国家信息安全漏洞共享平台上周共收集、整理信息安全漏洞437个，互联网上出现“Simple Cold Storage Management System SQL注入漏洞（CNVD-2023-69723）、Password Storage Application跨站脚本漏洞”等零日代码攻击漏洞，上周信息安全漏洞威胁整体评价级别为中。中国电子银行网为您梳理过去一周的信息安全行业要闻并告警重要漏洞，深入探讨信息安全知识。

一周行业要闻速览

消保小课堂 | “跑分”兼职能轻松赚钱吗？

有人专利用银行账户或第三方支付平台账户为他人代收款，再转账到指定账户，从中赚取佣金，这种行为被称为“跑分”。>>详细

远离电诈 | 交通银行线上线下协同 全力保障客户资金安全

交行线上客服人员在进行贷款业务核实过程中发现该笔业务十分可疑，且客户的手机来电已被转移至诈骗分子，无法直接联系到客户，便果断为客户关闭线上渠道主动出账功能，并通过短信告知客户。>>详细

一图读懂金融标准 | 个人金融信息保护技术规范

为避免给您带来不必要的危害和损失，请您避免随意泄露任何个人金融信息，特别是C3、C2类别个人金融信息。>>详细

大侦探小发羊 | 知人知“面”，谨防诈骗！广发银行教你识破AI换脸骗局

新型诈骗层出不穷，金融网络安全知识常记心中，让我们带着“大侦探”的警惕，识破新型骗局、保护个人信息，做自己信息安全、财产安全的第一责任人！>>详细

华夏银行昆明分行开展“反诈拒赌校园行”集中宣传活动

大学生因为缺乏社会经验，安全意识薄弱，往往成为诈骗分子精心挑选的对象。>>详细

反诈专栏 | 看恒丰人巧用“望闻问切”四招助反诈

刷单诈骗套路深，天降馅饼莫当真。高额返利是陷阱，擦亮眼睛莫相信。>>详细

江苏银行：促进互金行业协同 合力抵御黑灰产侵害

江苏银行消费金融与信用卡中心负责人介绍，江苏银行自年初就开展“反黑产”系列工作，围绕“强技术、优机制、广联合“的工作思路，推进黑产防控和打击治理各项工作。>>详细

反诈识诈|“成功”企业团队的秘诀是……

在现实生活中，许多人打着高素质的幌子，他们拥有专业履历、完美的人设、超强的技能、卓越的眼光，但同时也在盯着你的钱包伺机而动。>>详细

识破金融陷阱 争做智慧新市民

积极学习金融知识，树立理性借贷观念；增强风险防范意识，提升反诈防骗技能；建立正确消费观念，奔赴美好幸福生活。>>详细

安全威胁播报

上周漏洞基本情况

上周（2023年9月11日-17日）信息安全漏洞威胁整体评价级别为中。国家信息安全漏洞共享平台（以下简称CNVD）上周共收集、整理信息安全漏洞437个，其中高危漏洞188个、中危漏洞227个、低危漏洞22个。漏洞平均分值为6.39。上周收录的漏洞中，涉及0day漏洞363个（占83%），其中互联网上出现“Simple Cold Storage Management System SQL注入漏洞（CNVD-2023-69723）、Password Storage Application跨站脚本漏洞”等零日代码攻击漏洞。

上周重要漏洞安全告警

Google产品安全漏洞

Google Android是美国谷歌（Google）公司的一套以Linux为基础的开源操作系统。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，造成拒绝服务，在系统上获得提升的权限。

CNVD收录的相关漏洞包括：Google Android权限提升漏洞（CNVD-2023-69035、CNVD-2023-69042、CNVD-2023-69045、CNVD-2023-69046）、Google Android信息泄露漏洞（CNVD-2023-69040、CNVD-2023-69041、CNVD-2023-69044）、Google Android拒绝服务漏洞（CNVD-2023-69043）。其中，“Google Android权限提升漏洞（CNVD-2023-69035、CNVD-2023-69042、CNVD-2023-69045、CNVD-2023-69046）”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

Mozilla产品安全漏洞

Mozilla Firefox是美国Mozilla基金会的一款开源Web浏览器。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞绕过网络安全检查，获取敏感信息，在系统上执行任意代码或导致拒绝服务等。

CNVD收录的相关漏洞包括：Mozilla Firefox信息泄露漏洞（CNVD-2023-68439、CNVD-2023-68481）、Mozilla Firefox代码执行漏洞（CNVD-2023-68438、CNVD-2023-68441、CNVD-2023-68478）、Mozilla Firefox拒绝服务漏洞（CNVD-2023-68440）、Mozilla Firefox安全绕过漏洞（CNVD-2023-68482、CNVD-2023-68480）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

