國家信息安全漏洞共享平臺(tái)上周共收集、整理信息安全漏洞554個(gè)，互聯(lián)網(wǎng)上出現(xiàn)“Tenda N301拒絕服務(wù)漏洞、Comtrend VR-3033命令注入漏洞”等零日代碼攻擊漏洞，上周信息安全漏洞威脅整體評價(jià)級別為中。中國電子銀行網(wǎng)為您梳理過去一周的信息安全行業(yè)要聞并告警重要漏洞，深入探討信息安全知識(shí)。
一周行業(yè)要聞速覽
GB/T35273-2020《個(gè)人信息安全規(guī)范》正式發(fā)布
《規(guī)范》要求在收集個(gè)人生物識(shí)別信息前，應(yīng)單獨(dú)向個(gè)人信息主體告知收集、使用個(gè)人生物識(shí)別信息的目的、方式和范圍，以及存儲(chǔ)時(shí)間等規(guī)則，并征得個(gè)人信息主體的明示同意。>>詳細(xì)
注意了！疫情期間如何保護(hù)個(gè)人信息？這些實(shí)用技巧送給你
疫情期間，如何保護(hù)個(gè)人信息？這些實(shí)用技巧送給你。>>詳細(xì)
網(wǎng)聯(lián)加大疫情期間電信詐騙等欺詐活動(dòng)的監(jiān)測力度
網(wǎng)聯(lián)積極開展以數(shù)據(jù)為基礎(chǔ)的建模分析工作，聚焦電信詐騙、網(wǎng)絡(luò)賭博、非法交易平臺(tái)等違法違規(guī)行為，開展風(fēng)險(xiǎn)監(jiān)測，協(xié)助成員單位加強(qiáng)風(fēng)險(xiǎn)交易識(shí)別及提高金融風(fēng)險(xiǎn)防范能力。>>詳細(xì)
315特刊 | 疫情期間個(gè)人信息被頻繁收集 隱私保護(hù)怎么做
疫情特殊時(shí)期，如何保護(hù)個(gè)人信息安全成為重要且關(guān)鍵的問題。>>詳細(xì)
數(shù)據(jù)顯示：男人比女人更易受騙，60后交的“學(xué)費(fèi)”最多！
騰訊守護(hù)者計(jì)劃聯(lián)合招商銀行消費(fèi)者權(quán)益保護(hù)中心共同發(fā)布了《金融消費(fèi)者電信網(wǎng)絡(luò)詐騙防范情況報(bào)告》。>>詳細(xì)
“云”審計(jì)新探索 零接觸電子函證顯神通
中國金融認(rèn)證中心（CFCA）電子函證平臺(tái)是基于“互聯(lián)網(wǎng)+”的函證業(yè)務(wù)辦理平臺(tái)，是全國銀行、會(huì)計(jì)師事務(wù)所、被審計(jì)單位的線上共享服務(wù)平臺(tái)，是促進(jìn)多方協(xié)作的公共基礎(chǔ)服務(wù)設(shè)施。>>詳細(xì)
手機(jī)銀行“手機(jī)盾”，滿足您的大額轉(zhuǎn)賬需求
手機(jī)銀行轉(zhuǎn)賬限額不夠用？開通蘭州銀行“手機(jī)盾”，讓您的轉(zhuǎn)賬業(yè)務(wù)，不再受限！>>詳細(xì)
SEC發(fā)布金融證券行業(yè)網(wǎng)絡(luò)安全指導(dǎo)建議
網(wǎng)絡(luò)安全防御體系包含的工具、方法、應(yīng)用、場景和流程極為復(fù)雜，對于金融企業(yè)來說，有哪些是需要賦予更高優(yōu)先級的重點(diǎn)工作呢？>>詳細(xì)
安全威脅播報(bào)
上周漏洞基本情況
上周（3月2日-8日）信息安全漏洞威脅整體評價(jià)級別為中。國家信息安全漏洞共享平臺(tái)（以下簡稱CNVD）上周共收集、整理信息安全漏洞554個(gè)，其中高危漏洞197個(gè)、中危漏洞271個(gè)、低危漏洞86個(gè)。漏洞平均分值為6.08。上周收錄的漏洞中，涉及0day漏洞184個(gè)（占33%），其中互聯(lián)網(wǎng)上出現(xiàn)“Tenda N301拒絕服務(wù)漏洞、Comtrend VR-3033命令注入漏洞”等零日代碼攻擊漏洞。
上周重要漏洞安全告警
Cisco產(chǎn)品安全漏洞
