金融數(shù)據(jù)安全強(qiáng)調(diào)全域安全 下一代無(wú)線通信技術(shù)標(biāo)準(zhǔn)5G NR
添加時(shí)間：2019-06-07 瀏覽次數(shù)：2538
國(guó)家信息安全漏洞共享平臺(tái)上周共收集、整理信息安全漏洞293個(gè)，互聯(lián)網(wǎng)上出現(xiàn)“Joomla Com_Attachments組件文件上傳漏洞、VFront跨站腳本漏洞”等零日代碼攻擊漏洞，上周信息安全漏洞威脅整體評(píng)價(jià)級(jí)別為中。中國(guó)電子銀行網(wǎng)為您梳理過(guò)去一周的信息安全行業(yè)要聞，告警重要漏洞并推出技術(shù)觀瀾，深入探討信息安全知識(shí)。
一周行業(yè)要聞速覽
CFCA張行：金融業(yè)數(shù)據(jù)安全應(yīng)強(qiáng)調(diào)全域安全
構(gòu)建在互聯(lián)網(wǎng)和信息科技上的現(xiàn)代金融服務(wù)業(yè)，安全是金融行業(yè)的基石和命脈，安全從來(lái)都是金融行業(yè)最為關(guān)注的重點(diǎn)。>>詳細(xì)
工信部公布網(wǎng)絡(luò)安全試點(diǎn)項(xiàng)目名單，物聯(lián)網(wǎng)或許是重中之重
工信部披露網(wǎng)絡(luò)安全技術(shù)應(yīng)用試點(diǎn)示范項(xiàng)目名單，中國(guó)電信IPTV網(wǎng)絡(luò)信息安全“五位一體”防護(hù)平臺(tái)等101個(gè)項(xiàng)目上榜。>>詳細(xì)
銀聯(lián)最新通知：打擊一機(jī)多戶、非法交易、套碼、移機(jī)等問(wèn)題
通知顯示，為了進(jìn)一步強(qiáng)化銀聯(lián)卡收單市場(chǎng)的合規(guī)管理，銀聯(lián)再次重申相關(guān)規(guī)范，要求收單機(jī)構(gòu)全面排查梳理自身或合作外包機(jī)構(gòu)的業(yè)務(wù)情況，徹底杜絕相關(guān)違規(guī)行為。>>詳細(xì)
三部門(mén)聯(lián)合發(fā)文！保護(hù)個(gè)人信息安全刻不容緩！
通過(guò)啟用HTTPS，在客戶端與網(wǎng)站服務(wù)端之間建立一條安全的加密通道，對(duì)傳輸?shù)臄?shù)據(jù)進(jìn)行加密，確保數(shù)據(jù)在傳輸過(guò)程中的完整性和保密性，有效防止數(shù)據(jù)泄露及篡改。>>詳細(xì)
近期蘋(píng)果賬號(hào)密集被盜 支付寶等成盜刷重災(zāi)區(qū) 受害者追償難
近期消費(fèi)投訴網(wǎng)站聚投訴上出現(xiàn)了大量關(guān)于蘋(píng)果賬號(hào)（Apple ID）被盜后，支付寶、螞蟻花唄和微信支付等被盜刷的投訴。>>詳細(xì)
是時(shí)候拋棄谷歌了嗎？YouTube、Gmail 等多項(xiàng)谷歌服務(wù)突遭全球范圍的大規(guī)模宕機(jī)，蘋(píng)果部分業(yè)務(wù)也遭遇影響！
這是因?yàn)楣雀柙谠谌蚍秶鷥?nèi)遭遇了大規(guī)模宕機(jī)，包括Gmail、YouTube和Google Drive在內(nèi)基于谷歌云架構(gòu)服務(wù)的諸多谷歌服務(wù)均受到本次宕機(jī)的影響。>>詳細(xì)
技術(shù)觀瀾
5G NR 標(biāo)準(zhǔn)：下一代無(wú)線通信技術(shù)
5G在更寬泛的語(yǔ)境中，常常用來(lái)意指未來(lái)移動(dòng)通信能夠支持的、可預(yù)見(jiàn)的應(yīng)用服務(wù)。2017標(biāo)準(zhǔn)化組織3GPP推出第一版5G技術(shù)規(guī)范NR。>>詳細(xì)
安全威脅播報(bào)
本周漏洞基本情況
本周（2019 年5 月27 日6 月2 日）信息安全漏洞威脅整體評(píng)價(jià)級(jí)別為中。
國(guó)家信息安全漏洞共享平臺(tái)（以下簡(jiǎn)稱CNVD）本周共收集、整理信息安全漏洞293個(gè)，其中高危漏洞97個(gè)、中危漏洞167個(gè)、低危漏洞29個(gè)。漏洞平均分值為5.81。本周收錄的漏洞中，涉及0day漏洞134個(gè)（占46%），其中互聯(lián)網(wǎng)上出現(xiàn)“Joomla Com_Attachments組件文件上傳漏洞、VFront跨站腳本漏洞”等零日代碼攻擊漏洞。