IBM产品安全漏洞

IBM InfoSphere Information Server是美国国际商业机器（IBM）公司的一套数据整合平台。该平台可用于整合各种渠道获取的数据信息。IBM Security Verify Access（ISAM）是美国国际商业机器（IBM）公司的一款提高用户访问安全的服务。该服务通过使用基于风险的访问、单点登录、集成访问管理控制、身份联合以及移动多因子认证实现对Web、移动、IoT和云技术等平台安全简单的访问。IBM Sterling Connect:Direct是美国国际商业机器（IBM）公司的一套基于文件的点对点文件传输解决方案。IBM TXSeries for Multiplatforms是美国国际商业机器（IBM）公司的一种事务处理监控和管理的软件产品，它旨在支持多平台上的分布式事务处理。IBM Robotic Process Automation是美国国际商业机器（IBM）公司的一种机器人流程自动化产品。可帮助您以传统RPA的轻松和速度大规模自动化更多业务和IT流程。IBM Security Guardium是美国国际商业机器（IBM）公司的一套提供数据保护功能的平台。该平台包括自定义UI、报告管理和流线化的审计流程构建等功能。IBM Planning Analytics是美国国际商业机器（IBM）公司的一套业务规划分析解决方案。该方案支持自动化执行业务规划、预算和分析等流程。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞使用开放重定向进行网络钓鱼攻击，访问敏感文件，提升权限，导致拒绝服务等。

CNVD收录的相关漏洞包括：IBM InfoSphere Information Server信息泄露漏洞（CNVD-2023-68779）、IBM Security Verify Access输入验证错误漏洞（CNVD-2023-68778）、IBM Sterling Connect:Direct加密问题漏洞、IBM TXSeries for Multiplatforms拒绝服务漏洞、IBM Robotic Process Automation授权问题漏洞（CNVD-2023-68780）、IBM Security Guardium授权问题漏洞（CNVD-2023-68784）、IBM Planning Analytics加密问题漏洞（CNVD-2023-68783）、IBM Security Guardium输入验证错误漏洞。其中，“IBM Sterling Connect:Direct加密问题漏洞、IBM TXSeries for Multiplatforms拒绝服务漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

Siemens产品安全漏洞

Siemens Teamcenter Visualization是一个可为设计2D、3D场景提供团队协作功能的软件。Siemens JT2GO是一款JT文件查看器。Siemens Parasolid是一种三维几何建模工具，支持各种技术，包括实体建模、直接编辑和自由曲面/图纸建模。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞在当前进程的上下文中执行代码。

CNVD收录的相关漏洞包括：Siemens Teamcenter Visualization和JT2Go堆栈缓冲区溢出漏洞（CNVD-2023-69804、CNVD-2023-69810）、Siemens Teamcenter Visualization和JT2Go类型混淆漏洞、Siemens Teamcenter Visualization和JT2Go内存错误引用漏洞（CNVD-2023-69805）、Siemens Teamcenter Visualization和JT2Go类型混淆漏洞（CNVD-2023-69807）、Siemens Teamcenter Visualization和JT2Go堆缓冲区溢出漏洞（CNVD-2023-69809）、Siemens Teamcenter Visualization和JT2Go越界写入漏洞（CNVD-2023-69808）、Siemens Parasolid越界写入漏洞（CNVD-2023-69813）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

Tenda AC23 sub_451784函数堆栈溢出漏洞

Tenda AC23是中国腾达（Tenda）公司的一款双频千兆无线路由器。上周，Tenda AC23被披露存在堆栈溢出漏洞。该漏洞源于sub_451784函数未能正确验证输入数据的长度大小，攻击者可利用该漏洞在系统上执行任意代码或者导致拒绝服务。目前，厂商尚未发布上述漏洞的修补程序。

小结

上周，Google产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，造成拒绝服务，在系统上获得提升的权限。此外，Mozilla、IBM、Siemens等多款产品被披露存在多个漏洞，攻击者可利用漏洞绕过网络安全检查，使用开放重定向进行网络钓鱼攻击，访问敏感文件，提升权限，在系统上执行任意代码或导致拒绝服务等。另外，Tenda AC23被披露存在堆栈溢出漏洞。攻击者可利用该漏洞在系统上执行任意代码或者导致拒绝服务。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

中国电子银行网综合CNVD、新华网、证券日报、中国银联、交通银行、邮储银行+、浦发银行、广发银行、恒丰银行总行报道

责任编辑：韩希宇