Cisco FXOS Software是美國思科（Cisco）公司的一套運(yùn)行在思科安全設(shè)備中的防火墻軟件。Cisco IP Conference Phone 7832和Cisco IP Conference Phone 8832等都是IP電話系列產(chǎn)品。Supervisor是一套適用于類Unix系統(tǒng)的過程控制系統(tǒng)。Cisco NX-OS Software是一套交換機(jī)使用的數(shù)據(jù)中心級操作系統(tǒng)軟件。Cisco MDS 9000 Series Multilayer Switches是一款MDS 9000系列多層交換機(jī)。Cisco Prime NetworkRegistrar（CPNR）是一款網(wǎng)絡(luò)注冊器產(chǎn)品。Cisco IntelligentProximity是一項(xiàng)創(chuàng)新功能集，可讓您通過移動(dòng)設(shè)備實(shí)現(xiàn)更豐富的協(xié)作體驗(yàn)。上周，上述產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞執(zhí)行任意代碼，導(dǎo)致拒絕服務(wù)等。
CNVD收錄的相關(guān)漏洞包括：Cisco IP Phone遠(yuǎn)程代碼執(zhí)行漏洞、Cisco FXOS Software和CiscoUCS Manager Software操作系統(tǒng)命令注入漏洞、Cisco Nexus 1000V Switchfor VMware vSphere資源管理錯(cuò)誤漏洞、Cisco FXOS Software和Cisco UCS Manager操作系統(tǒng)命令注入漏洞、Cisco NX-OS Software和Cisco FXOS Software輸入驗(yàn)證錯(cuò)誤漏洞（CNVD-2020-14813）、Cisco MDS 9000 SeriesMultilayer Switches NX-OS Software拒絕服務(wù)漏洞、Cisco Prime Network Registrar跨站請求偽造漏洞、Cisco Intelligent Proximity SSL證書驗(yàn)證漏洞。其中，除“Cisco FXOS Software和CiscoUCS Manager Software操作系統(tǒng)命令注入漏洞、Cisco FXOS Software和Cisco UCS Manager操作系統(tǒng)命令注入漏洞”外，其余漏洞的綜合評級為“高?！蹦壳?，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。
Apple產(chǎn)品安全漏洞
AppleiOS是為移動(dòng)設(shè)備所開發(fā)的一套操作系統(tǒng)。Apple iPadOS是一套用于iPad平板電腦的操作系統(tǒng)。Apple tvOS是一套智能電視操作系統(tǒng)。Apple watchOS是一套智能手表操作系統(tǒng)。上周，上述產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞提升權(quán)限，執(zhí)行任意代碼，導(dǎo)致堆損壞。
CNVD收錄的相關(guān)漏洞包括：多款A(yù)pple產(chǎn)品Kernel組件內(nèi)存破壞漏洞（CNVD-2020-15285、CNVD-2020-15286、CNVD-2020-15570）、多款A(yù)pple產(chǎn)品Kernel組件競態(tài)條件漏洞、多款A(yù)pple產(chǎn)品libxpc組件越界讀取漏洞（CNVD-2020-15293）、多款A(yù)pple產(chǎn)品Kernel組件類型混淆漏洞（CNVD-2020-15564）、多款A(yù)pple產(chǎn)品libxpc組件內(nèi)存破壞漏洞（CNVD-2020-15565）、多款A(yù)pple產(chǎn)品內(nèi)存破壞漏洞（CNVD-2020-15566）。上述漏洞的綜合評級為“高?！?。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。
GitLab產(chǎn)品安全漏洞
GitLab是美國GitLab公司的一款使用Ruby on Rails開發(fā)的、自托管的、Git（版本控制系統(tǒng)）項(xiàng)目倉庫應(yīng)用程序。該程序可用于查閱項(xiàng)目的文件內(nèi)容、提交歷史、Bug列表等。上周，上述產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞獲取敏感信息，更改或刪除其對該問題的評論等。
