国家信息安全漏洞共享平台上周共收集、整理信息安全漏洞260个，互联网上出现“D-Link DIR-601存在信息泄露漏洞、WordPress wunderfarm WFCookie Consent插件跨站脚本漏洞”等零日代码攻击漏洞，上周信息安全漏洞威胁整体评价级别为中。中国电子银行网为您梳理过去一周的信息安全行业要闻，告警重要漏洞并推出技术观澜，深入探讨信息安全知识。

　　一周行业要闻速览

　　恶意POS软件——“TreasureHunt”的源代码已确定发生泄露

　　从三月份开始，恶意POS软件——“TreasureHunt”的源代码开始在俄语黑客论坛上出现。不仅TreasureHunt的源代码泄露，恶意软件的图形用户界面构建器和管理员面板的源代码也一样被泄露。>>详细

　　NEC将打造大型犯罪侦查生物识别系统

　　以Bio-IDiom中的虹膜识别功能为例，通过去除瞳孔、眼皮与睫毛等多余信息来捕捉虹膜图案，从而让准确度变得更高。>>详细

　　信息泄露防不胜防黑客能用电线顺走你数据

　　以色列本古里安大学的研究人员撰写了一篇题为《PowerHammer：通过电源线窃取隔离电脑的数据》的论文，详细介绍了这种攻击手段，研究人员将这种数据窃取技术命名为“PowerHammer”。>>详细

　　技术观澜

　　浅谈数据库防火墙技术及应用

　　每家公司对于数据库防火墙的定义各不相同，侧重点也不一样。也就是说，虽然大家都在说数据库防火墙，很有可能是两个完全不同的数据（库）安全设备。>>详细

　　CTRL-INJECT进程注入技术详解

　　enSilo的一名安全研究员发现了一种新的进程注入技术，恶意行为者可能会滥用此技术来隐藏基于Windows CLI应用程序的恶意软件。>>详细

　　Linux下的字典生成工具Crunch 创造自己的专属字典

　　使用Crunch工具生成的密码可以输出到屏幕，保存到文件、或另一个程序。由其在渗透测试需要爆破的时候，字典的编排等直接影响到我们的爆破速度，对整个渗透测试流程起着十分重要的作用。>>详细

　　安全威胁播报

　　上周漏洞基本情况

　　上周（2018年05月07日-2018年05月13日）信息安全漏洞威胁整体评价级别为中。

　　国家信息安全漏洞共享平台（以下简称CNVD）上周共收集、整理信息安全漏洞260个，其中高危漏洞62个、中危漏洞184个、低危漏洞14个。漏洞平均分值为5.70。上周收录的漏洞中，涉及0day漏洞59个（占23%），其中互联网上出现“D-Link DIR-601存在信息泄露漏洞、WordPress wunderfarm WFCookie Consent插件跨站脚本漏洞”等零日代码攻击漏洞。

　　上周重要漏洞安全告警

　　Google产品安全漏洞

　　Google Chrome是美国谷歌（Google）公司开发的一款Web浏览器。V8是其中的一套开源JavaScript引擎。Flash是其中的一个用于处理Flash的插件。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞提升权限、执行任意代码或造成拒绝服务等。

　　CNVD收录的相关漏洞包括：Google ChromeFlash内存错误引用漏洞、Google Chrome Flash内存错误引用漏洞（CNVD-2018-09117）、Google Chrome权限提升漏洞（CNVD-2018-09120、CNVD-2018-09121）、Google ChromeV8竞争条件漏洞、Google Chrome V8类型混淆漏洞（CNVD-2018-09122）、GoogleChromeV8整数溢出漏洞、Google Chrome设计漏洞。除“Google Chrome V8整数溢出漏洞、Google Chrome设计漏洞”外，其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

　　Adobe产品安全漏洞

　　Adobe Digital Editions（DE）是美国奥多比（Adobe）公司的一套电子书阅读管理软件。Adobe FlashPlayer是多媒体程序播放器。Adobe Creative Cloud是包括平面设计、影片编辑、网页开发应用的云端套装软件。Adobe InDesignCC是一套排版编辑应用程序。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞执行任意代码或提升权限等。

　　CNVD收录的相关漏洞包括：Adobe CreativeCloud权限提升漏洞、Adobe Creative Cloud权限提升漏洞（CNVD-2018-09211）、Adobe DigitalEditions缓冲区溢出漏洞（CNVD-2018-09333、CNVD-2018-09334）、Adobe FlashPlayer代码执行漏洞（CNVD-2018-09032）、Adobe Flash Player类型混淆远程代码执行漏洞（CNVD-2018-09212）、Adobe InDesignCC内存破坏漏洞、Adobe PhoneGap Push插件代码执行漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

　　Oracle产品安全漏洞

　　Oracle Sun Solaris是最初由SunMicrosystems开发的Unix操作系统。Oracle Hospitality Simphony提供现代化的用户体验。上周，上述产品被披露存在安全漏洞，攻击者可利用该漏洞影响机密性、完整性及可用性。

　　CNVD收录的相关漏洞包括：OracleHospitality Simphony存在未明漏洞（CNVD-2018-09086、CNVD-2018-09082、CNVD-2018-09083、CNVD-2018-09084）、Oracle SunSolaris存在未明漏洞（CNVD-2018-09050、CNVD-2018-09045、CNVD-2018-09047、CNVD-2018-09048）。其中，“OracleHospitality Simphony存在未明漏洞（CNVD-2018-09084）、Oracle SunSolaris存在未明漏洞（CNVD-2018-09050、CNVD-2018-09045）”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

　　D-Link产品安全漏洞

　　D-Link DSL-3782、DIR-601等都是友讯（D-Link）公司的无线路由器产品。上周，上述产品被披露存在信息泄露、代码执行和缓冲区溢出漏洞，攻击者可利用漏洞泄露敏感信息或执行任意代码。

　　CNVD收录的相关漏洞包括：D-Link DIR-601存在信息泄露漏洞、D-Link DIR-615远程代码执行漏洞、D-LinkDSL-3782代码执行漏洞、D-Link DSL-3782缓冲区溢出漏洞（CNVD-2018-09178、CNVD-2018-09179、CNVD-2018-09180、CNVD-2018-09181、CNVD-2018-09182）。除“D-Link DIR-601存在信息泄露漏洞”外，其余漏洞的综合评级为“高危”。目前，厂商尚未发布漏洞修补程序。

　　Apache Derby外部控制输入漏洞

　　Apache Derby是美国阿帕奇（Apache）软件基金会开发的一套开源的数据库管理系统。上周，Apache被披露存在外部控制输入漏洞，远程攻击者可通过发送特制的网络数据包利用该漏洞启动用户控制的数据库（位置和内容）。目前，厂商尚未发布漏洞修补程序。

　　小结

　　上周，Google被披露存在多个漏洞，攻击者可利用漏洞提升权限、执行任意代码或造成拒绝服务等。此外，Adobe、Oracle、D-Link等多款产品被披露存在多个漏洞，攻击者可利用漏洞执行任意代码、提升权限或进行跨站脚本攻击等。另外，Apache被披露存在外部控制输入漏洞，远程攻击者可通过发送特制的网络数据包利用该漏洞启动用户控制的数据库（位置和内容）。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

　　中国电子银行网综合CNVD、科技日报、安全牛、TechWeb、FreebuF.COM、嘶吼RoarTalk报道

责任编辑：韩希宇