國家信息安全漏洞共享平臺上周共收集、整理信息安全漏洞437個，互聯網上出現“Simple Cold Storage Management System SQL注入漏洞（CNVD-2023-69723）、Password Storage Application跨站腳本漏洞”等零日代碼攻擊漏洞，上周信息安全漏洞威脅整體評價級別為中。中國電子銀行網為您梳理過去一周的信息安全行業要聞并告警重要漏洞，深入探討信息安全知識。

一周行業要聞速覽

消保小課堂 | “跑分”兼職能輕松賺錢嗎？

有人專利用銀行賬戶或第三方支付平臺賬戶為他人代收款，再轉賬到指定賬戶，從中賺取傭金，這種行為被稱為“跑分”。>>詳細

遠離電詐 | 交通銀行線上線下協同 全力保障客戶資金安全

交行線上客服人員在進行貸款業務核實過程中發現該筆業務十分可疑，且客戶的手機來電已被轉移至詐騙分子，無法直接聯系到客戶，便果斷為客戶關閉線上渠道主動出賬功能，并通過短信告知客戶。>>詳細

一圖讀懂金融標準 | 個人金融信息保護技術規范

為避免給您帶來不必要的危害和損失，請您避免隨意泄露任何個人金融信息，特別是C3、C2類別個人金融信息。>>詳細

大偵探小發羊 | 知人知“面”，謹防詐騙！廣發銀行教你識破AI換臉騙局

新型詐騙層出不窮，金融網絡安全知識常記心中，讓我們帶著“大偵探”的警惕，識破新型騙局、保護個人信息，做自己信息安全、財產安全的第一責任人！>>詳細

華夏銀行昆明分行開展“反詐拒賭校園行”集中宣傳活動

大學生因為缺乏社會經驗，安全意識薄弱，往往成為詐騙分子精心挑選的對象。>>詳細

反詐專欄 | 看恒豐人巧用“望聞問切”四招助反詐

刷單詐騙套路深，天降餡餅莫當真。高額返利是陷阱，擦亮眼睛莫相信。>>詳細

江蘇銀行：促進互金行業協同 合力抵御黑灰產侵害

江蘇銀行消費金融與信用卡中心負責人介紹，江蘇銀行自年初就開展“反黑產”系列工作，圍繞“強技術、優機制、廣聯合“的工作思路，推進黑產防控和打擊治理各項工作。>>詳細

反詐識詐|“成功”企業團隊的秘訣是……

在現實生活中，許多人打著高素質的幌子，他們擁有專業履歷、完美的人設、超強的技能、卓越的眼光，但同時也在盯著你的錢包伺機而動。>>詳細

識破金融陷阱 爭做智慧新市民

積極學習金融知識，樹立理性借貸觀念；增強風險防范意識，提升反詐防騙技能；建立正確消費觀念，奔赴美好幸福生活。>>詳細

安全威脅播報

上周漏洞基本情況

上周（2023年9月11日-17日）信息安全漏洞威脅整體評價級別為中。國家信息安全漏洞共享平臺（以下簡稱CNVD）上周共收集、整理信息安全漏洞437個，其中高危漏洞188個、中危漏洞227個、低危漏洞22個。漏洞平均分值為6.39。上周收錄的漏洞中，涉及0day漏洞363個（占83%），其中互聯網上出現“Simple Cold Storage Management System SQL注入漏洞（CNVD-2023-69723）、Password Storage Application跨站腳本漏洞”等零日代碼攻擊漏洞。

上周重要漏洞安全告警

Google產品安全漏洞

Google Android是美國谷歌（Google）公司的一套以Linux為基礎的開源操作系統。上周，上述產品被披露存在多個漏洞，攻擊者可利用漏洞獲取敏感信息，造成拒絕服務，在系統上獲得提升的權限。

CNVD收錄的相關漏洞包括：Google Android權限提升漏洞（CNVD-2023-69035、CNVD-2023-69042、CNVD-2023-69045、CNVD-2023-69046）、Google Android信息泄露漏洞（CNVD-2023-69040、CNVD-2023-69041、CNVD-2023-69044）、Google Android拒絕服務漏洞（CNVD-2023-69043）。其中，“Google Android權限提升漏洞（CNVD-2023-69035、CNVD-2023-69042、CNVD-2023-69045、CNVD-2023-69046）”的綜合評級為“高?！?。目前，廠商已經發布了上述漏洞的修補程序。

Mozilla產品安全漏洞

Mozilla Firefox是美國Mozilla基金會的一款開源Web瀏覽器。上周，上述產品被披露存在多個漏洞，攻擊者可利用漏洞繞過網絡安全檢查，獲取敏感信息，在系統上執行任意代碼或導致拒絕服務等。

CNVD收錄的相關漏洞包括：Mozilla Firefox信息泄露漏洞（CNVD-2023-68439、CNVD-2023-68481）、Mozilla Firefox代碼執行漏洞（CNVD-2023-68438、CNVD-2023-68441、CNVD-2023-68478）、Mozilla Firefox拒絕服務漏洞（CNVD-2023-68440）、Mozilla Firefox安全繞過漏洞（CNVD-2023-68482、CNVD-2023-68480）。上述漏洞的綜合評級為“高?！?。目前，廠商已經發布了上述漏洞的修補程序。

