoft）公司的一種文件共享解決方案，可讓您使用 NFS 協(xié)議在運(yùn)行 Windows Server 和 UNIX 操作系統(tǒng)的計(jì)算機(jī)之間傳輸文件。Microsoft Graphics Components是美國微軟（Microsoft）公司的圖形驅(qū)動組件。Microsoft Dynamics是美國微軟（Microsoft）公司的一套適用于跨國企業(yè)的ERP業(yè)務(wù)解決方案。該產(chǎn)品包括財務(wù)管理、生產(chǎn)管理和商業(yè)智能管理等。上周，上述產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞執(zhí)行任意代碼。

CNVD收錄的相關(guān)漏洞包括：Microsoft Windows SMB遠(yuǎn)程代碼執(zhí)行漏洞（CNVD-2022-74599、CNVD-2022-74598、CNVD-2022-74596）、Microsoft Windows Server Service遠(yuǎn)程代碼執(zhí)行漏洞、Microsoft Windows Remote Desktop Protocol遠(yuǎn)程代碼執(zhí)行漏洞、Microsoft Windows Network File System遠(yuǎn)程代碼執(zhí)行漏洞（CNVD-2022-74601）、Microsoft Windows Graphics組件遠(yuǎn)程代碼執(zhí)行漏洞（CNVD-2022-74593）、Microsoft Dynamics 365 (on-premises)遠(yuǎn)程代碼執(zhí)行漏洞。其中，“Microsoft Windows Server Service遠(yuǎn)程代碼執(zhí)行漏洞、Microsoft Windows Remote Desktop Protocol遠(yuǎn)程代碼執(zhí)行漏洞、Microsoft Windows Network File System遠(yuǎn)程代碼執(zhí)行漏洞（CNVD-2022-74601）、Microsoft Windows Graphics組件遠(yuǎn)程代碼執(zhí)行漏洞（CNVD-2022-74593）、Microsoft Dynamics 365 (on-premises)遠(yuǎn)程代碼執(zhí)行漏洞”漏洞的綜合評級為“高危”。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。

Apache產(chǎn)品安全漏洞

Apache UIMA是美國阿帕奇（Apache）基金會的一個組件化的軟件架構(gòu)。用于分析同終端用戶相關(guān)聯(lián)的大容量非結(jié)構(gòu)化信息。Apache Traffic Server（ATS或TS）是一個高性能的、模塊化的HTTP代理和緩存服務(wù)器，與Nginx和Squid類似。Traffic Server最初是Inktomi公司的商業(yè)產(chǎn)品，該公司在2003年被Yahoo收購，2009年8月Yahoo向Apache軟件基金會（ASF）貢獻(xiàn)了源代碼，并于2010年4月成為了ASF的頂級項(xiàng)目（Top-LevelProject）。 Apache TrafficServer現(xiàn)在是一個開源項(xiàng)目，開發(fā)語言為C++。Apache NiFi是一套數(shù)據(jù)處理和分發(fā)系統(tǒng)。該系統(tǒng)主要用于數(shù)據(jù)路由、轉(zhuǎn)換和系統(tǒng)中介邏輯。Apache JSPWiki是美國阿帕奇（Apache）基金會的一款基于Java、Servlet和JSP構(gòu)建的開源WikiWiki引擎。Apache Isis是美國阿帕奇（Apache）基金會的一個用于在Java中快速開發(fā)領(lǐng)域驅(qū)動應(yīng)用程序的框架。Apache Hadoop是美國阿帕奇（Apache）基金會的一套開源的分布式系統(tǒng)基礎(chǔ)架構(gòu)。該產(chǎn)品能夠?qū)Υ罅繑?shù)據(jù)進(jìn)行分布式處理，并具有高可靠性、高擴(kuò)展性、高容錯性等特點(diǎn)。Apache Airflow是美國阿帕奇（Apache）基金會的一套用于創(chuàng)建、管理和監(jiān)控工作流程的開源平臺。該平臺具有可擴(kuò)展和動態(tài)監(jiān)控等特點(diǎn)。上周，上述產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞獲取敏感信息，使用精心設(shè)計(jì)的ZIP條目名稱在指定目標(biāo)目錄之外創(chuàng)建文件，執(zhí)行任意命令等。