本周重要漏洞安全告警
Microsoft產(chǎn)品安全漏洞
Microsoft Internet Explorer（IE）是一款Windows操作系統(tǒng)附帶的Web瀏覽器。Microsoft Edge是一款Windows 10之后版本系統(tǒng)附帶的Web瀏覽器。Microsoft ChakraCore是使用在Edge瀏覽器中的一個(gè)開(kāi)源的ChakraJavaScript腳本引擎的核心部分，也可作為單獨(dú)的JavaScript引擎使用。本周，上述產(chǎn)品被披露存在緩沖區(qū)溢出漏洞，攻擊者可利用漏洞導(dǎo)致緩沖區(qū)溢出或堆溢出等。
CNVD收錄的相關(guān)漏洞包括：Microsoft Edge和ChakraCore緩沖區(qū)溢出漏洞（CNVD-2019-16202、CNVD-2019-16201、CNVD-2019-16203、CNVD-2019-16206、CNVD-2019-16205、CNVD-2019-16207）、Microsoft InternetExplorer緩沖區(qū)溢出漏洞（CNVD-2019-16204）、Microsoft Edge緩沖區(qū)溢出漏洞。上述漏洞的綜合評(píng)級(jí)為“高?！薄Ｄ壳?，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。
Schneider Electric產(chǎn)品安全漏洞
Schneider Electric Modicon M580、M340是一款可編程自動(dòng)化控制器。Schneider ElectricTriconex TriStation Emulator是一款Triconex仿真模擬器。Schneider Electric 1st Gen Pelco Sarix Enhanced Camera是一系列固定式IP攝像機(jī)。Schneider Electric SpectraEnhanced PTZ Camera是一系列球型IP攝像機(jī)。本周，上述產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞提交特殊的請(qǐng)求，可進(jìn)行拒絕服務(wù)攻擊，執(zhí)行任意的操作系統(tǒng)命令等。
CNVD收錄的相關(guān)漏洞包括：Schneider Electric Modicon越界寫(xiě)拒絕服務(wù)漏洞、Schneider Electric Modicon非法內(nèi)存塊寫(xiě)拒絕服務(wù)漏洞、Schneider Electric Modicon非法斷點(diǎn)參數(shù)拒絕服務(wù)漏洞、Schneider Electric Triconex TriStation Emulator拒絕服務(wù)漏洞、Schneider Electric 1st Gen. Pelco Sarix Enhanced Camera和Spectra Enhanced PTZ Camera跨站請(qǐng)求偽造漏洞、Schneider Electric 1st Gen Pelco Sarix Enhanced Camera命令注入漏洞（CNVD-2019-16261、CNVD-2019-16259）、Schneider Electric 1st Gen. Pelco Sarix Enhanced Camera和Spectra Enhanced PTZ Camera任意OS命令執(zhí)行漏洞。其中，“Schneider Electric 1st GenPelco Sarix Enhanced Camera命令注入漏洞（CNVD-2019-16259）、Schneider Electric 1st Gen. Pelco Sarix Enhanced Camera和Spectra Enhanced PTZ Camera任意OS命令執(zhí)行漏洞”的綜合評(píng)級(jí)為“高危”。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。
Open-Xchange產(chǎn)品安全漏洞
Open-Xchange OX App Suite是一套Web云桌面環(huán)境。本周，上述產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞獲取受影響組件敏感信息，執(zhí)行客戶端代碼等。
