国家信息安全漏洞共享平台上周共收集、整理信息安全漏洞699个，互联网上出现“Rasilient PixelStor 5000远程代码执行漏洞、WordPress Theme Fruitful跨站脚本漏洞”等零日代码攻击漏洞，上周信息安全漏洞威胁整体评价级别为中。中国电子银行网为您梳理过去一周的信息安全行业要闻并告警重要漏洞，深入探讨信息安全知识。
一周行业要闻速览
中国信通院：《“互联网+行业”个人信息保护研究报告（2020年）》
在各类“互联网+”便民服务不断创新发展过程中，用户个人信息保护问题日益凸显，个人信息泄露事件频频发生。>>详细
金融科技，“战疫”在前线
通过运用CFCA提供的金融科技产品和服务，针对线上融资面临的安全、法律风险构建了安全体系，解决了在开放的互联网环境中面临的信息窃取、冒用身份、否认交易、难以举证的问题。>>详细
金融机构数字化转型 电子签章强助攻
金融机构作为国家的经济支撑，面对疫情，该如何为客户提供无接触、不现场的线上化业务办理模式？线上化业务形式中，又如何保证业务的安全及用户的便利性呢？>>详细
2020年3月起28项网络信息安全规范和标准正式实施
刚经过了四年一遇的日子，正式进入2020年3月份，28项重要的项网络与信息安全规范和标准正式实施。>>详细
CFCA获得金融业机房动力系统检测机构资质
中国金融认证中心（CFCA）信息安全实验室经中金国盛认证中心严格的资质审查、人员考核和现场评审后，于近日正式成为中金国盛认证中心授权的金融业信息系统机房动力系统认证服务合作检测实验室。>>详细
银联密集发文打击非法交易，快速进件、独家代理等被警示
银联侦测发现有疑似不法分子利用条码支付综合前置平台商户快速进件通道，进件风险涉赌商户。>>详细
由于漏洞，Let’s Encrypt将从今天起撤销近300万个TLS证书
2月底的时候，Let’s Encrypt发现其证书颁发机构（CA）中的软件漏洞导致某些证书不能通过为关联域配置的证书颁发机构授权（CAA）正确验证。>>详细
Wi-Fi漏洞Kr00k曝光：全球数十亿台设备受影响
该漏洞存在于赛普拉斯和博通的Wi-Fi芯片中，而这是拥有全球市场份额较高的两大品牌，从笔记本电脑到智能手机、从AP到物联网设备中都有广泛使用。>>详细
安全威胁播报
上周漏洞基本情况
上周（2月24日-3月1日）信息安全漏洞威胁整体评价级别为中。国家信息安全漏洞共享平台（以下简称CNVD）上周共收集、整理信息安全漏洞699个，其中高危漏洞288个、中危漏洞327个、低危漏洞84个。漏洞平均分值为6.35。上周收录的漏洞中，涉及0day漏洞309个（占44%），其中互联网上出现“Rasilient PixelStor 5000远程代码执行漏洞、WordPress Theme Fruitful跨站脚本漏洞”等零日代码攻击漏洞。
上周重要漏洞安全告警
IBM产品安全漏洞
IBM Emptoris Spend Analysis是一套采购解决方案中的用于对分散系统的支出数据进行整合、清理和分类的产品。IBM Spectrum Protect Plus是一套数据保护平台。"IBM QRadar Advisor with Watson是一套安全威胁分析解决方案。IBM Security Identity Manager（ISIM）是一套身份管理和治理解决方案。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，执行任意命令等。
CNVD收录的相关漏洞包括：IBM Emptoris Spend AnalysisSQL注入漏洞（CNVD-2020-13057）、IBM Spectrum Protect Plus命令注入漏洞（CNVD-2020-14207、CNVD-2020-14208、CNVD-2020-14211、CNVD-2020-14212、CNVD-2020-14213）、IBM QRadar Advisor WithWatson App信息泄露漏洞、IBM Security IdentityManager信任管理问题漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。
Apple产品安全漏洞
AppleSafari是一款Web浏览器，是Mac OS X和iOS操作系统附带的默认浏览器。Apple iOS是一套为移动设备所开发的操作系统。Apple tvOS是一套智能电视操作系统。Apple macOS Mojave是一套专为Mac计算机所开发的专用操作系统。Apple macOS Catalina是一套专为Mac计算机所开发的专用操作系统。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞造成应用程序意外终止或执行任意代码。