CNVD收錄的相關(guān)漏洞包括：Apache UIMA路徑遍歷漏洞、Apache Traffic Server輸入驗(yàn)證漏洞（CNVD-2022-76238）、Apache NiFi存在命令執(zhí)行漏洞、Apache JSPWiki跨站請求偽造漏洞（CNVD-2022-76239）、Apache Isis授權(quán)問題漏洞、Apache Isis跨站腳本漏洞、Apache Hadoop代碼問題漏洞、Apache Airflow輸入驗(yàn)證錯誤漏洞。其中，“Apache UIMA路徑遍歷漏洞、Apache Traffic Server輸入驗(yàn)證漏洞（CNVD-2022-76238）、Apache NiFi存在命令執(zhí)行漏洞、Apache JSPWiki跨站請求偽造漏洞（CNVD-2022-76239）、Apache Hadoop代碼問題漏洞”的綜合評級為“高危”。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。

Siemens產(chǎn)品安全漏洞

Parasolid是一個3D幾何建模工具，它支持多種技術(shù)，包括實(shí)體建模、直接編輯和自由曲面/表建模。JT2Go是一個3D JT查看工具，允許用戶查看JT、PDF、Solid Edge、PLM XML以及可用的JT、VFZ、CGM和TIF數(shù)據(jù)。Teamcenter Visualization使企業(yè)能夠通過全面的可視化解決方案系列增強(qiáng)其產(chǎn)品生命周期管理 (PLM) 環(huán)境。該軟件使企業(yè)用戶能夠在單一環(huán)境中訪問文檔、2D圖紙和3D模型。上周，上述產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞在當(dāng)前進(jìn)程的上下文中執(zhí)行代碼。

CNVD收錄的相關(guān)漏洞包括：Siemens Parasolid越界寫入漏洞、Siemens Parasolid越界讀取漏洞、Siemens JT2Go and Teamcenter Visualization越界寫入漏洞、Siemens JT2Go and Teamcenter Visualization越界讀取漏洞（CNVD-2022-75551、CNVD-2022-75550）、Siemens JT2Go and Teamcenter Visualization免費(fèi)后使用漏洞、Siemens JT2Go and Teamcenter Visualization緩沖區(qū)溢出漏洞（CNVD-2022-75548、CNVD-2022-75553）。上述漏洞的綜合評級為“高?！?。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。

Tenda AC18遠(yuǎn)程命令執(zhí)行漏洞

Tenda AC18是中國騰達(dá)（Tenda）公司的一款路由器。上周，Tenda AC18被披露存在遠(yuǎn)程命令執(zhí)行漏洞。攻擊者可利用該漏洞在系統(tǒng)上執(zhí)行任意命令。目前，廠商尚未發(fā)布上述漏洞的修補(bǔ)程序。

小結(jié)

上周，F(xiàn)5產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞獲取對Docker注冊表的只讀訪問權(quán)，導(dǎo)致服務(wù)降級，從而導(dǎo)致BIG-IP系統(tǒng)上的拒絕服務(wù)等。此外，Microsoft 、Apache、Siemens等多款產(chǎn)品被披露存在多個漏洞，攻擊者可利用漏洞獲取敏感信息，使用精心設(shè)計(jì)的ZIP條目名稱在指定目標(biāo)目錄之外創(chuàng)建文件，執(zhí)行任意命令等。另外，Tenda AC18被披露存在遠(yuǎn)程命令執(zhí)行漏洞。攻擊者可利用漏洞在系統(tǒng)上執(zhí)行任意命令。建議相關(guān)用戶隨時關(guān)注上述廠商主頁，及時獲取修復(fù)補(bǔ)丁或解決方案。

中國電子銀行網(wǎng)綜合CNVD、中國農(nóng)業(yè)銀行、中國郵政儲蓄銀行、中國光大銀行、廣發(fā)銀行、廊坊銀行掌上資訊、杭州銀行微訊報道

關(guān)鍵詞： 信息安全 修補(bǔ)程序