CNVD收錄的相關(guān)漏洞包括：Open-Xchange OX App Suite訪問(wèn)控制錯(cuò)誤漏洞（CNVD-2019-15534、CNVD-2019-15677）、Open-Xchange OX App Suite跨站腳本漏洞（CNVD-2019-15656、CNVD-2019-15675）、Open-Xchange GmbH OX App Suite跨站腳本漏洞、Open-Xchange OX App Suite訪問(wèn)控制錯(cuò)誤漏洞、Open-Xchange OX App Suite信息泄露漏洞（CNVD-2019-16163）、Open-Xchange OX App Suite授權(quán)問(wèn)題漏洞。其中，“Open-Xchange OX App Suite訪問(wèn)控制錯(cuò)誤漏洞（CNVD-2019-15534、CNVD-2019-16065）、Open-Xchange OX App Suite授權(quán)問(wèn)題漏洞”的綜合評(píng)級(jí)為“高?！?。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。
Oracle產(chǎn)品安全漏洞
Oracle MySQL是一套開(kāi)源的關(guān)系數(shù)據(jù)庫(kù)管理系統(tǒng)。Oracle JD Edwards Products是一套全面集成的企業(yè)資源計(jì)劃管理軟件套件（ERP）。Oracle Retail Applications是一套零售應(yīng)用商店解決方案。Oracle Siebel CRM是一套客戶關(guān)系管理解決方案。Oracle Enterprise Manager Products Suite是一套企業(yè)內(nèi)部部署管理平臺(tái)。本周，該產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞未授權(quán)讀取、更新、插入或刪除數(shù)據(jù)，造成拒絕服務(wù)，影響數(shù)據(jù)的保密性、完整性和可用性。
CNVD收錄的相關(guān)漏洞包括：Oracle MySQL Server拒絕服務(wù)漏洞（CNVD-2019-16231、CNVD-2019-16233、CNVD-2019-16232、CNVD-2019-16234）、Oracle JD Edwards Products JD Edwards EnterpriseOne Tools訪問(wèn)控制錯(cuò)誤漏洞、Oracle Retail Applications Retail Point-of-Service訪問(wèn)控制錯(cuò)誤漏洞、Oracle Siebel CRM Siebel Core-Server BizLogic Script訪問(wèn)控制錯(cuò)誤漏洞、Oracle Enterprise Manager Products Suite ApplicationTesting Suite訪問(wèn)控制錯(cuò)誤漏洞。其中，“Oracle Retail ApplicationsRetail Point-of-Service訪問(wèn)控制錯(cuò)誤漏洞” 的綜合評(píng)級(jí)為“高?！薄Ｄ壳?，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。
Westermo DR-260、DR-250和MR-260跨站請(qǐng)求偽造漏洞
Westermo DR-260是一款DSL路由器。Westermo DR-250是一款DSL路由器。Westermo MR-260是一款3G多媒體路由器。
Westermo DR-260、DR-250和MR-260被披露存在跨站請(qǐng)求偽造漏洞。攻擊者可利用該漏洞通過(guò)受影響客戶端向服務(wù)器發(fā)送非預(yù)期的請(qǐng)求。
小結(jié)
本周，Microsoft被披露存在緩沖區(qū)溢出漏洞，攻擊者可利用漏洞導(dǎo)致緩沖區(qū)溢出或堆溢出等。此外，Schneider Electric、Open-Xchange、Oracle等多款產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞獲取受影響組件敏感信息，未授權(quán)讀取、更新、插入或刪除數(shù)據(jù)，造成拒絕服務(wù)，執(zhí)行客戶端代碼等。Westermo DR-260、DR-250和MR-260被披露存在跨站請(qǐng)求偽造漏洞。攻擊者可利用該漏洞通過(guò)受影響客戶端向服務(wù)器發(fā)送非預(yù)期的請(qǐng)求。建議相關(guān)用戶隨時(shí)關(guān)注上述廠商主頁(yè)，及時(shí)獲取修復(fù)補(bǔ)丁或解決方案。