CNVD收录的相关漏洞包括：多款Apple产品WebKit组件内存破坏漏洞（CNVD-2020-14243、CNVD-2020-14244）、多款Apple产品Core Data组件和Siri组件缓冲区溢出漏洞、多款Apple产品UIFoundation组件缓冲区溢出漏洞、多款Apple产品Foundation组件缓冲区溢出漏洞、多款Apple产品Core Data组件缓冲区溢出漏洞、Apple macOS Catalina内存破坏漏洞（CNVD-2020-14694、CNVD-2020-14695）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。
Microsoft产品安全漏洞
MicrosoftWindows是一套个人设备使用的操作系统。Microsoft Windows Server是一套服务器操作系统。Microsoft Internet Explorer（IE）是一款Windows操作系统附带的Web浏览器。Microsoft Exchange Server是一套电子邮件服务程序，它提供邮件存取、储存、转发，语音邮件，邮件过滤筛选等功能。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞提升权限，执行任意代码，导致缓冲区溢出或堆溢出等。
CNVD收录的相关漏洞包括：Microsoft Windows RemoteDesktop Client代码执行漏洞、Microsoft Windows和Microsoft Windows Server权限提升漏洞（CNVD-2020-13557、CNVD-2020-13559）、Microsoft Internet Explorer缓冲区溢出漏洞（CNVD-2020-13691）、Microsoft Exchange验证密钥远程代码执行漏洞、Microsoft Windows Graphics组件权限提升漏洞（CNVD-2020-14699）、Microsoft DirectX权限提升漏洞、Microsoft Windows Win32k权限提升漏洞（CNVD-2020-14702）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。
Moxa产品安全漏洞
Moxa AWK-3131A是一款无线接入设备。Moxa EDS-G516E和EDS-510E series都是Moxa生产的以太网交换机。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞解密被捕获的流量，绕过身份验证，执行任意代码或导致拒绝服务等。
CNVD收录的相关漏洞包括：Moxa AWK-3131A访问控制错误漏洞、Moxa AWK-3131A操作系统命令注入漏洞（CNVD-2020-13473）、Moxa AWK-3131A iw_webs功能操作系统命令注入漏洞（CNVD-2020-13475、CNVD-2020-13477）、Moxa AWK-3131A身份验证绕过漏洞、Moxa AWK-3131AServiceAgent信任管理问题漏洞、Moxa EDS-G516E和EDS-510E series缓冲区溢出漏洞（CNVD-2020-13508、CNVD-2020-13515）。其中，“Lenovo System InterfaceFoundation未签名DLL加载漏洞、Lenovo XClarity Administrator访问控制错误漏洞、Lenovo ThinkPad输入验证错误漏洞、Lenovo System Interface Foundation任意代码执行漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。
NETGEAR Nighthawk X10-R9000命令注入漏洞
NETGEAR Nighthawk X10-R9000是一款无线路由器。上周，NETGEAR Nighthawk X10-R9000被披露存在命令注入漏洞。攻击者可利用该漏洞执行非法命令。目前，厂商尚未发布上述漏洞的修补程序。
小结
上周，IBM产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，执行任意命令等此外，Apple、Microsoft、Moxa等多款产品被披露存在多个漏洞，攻击者可利用漏洞解密被捕获的流量，绕过身份验证，提升权限，执行任意代码或导致拒绝服务等。另外，NETGEAR Nighthawk X10-R9000被披露存在命令注入漏洞。攻击者可利用该漏洞执行非法命令。
中国电子银行网综合CNVD、中国信通院、移动支付网、FreeBuf.COM、cnBeta.COM、网络安全等保与关保报道
