国家信息安全漏洞共享平台上周共收集、整理信息安全漏洞335个，互联网上出现“HelpDEZk SQL注入漏洞、WordPress FormCraft Basic插件SQL注入漏洞”等零日代码攻击漏洞，上周信息安全漏洞威胁整体评价级别为中。中国电子银行网为您梳理过去一周的信息安全行业要闻，告警重要漏洞并推出技术观澜，深入探讨信息安全知识。

　　一周行业要闻速览

　　蓝牙协议曝8个严重安全漏洞

　　只要你的设备打开了蓝牙，并且在黑客设备的蓝牙连接范围内，黑客就能实施攻击，甚至不需要成功连接。>>详细

　　软件供应链来源攻击分析报告

　　2017年8月，非常流行的远程终端管理软件 Xshell 被发现植入了后门代码，导致大量使用此款工具的用户泄露主机相关的敏感信息。>>详细

　　技术观澜

　　IoT设备固件分析教程之固件是怎么存储的

　　设备固件的安全是构建物联网设备安全的基础环节，它的安全问题将影响到整个系统。在真实的Hacking场景中，我们常常需要提取固件，将其解压缩，以便对操作系统和应用程序进行逆向和安全审计。>>详细

　　典型的基于堆栈的缓冲区溢出

　　缓冲区溢出有两种类型：1、基于堆栈的缓冲区溢出，这里的目标缓冲区位于堆栈中；2、基于堆的缓冲区溢出，这里的目标缓冲区位于堆中。>>详细

　　浙江大学研究人员发现超声波控制语音助手实现远程入侵

　　浙江大学的六名科学家发现，他们可以使用超声波频率这种人耳无法听见的声音，对那些语音助手软件发送指令，从而接管手机、智能家居、甚至是汽车。而且这种攻击方式不需要接触手机。>>详细

　　全能无线渗透测试工具 一个LAZY就搞定了

　　该脚本可以自动执行有关Wi-Fi穿透和黑客攻击的绝大部分应用程序，同时它还集合了大量不同类型的攻击程序，可谓是集众家之长于一身。>>详细

　　安全威胁播报

　　上周漏洞基本情况

　　上周（2017年09月04日-2017年09月10日）信息安全漏洞威胁整体评价级别为中。

　　国家信息安全漏洞共享平台（以下简称CNVD）上周共收集、整理信息安全漏洞335个，其中高危漏洞94个、中危漏洞213个、低危漏洞28个。漏洞平均分值为5.73。上周收录的漏洞中，涉及0day漏洞124个（占37%），其中互联网上出现“HelpDEZk SQL注入漏洞、WordPress FormCraft Basic插件SQL注入漏洞”等零日代码攻击漏洞。此外，上周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数1326个，与上周（1641个）环比减少19%。

　　上周重要漏洞安全告警

　　Apache产品安全漏洞

　　Struts2 是Apache软件基金会负责维护的一个基于MVC设计模式的Web应用框架开源项目。上周，该产品被披露存在S2-052、S2-053远程代码执行漏洞，攻击者可利用漏洞执行任意代码。

　　CNVD收录的相关漏洞包括：Apache Struts2REST插件远程代码执行漏洞、Apache Struts2 S2-053远程代码执行漏洞。其中“Apache Struts2REST插件远程代码执行漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

　　Google产品安全漏洞

　　Android是美国谷歌公司和开放手持设备联盟共同开发的一套以Linux为基础的开源操作系统。Qualcommclosed-source components是其中的一个美国高通公司开发的闭源组件。上周，上述产品被披露存在缓冲区溢出漏洞，攻击者可利用漏洞执行任意代码或发起拒绝服务攻击。

　　CNVD收录的相关漏洞包括：Google AndroidQualcomm组件缓冲区溢出漏洞（CNVD-2017-25677、CNVD-2017-25678、CNVD-2017-25679、CNVD-2017-25680、CNVD-2017-25681、CNVD-2017-25682、CNVD-2017-25683、CNVD-2017-25684）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

　　Adobe产品安全漏洞

　　Adobe Reader/Acrobat是一款流行的处理PDF文件的应用程序。上周，该产品被披露存在内存破坏漏洞，攻击者可利用漏洞执行任意代码。

　　CNVD收录的相关漏洞包括：AdobeAcrobat/Reader内存破坏漏洞（CNVD-2017-25776、CNVD-2017-25777、CNVD-2017-25778、CNVD-2017-25779、CNVD-2017-25780、CNVD-2017-25781、CNVD-2017-25782、CNVD-2017-25783）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

　　Smiths Medical产品安全漏洞

　　Medfusion 4000 WirelessSyringe Infusion Pump是用于在急性护理环境中提供小剂量药物的注射器输液泵。上周，该产品被披露存在多个漏洞，攻击者可利用漏洞绕过安全限制、读取内存数据或执行任意代码等。

　　CNVD收录的相关漏洞包括：Smiths MedicalMedfusion 4000 Wireless Syringe Infusion Pump缓冲区溢出漏洞、Smiths MedicalMedfusion 4000 Wireless Syringe Infusion Pump密码泄露漏洞、Smiths MedicalMedfusion 4000 Wireless Syringe Infusion Pump内存读取漏洞、Smiths MedicalMedfusion 4000 Wireless Syringe Infusion Pump身份验证绕过漏洞、Smiths MedicalMedfusion 4000 Wireless Syringe Infusion Pump硬编码漏洞、Smiths MedicalMedfusion 4000 Wireless Syringe Infusion Pump硬编码漏洞（CNVD-2017-25719）、Smiths MedicalMedfusion 4000 Wireless Syringe Infusion Pump硬编码密码漏洞、Smiths MedicalMedfusion 4000 Wireless Syringe Infusion Pump中间人攻击漏洞。除“Smiths MedicalMedfusion 4000 Wireless Syringe Infusion Pump密码泄露漏洞、Smiths MedicalMedfusion 4000 Wireless Syringe Infusion Pump内存读取漏洞、Smiths MedicalMedfusion 4000 Wireless Syringe Infusion Pump硬编码密码漏洞”外，其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

　　National Instruments LabVIEW内存破坏漏洞

　　National Instruments LabVIEW是美国国家仪器公司的一套系统设计平台。上周，NationalInstruments被披露存在内存破坏漏洞，攻击者可利用漏洞造成拒绝服务。目前，厂商尚未发布漏洞修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

　　小结

　　上周，Apache被披露存在S2-052、S2-053远程代码执行漏洞，攻击者可利用漏洞执行任意代码。此外，Adobe、Google、Smiths Medical等多款产品被披露存在多个漏洞，攻击者可利用漏洞绕过安全限制、读取内存数据、执行任意代码或发起拒绝服务攻击等。另外，National Instruments被披露存在内存破坏漏洞，攻击者可利用漏洞造成拒绝服务。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

　　中国电子银行网综合FreeBuf.COM、安全客、看雪社区报道

责任编辑：韩希宇