一周行業(yè)要聞速覽
CFCA張行：金融業(yè)數(shù)據(jù)安全應(yīng)強(qiáng)調(diào)全域安全
構(gòu)建在互聯(lián)網(wǎng)和信息科技上的現(xiàn)代金融服務(wù)業(yè)，安全是金融行業(yè)的基石和命脈，安全從來(lái)都是金融行業(yè)最為關(guān)注的重點(diǎn)。>>詳細(xì)
工信部公布網(wǎng)絡(luò)安全試點(diǎn)項(xiàng)目名單，物聯(lián)網(wǎng)或許是重中之重
工信部披露網(wǎng)絡(luò)安全技術(shù)應(yīng)用試點(diǎn)示范項(xiàng)目名單，中國(guó)電信IPTV網(wǎng)絡(luò)信息安全“五位一體”防護(hù)平臺(tái)等101個(gè)項(xiàng)目上榜。>>詳細(xì)
銀聯(lián)最新通知：打擊一機(jī)多戶、非法交易、套碼、移機(jī)等問(wèn)題
通知顯示，為了進(jìn)一步強(qiáng)化銀聯(lián)卡收單市場(chǎng)的合規(guī)管理，銀聯(lián)再次重申相關(guān)規(guī)范，要求收單機(jī)構(gòu)全面排查梳理自身或合作外包機(jī)構(gòu)的業(yè)務(wù)情況，徹底杜絕相關(guān)違規(guī)行為。>>詳細(xì)
三部門(mén)聯(lián)合發(fā)文！保護(hù)個(gè)人信息安全刻不容緩！
通過(guò)啟用HTTPS，在客戶端與網(wǎng)站服務(wù)端之間建立一條安全的加密通道，對(duì)傳輸?shù)臄?shù)據(jù)進(jìn)行加密，確保數(shù)據(jù)在傳輸過(guò)程中的完整性和保密性，有效防止數(shù)據(jù)泄露及篡改。>>詳細(xì)
近期蘋(píng)果賬號(hào)密集被盜 支付寶等成盜刷重災(zāi)區(qū) 受害者追償難
近期消費(fèi)投訴網(wǎng)站聚投訴上出現(xiàn)了大量關(guān)于蘋(píng)果賬號(hào)（Apple ID）被盜后，支付寶、螞蟻花唄和微信支付等被盜刷的投訴。>>詳細(xì)
是時(shí)候拋棄谷歌了嗎？YouTube、Gmail 等多項(xiàng)谷歌服務(wù)突遭全球范圍的大規(guī)模宕機(jī)，蘋(píng)果部分業(yè)務(wù)也遭遇影響！
這是因?yàn)楣雀柙谠谌蚍秶鷥?nèi)遭遇了大規(guī)模宕機(jī)，包括Gmail、YouTube和Google Drive在內(nèi)基于谷歌云架構(gòu)服務(wù)的諸多谷歌服務(wù)均受到本次宕機(jī)的影響。>>詳細(xì)
技術(shù)觀瀾
5G NR 標(biāo)準(zhǔn)：下一代無(wú)線通信技術(shù)
5G在更寬泛的語(yǔ)境中，常常用來(lái)意指未來(lái)移動(dòng)通信能夠支持的、可預(yù)見(jiàn)的應(yīng)用服務(wù)。2017標(biāo)準(zhǔn)化組織3GPP推出第一版5G技術(shù)規(guī)范NR。>>詳細(xì)
安全威脅播報(bào)
本周漏洞基本情況
本周（2019 年5 月27 日6 月2 日）信息安全漏洞威脅整體評(píng)價(jià)級(jí)別為中。
國(guó)家信息安全漏洞共享平臺(tái)（以下簡(jiǎn)稱CNVD）本周共收集、整理信息安全漏洞293個(gè)，其中高危漏洞97個(gè)、中危漏洞167個(gè)、低危漏洞29個(gè)。漏洞平均分值為5.81。本周收錄的漏洞中，涉及0day漏洞134個(gè)（占46%），其中互聯(lián)網(wǎng)上出現(xiàn)“Joomla Com_Attachments組件文件上傳漏洞、VFront跨站腳本漏洞”等零日代碼攻擊漏洞。
本周重要漏洞安全告警
Microsoft產(chǎn)品安全漏洞
