国家信息安全漏洞共享平台上周共收集、整理信息安全漏洞292个，互联网上出现“Joomla! Calendar Planner组件SQL注入漏洞、NexusPHP SQL注入漏洞”等零日代码攻击漏洞，上周信息安全漏洞威胁整体评价级别为中。中国电子银行网为您梳理过去一周的信息安全行业要闻，告警重要漏洞并推出技术观澜和月末大讲堂，深入探讨信息安全知识。

　　一周行业要闻速览

　　银联终端安全规范升级与修订情况：新增安全规范要求和终端二维码认证

　　2016年智能终端布放量已超过100万台，预计2017年将超过200万台，智能终端逐步替换传统终端成为发展趋势。因此制定智能终端操作系统安全规范，应对系统安全威胁，保障智能终端安全也成为必不可少的环节。>>详细

　　互联网安全现状Q2报告：旧攻击方式重受青睐 DDoS攻击走向商业化

　　自2008年的Conficker以来，恶意程序就使用DGA（域生成算法）隐藏C&C服务器设施。这些DGA每天生成许多随机IP地址，攻击者只需从中选择想要的域名并“及时”注册，并在用完后丢弃，就能避开追踪。>>详细

　　技术观澜

　　使用RTL-SDR 从打开一个车门到批量打开车门

　　如你所见，宝马汽车制造商使用频段315Mhz，屏幕上的红线是我按下按钮时出现的。当受害者走向他们的汽车并且按下解锁键时，信号就会被发送到汽车，然后门就会被解锁，所以我们需要在这一切发生之前拦截所有交互。>>详细

　　2017年十大安全挑战

　　迄今为止，今年最出名的大新闻当数Shadow Brokers莫属了，他们每月向公众售卖NSA的黑客工具及其他机密，而网络犯罪分子则利用这些新玩具制作WannaCry和NotPetya，在全球范围内掀起了腥风血雨。>>详细

　　手机上网：警惕流量“黑洞”

　　WAP计费是一种移动支付形式，可以将费用直接从用户手机账单中扣除，所以攻击者不需要盗窃受害者的用户名和密码。这种扣费机制类似于付费短信，但不同的是，在WAP计费情况下，木马根本连任何短信也不会给受害者发送。>>详细

　　月末大讲堂

　　浅谈侧信道攻击 什么是数字时代的隔空取“数”？

　　侧信道攻击本质是利用密码实现运行过程中产生的依赖于密钥的侧信息来实施密钥恢复攻击的，因此防御对策的核心就是减弱甚至消除这种侧信息与密钥之间的直接依赖性。>>详细

　　安全威胁播报

　　上周漏洞基本情况

　　上周（2017年08月21日-2017年08月27日）信息安全漏洞威胁整体评价级别为中。

　　国家信息安全漏洞共享平台（以下简称CNVD）上周共收集、整理信息安全漏洞292个，其中高危漏洞98个、中危漏洞180个、低危漏洞14个。漏洞平均分值为6.21。上周收录的漏洞中，涉及0day漏洞60 个（占21%），其中互联网上出现“Joomla! Calendar Planner组件SQL注入漏洞、NexusPHP SQL注入漏洞”等零日代码攻击漏洞。此外，上周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数1483个，与上周（1493个）基本持平。

　　上周重要漏洞安全告警

　　Adobe产品安全漏洞

　　Adobe Acrobat和Reader都是美国奥多比（Adobe）公司的产品，前者是一套PDF文件编辑和转换工具，后者是一套PDF文档阅读软件。上周，上述产品被披露存在内存破坏漏洞，攻击者可利用漏洞执行任意代码。

　　CNVD收录的相关漏洞包括：Adobe Acrobat和Reader内存破坏漏洞（CNVD-2017-22670、CNVD-2017-22671、CNVD-2017-22672、CNVD-2017-22673、CNVD-2017-22674、CNVD-2017-22675、CNVD-2017-22741、CNVD-2017-22743）。上述漏洞的综合 评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