IBM產品安全漏洞

IBM InfoSphere Information Server是美國國際商業機器（IBM）公司的一套數據整合平臺。該平臺可用于整合各種渠道獲取的數據信息。IBM Security Verify Access（ISAM）是美國國際商業機器（IBM）公司的一款提高用戶訪問安全的服務。該服務通過使用基于風險的訪問、單點登錄、集成訪問管理控制、身份聯合以及移動多因子認證實現對Web、移動、IoT和云技術等平臺安全簡單的訪問。IBM Sterling Connect:Direct是美國國際商業機器（IBM）公司的一套基于文件的點對點文件傳輸解決方案。IBM TXSeries for Multiplatforms是美國國際商業機器（IBM）公司的一種事務處理監控和管理的軟件產品，它旨在支持多平臺上的分布式事務處理。IBM Robotic Process Automation是美國國際商業機器（IBM）公司的一種機器人流程自動化產品?？蓭椭詡鹘yRPA的輕松和速度大規模自動化更多業務和IT流程。IBM Security Guardium是美國國際商業機器（IBM）公司的一套提供數據保護功能的平臺。該平臺包括自定義UI、報告管理和流線化的審計流程構建等功能。IBM Planning Analytics是美國國際商業機器（IBM）公司的一套業務規劃分析解決方案。該方案支持自動化執行業務規劃、預算和分析等流程。上周，上述產品被披露存在多個漏洞，攻擊者可利用漏洞使用開放重定向進行網絡釣魚攻擊，訪問敏感文件，提升權限，導致拒絕服務等。

CNVD收錄的相關漏洞包括：IBM InfoSphere Information Server信息泄露漏洞（CNVD-2023-68779）、IBM Security Verify Access輸入驗證錯誤漏洞（CNVD-2023-68778）、IBM Sterling Connect:Direct加密問題漏洞、IBM TXSeries for Multiplatforms拒絕服務漏洞、IBM Robotic Process Automation授權問題漏洞（CNVD-2023-68780）、IBM Security Guardium授權問題漏洞（CNVD-2023-68784）、IBM Planning Analytics加密問題漏洞（CNVD-2023-68783）、IBM Security Guardium輸入驗證錯誤漏洞。其中，“IBM Sterling Connect:Direct加密問題漏洞、IBM TXSeries for Multiplatforms拒絕服務漏洞”的綜合評級為“高?！?。目前，廠商已經發布了上述漏洞的修補程序。

Siemens產品安全漏洞

Siemens Teamcenter Visualization是一個可為設計2D、3D場景提供團隊協作功能的軟件。Siemens JT2GO是一款JT文件查看器。Siemens Parasolid是一種三維幾何建模工具，支持各種技術，包括實體建模、直接編輯和自由曲面/圖紙建模。上周，上述產品被披露存在多個漏洞，攻擊者可利用漏洞在當前進程的上下文中執行代碼。

CNVD收錄的相關漏洞包括：Siemens Teamcenter Visualization和JT2Go堆棧緩沖區溢出漏洞（CNVD-2023-69804、CNVD-2023-69810）、Siemens Teamcenter Visualization和JT2Go類型混淆漏洞、Siemens Teamcenter Visualization和JT2Go內存錯誤引用漏洞（CNVD-2023-69805）、Siemens Teamcenter Visualization和JT2Go類型混淆漏洞（CNVD-2023-69807）、Siemens Teamcenter Visualization和JT2Go堆緩沖區溢出漏洞（CNVD-2023-69809）、Siemens Teamcenter Visualization和JT2Go越界寫入漏洞（CNVD-2023-69808）、Siemens Parasolid越界寫入漏洞（CNVD-2023-69813）。上述漏洞的綜合評級為“高?！?。目前，廠商已經發布了上述漏洞的修補程序。

Tenda AC23 sub_451784函數堆棧溢出漏洞

Tenda AC23是中國騰達（Tenda）公司的一款雙頻千兆無線路由器。上周，Tenda AC23被披露存在堆棧溢出漏洞。該漏洞源于sub_451784函數未能正確驗證輸入數據的長度大小，攻擊者可利用該漏洞在系統上執行任意代碼或者導致拒絕服務。目前，廠商尚未發布上述漏洞的修補程序。

小結

上周，Google產品被披露存在多個漏洞，攻擊者可利用漏洞獲取敏感信息，造成拒絕服務，在系統上獲得提升的權限。此外，Mozilla、IBM、Siemens等多款產品被披露存在多個漏洞，攻擊者可利用漏洞繞過網絡安全檢查，使用開放重定向進行網絡釣魚攻擊，訪問敏感文件，提升權限，在系統上執行任意代碼或導致拒絕服務等。另外，Tenda AC23被披露存在堆棧溢出漏洞。攻擊者可利用該漏洞在系統上執行任意代碼或者導致拒絕服務。建議相關用戶隨時關注上述廠商主頁，及時獲取修復補丁或解決方案。

中國電子銀行網綜合CNVD、新華網、證券日報、中國銀聯、交通銀行、郵儲銀行+、浦發銀行、廣發銀行、恒豐銀行總行報道

責任編輯：韓希宇