Microsoft Internet Explorer（IE）是一款Windows操作系統(tǒng)附帶的Web瀏覽器。Microsoft Edge是一款Windows 10之后版本系統(tǒng)附帶的Web瀏覽器。Microsoft ChakraCore是使用在Edge瀏覽器中的一個(gè)開(kāi)源的ChakraJavaScript腳本引擎的核心部分，也可作為單獨(dú)的JavaScript引擎使用。本周，上述產(chǎn)品被披露存在緩沖區(qū)溢出漏洞，攻擊者可利用漏洞導(dǎo)致緩沖區(qū)溢出或堆溢出等。
CNVD收錄的相關(guān)漏洞包括：Microsoft Edge和ChakraCore緩沖區(qū)溢出漏洞（CNVD-2019-16202、CNVD-2019-16201、CNVD-2019-16203、CNVD-2019-16206、CNVD-2019-16205、CNVD-2019-16207）、Microsoft InternetExplorer緩沖區(qū)溢出漏洞（CNVD-2019-16204）、Microsoft Edge緩沖區(qū)溢出漏洞。上述漏洞的綜合評(píng)級(jí)為“高?！薄Ｄ壳?，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。
Schneider Electric產(chǎn)品安全漏洞
Schneider Electric Modicon M580、M340是一款可編程自動(dòng)化控制器。Schneider ElectricTriconex TriStation Emulator是一款Triconex仿真模擬器。Schneider Electric 1st Gen Pelco Sarix Enhanced Camera是一系列固定式IP攝像機(jī)。Schneider Electric SpectraEnhanced PTZ Camera是一系列球型IP攝像機(jī)。本周，上述產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞提交特殊的請(qǐng)求，可進(jìn)行拒絕服務(wù)攻擊，執(zhí)行任意的操作系統(tǒng)命令等。
CNVD收錄的相關(guān)漏洞包括：Schneider Electric Modicon越界寫(xiě)拒絕服務(wù)漏洞、Schneider Electric Modicon非法內(nèi)存塊寫(xiě)拒絕服務(wù)漏洞、Schneider Electric Modicon非法斷點(diǎn)參數(shù)拒絕服務(wù)漏洞、Schneider Electric Triconex TriStation Emulator拒絕服務(wù)漏洞、Schneider Electric 1st Gen. Pelco Sarix Enhanced Camera和Spectra Enhanced PTZ Camera跨站請(qǐng)求偽造漏洞、Schneider Electric 1st Gen Pelco Sarix Enhanced Camera命令注入漏洞（CNVD-2019-16261、CNVD-2019-16259）、Schneider Electric 1st Gen. Pelco Sarix Enhanced Camera和Spectra Enhanced PTZ Camera任意OS命令執(zhí)行漏洞。其中，“Schneider Electric 1st GenPelco Sarix Enhanced Camera命令注入漏洞（CNVD-2019-16259）、Schneider Electric 1st Gen. Pelco Sarix Enhanced Camera和Spectra Enhanced PTZ Camera任意OS命令執(zhí)行漏洞”的綜合評(píng)級(jí)為“高危”。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。
Open-Xchange產(chǎn)品安全漏洞
Open-Xchange OX App Suite是一套Web云桌面環(huán)境。本周，上述產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞獲取受影響組件敏感信息，執(zhí)行客戶端代碼等。