CNVD收錄的相關(guān)漏洞包括：GitLab訪問控制錯(cuò)誤漏洞（CNVD-2020-15299、CNVD-2020-15494）、GitLab信息泄露漏洞（CNVD-2020-15300、CNVD-2020-15485、CNVD-2020-15488、CNVD-2020-15490、CNVD-2020-15492）、GitLab日志信息泄露漏洞。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。
Dell產(chǎn)品安全漏洞
DELL EMC Isilon是美國戴爾（Dell）公司的一套適用于非結(jié)構(gòu)化數(shù)據(jù)的橫向擴(kuò)展存儲(chǔ)系統(tǒng)。OneFS是運(yùn)行在其中的一套操作系統(tǒng)。Dell EMC iDRAC9是一套包含硬件和軟件的系統(tǒng)管理解決方案。Dell EMC iDRAC7是一套包含硬件和軟件的系統(tǒng)管理解決方案。Dell EMC iDRAC8是一套包含硬件和軟件的系統(tǒng)管理解決方案。Dell KACE部署設(shè)備可實(shí)現(xiàn)完全集成的系統(tǒng)配置解決方案。Dell EMC OpenManage Server Administrator（OMSA）是一套系統(tǒng)管理解決方案。Dell G3 3579是一款筆記本電腦。ChengMing 3977是一款臺(tái)式計(jì)算機(jī)。Embedded Box PC 5000是一款嵌入式箱式電腦。上周，上述產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞提升權(quán)限，獲取敏感信息，執(zhí)行任意代碼等。
CNVD收錄的相關(guān)漏洞包括：Dell EMC Isilon OneFS授權(quán)問題漏洞、Dell EMC iDRAC7、iDRAC8和iDRAC9授權(quán)問題漏洞 、Dell KACE SystemsManagement Appliance (K1000)代碼執(zhí)行漏洞、Dell EMC OpenManage ServerAdministrator web參數(shù)篡改漏洞、Dell EMC OpenManage ServerAdministrator XML外部實(shí)體（XXE）注入漏洞、多款Dell產(chǎn)品訪問控制錯(cuò)誤漏洞、Dell EMC iDRAC7、iDRAC8和iDRAC9權(quán)限許可和訪問控制漏洞、Dell EMC iDRAC7和iDRAC8錯(cuò)誤處理漏洞漏洞。其中，“Dell EMC Isilon OneFS授權(quán)問題漏洞、Dell KACE Systems Management Appliance (K1000)代碼執(zhí)行漏洞、多款Dell產(chǎn)品訪問控制錯(cuò)誤漏洞”的綜合評級為“高?！?。目前，廠商已經(jīng)發(fā)布了上述漏洞的修補(bǔ)程序。
Red Hat CloudForms命令執(zhí)行漏洞
Red Hat CloudForms是美國紅帽（Red Hat）公司的一套混合基礎(chǔ)架構(gòu)管理平臺(tái)。上周，Red Hat CloudForms被披露存在命令執(zhí)行漏洞。攻擊者可利用該漏洞以root用戶身份執(zhí)行任意的shell命令。目前，廠商尚未發(fā)布上述漏洞的修補(bǔ)程序。
小結(jié)
上周，Cisco產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞執(zhí)行任意代碼，導(dǎo)致拒絕服務(wù)等。此外，Apple、GitLab、Dell等多款產(chǎn)品被披露存在多個(gè)漏洞，攻擊者可利用漏洞提升權(quán)限，獲取敏感信息，執(zhí)行任意代碼，導(dǎo)致堆損壞等。另外，Red Hat CloudForms被披露存在命令執(zhí)行漏洞。攻擊者可利用該漏洞以root用戶身份執(zhí)行任意的shell命令。
中國電子銀行網(wǎng)綜合CNVD、網(wǎng)信中國、法制網(wǎng)、移動(dòng)支付網(wǎng)、蘭州銀行、守護(hù)者計(jì)劃、安全牛報(bào)道