　　Cisco产品安全漏洞

　　Cisco Elastic ServicesController是美国思科 （Cisco）公司的一个开源的模块化系统。Cisco Ultra ServicesPlatform是一个智能在线服务交付平台。Cisco ASR 5000系列是一个用于部署高需求的3G网络以及向长期演进迁移的运营商级平台。Cisco ASR 5000Series Aggregated Services Routers是ASR 5000系列综合服务路由器产品。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞泄露敏感信息、绕过安全限制或发起拒绝服务攻击等。

　　CNVD收录的相关漏洞包括：Cisco ElasticSer vices Controller信息泄露漏洞（CNVD-2017220967）、Cisco StarOSCLI本地命令注入漏洞、Cisco Ultra Services Framework信息泄露漏洞、Cisco UltraServices Platform Elastic Services Controller Web界面信息泄露漏洞、Cisco ASR 5000Series Aggregated Services Routers StarOS安全绕过漏洞、Cisco ASR 5000Series Aggregated Services Routers StarOS权限提升漏洞、Cisco ASR 5000Series Aggregated Services Routers StarOS任意文件写入漏洞、Cisco ASR 5500Series Routers拒绝服务漏洞。其中，“Cisco Elastic Services Controller信息泄露漏洞（CNVD-2017-220967）、Cisco StarOSCLI本地命令注入漏洞、 Cisco Ultra Services Framework信息泄露漏洞、Cisco UltraServices Platform Elastic Services Controller Web界面信息泄露漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

　　Microsoft产品安全漏洞

　　Microsoft Edge是一款流行的WEB浏览器。Microsoft Internet Explorer是一款流行的WEB浏览器。MicrosoftWindows是一款流行的计算机操作系统。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞执行任意的代码、泄露敏感信息或提升本地权限等。

　　CNVD收录的相关漏洞包括：Microsoft EDGE远程内存破坏代码执行漏洞、Microsoft EDGE远程内存破坏代码执行漏洞（CNVD-2017-22681、CNVD-2017-22682）、Microsoft Internet Explorer远程内存破坏漏洞（CNVD-2017-22679）、MicrosoftWordPad远程代码执行漏洞、Microsoft Windows CLFS本地权限提升漏洞、MicrosoftWindows Explorer拒绝服务漏洞、Microsoft Windows Https.sys信息泄露漏洞。除“MicrosoftWindows CLFS本地权限提升漏洞、Microsoft Windows Explorer拒绝服务漏洞、MicrosoftWindows Https.sys信息泄露漏洞”外，其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

　　Google产品安全漏洞

　　Android是美国谷歌公司的一套以Linux为基础的开源操作系统，Qualcomm是使用在其中的一个高通组件。BroadcomWi-Fi Driver是使用在其中的一个Wi-Fi驱动模块。MediaTekne tworking driver是使用在其中的一个网络连接驱动程序。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞提升权限或执行任意代码等。

　　CNVD收录的相关漏洞包括：Google Android kernel权限提升漏洞、Google Android MediaTek权限提升漏洞、Google AndroidQualcomm组件存在未明漏洞（CNVD-2017-22584）、Google AndroidBroadcomWi-Fi驱动程序提权漏洞、Google Android存在未明漏洞（CNVD-2017-22586）、Google Android加密问题漏洞、Google AndroidBroadcom wi-fi驱动器权限提升漏洞、Google Android远程代码执行漏洞（CNVD-2017-22360）。除“Google Androidkernel权限提升漏洞”外，其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

　　NexusPHP SQL注入漏洞

　　NexusPHP是中国Nexus团队开发的一套使用PHP编写的资源分享社区解决方案。上周，NexusPHP被披露存在SQL注入漏洞，攻击者可利用漏洞执行任意的SQL命令。目前，互联网上已经出现了针对该漏洞的攻击代码，厂商尚未发布漏洞修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

　　小结

　　上周，Adobe被披露存在内存破坏漏洞，攻击者可利用漏洞执行任意代码此外，Cisco、Microsoft、Google等多款产品被披露存在多个漏洞，攻击者可利用漏洞提升权限、执行任意代码或泄露敏感信息等。另外，NexusPHP被披露存在SQL注入漏洞，攻击者可利用漏洞执行任意的SQL命令。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

　　中国电子银行网综合移动支付网、FreeBuf、嘶吼RoarTalk、中国保密协会科学技术分会报道

责任编辑：韩希宇