CNVD收錄的相關(guān)漏洞包括：Open-Xchange OX App Suite訪問(wèn)控制錯(cuò)誤漏洞（CNVD-2019-15534、CNVD-2019-15677）、Open-Xchange OX App Suite跨站腳本漏洞（CNVD-2019-15656、CNVD-2019-15675）、Open-Xchange GmbH OX App Suite跨站腳本漏洞、Open-Xchange OX App Suite訪問(wèn)控制錯(cuò)誤漏洞、Open-Xchange OX App Suite信息泄露漏洞（CNVD-2019-16163）、Open-Xchange OX App Suite授權(quán)問(wèn)題漏洞。其中，“Open-Xchange OX App Suite訪問(wèn)控制錯(cuò)誤漏洞（CNVD-2019-15534、CNVD-2019-16065）、Open-Xchange OX App Suite授權(quán)問(wèn)題漏洞”的綜合評(píng)級(jí)為“高?！?。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。
Oracle產(chǎn)品安全漏洞
Oracle MySQL是一套開(kāi)源的關(guān)系數(shù)據(jù)庫(kù)管理系統(tǒng)。Oracle JD Edwards Products是一套全面集成的企業(yè)資源計(jì)劃管理軟件套件（ERP）。Oracle Retail Applications是一套零售應(yīng)用商店解決方案。Oracle Siebel CRM是一套客戶關(guān)系管理解決方案。Oracle Enterprise Manager Products Suite是一套企業(yè)內(nèi)部部署管理平臺(tái)。本周，該產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞未授權(quán)讀取、更新、插入或刪除數(shù)據(jù)，造成拒絕服務(wù)，影響數(shù)據(jù)的保密性、完整性和可用性。
CNVD收錄的相關(guān)漏洞包括：Oracle MySQL Server拒絕服務(wù)漏洞（CNVD-2019-16231、CNVD-2019-16233、CNVD-2019-16232、CNVD-2019-16234）、Oracle JD Edwards Products JD Edwards EnterpriseOne Tools訪問(wèn)控制錯(cuò)誤漏洞、Oracle Retail Applications Retail Point-of-Service訪問(wèn)控制錯(cuò)誤漏洞、Oracle Siebel CRM Siebel Core-Server BizLogic Script訪問(wèn)控制錯(cuò)誤漏洞、Oracle Enterprise Manager Products Suite ApplicationTesting Suite訪問(wèn)控制錯(cuò)誤漏洞。其中，“Oracle Retail ApplicationsRetail Point-of-Service訪問(wèn)控制錯(cuò)誤漏洞” 的綜合評(píng)級(jí)為“高?！薄Ｄ壳?，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。
Westermo DR-260、DR-250和MR-260跨站請(qǐng)求偽造漏洞
Westermo DR-260是一款DSL路由器。Westermo DR-250是一款DSL路由器。Westermo MR-260是一款3G多媒體路由器。
Westermo DR-260、DR-250和MR-260被披露存在跨站請(qǐng)求偽造漏洞。攻擊者可利用該漏洞通過(guò)受影響客戶端向服務(wù)器發(fā)送非預(yù)期的請(qǐng)求。
小結(jié)
本周，Microsoft被披露存在緩沖區(qū)溢出漏洞，攻擊者可利用漏洞導(dǎo)致緩沖區(qū)溢出或堆溢出等。此外，Schneider Electric、Open-Xchange、Oracle等多款產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞獲取受影響組件敏感信息，未授權(quán)讀取、更新、插入或刪除數(shù)據(jù)，造成拒絕服務(wù)，執(zhí)行客戶端代碼等。Westermo DR-260、DR-250和MR-260被披露存在跨站請(qǐng)求偽造漏洞。攻擊者可利用該漏洞通過(guò)受影響客戶端向服務(wù)器發(fā)送非預(yù)期的請(qǐng)求。建議相關(guān)用戶隨時(shí)關(guān)注上述廠商主頁(yè)，及時(shí)獲取修復(fù)補(bǔ)丁或解決方案。