国家信息安全漏洞共享平台上周共收集、整理信息安全漏洞563个，互联网上出现“IceCMS跨站脚本漏洞（CNVD-2023-98191）、LMXCMS SQL注入漏洞（CNVD-2023-98192）”等零日代码攻击漏洞，上周信息安全漏洞威胁整体评价级别为中。中国电子银行网为您梳理过去一周的信息安全行业要闻并告警重要漏洞，深入探讨信息安全知识。

一周行业要闻速览

工信部组织开展网络安全保险服务试点工作 专家称为数据要素市场建设筑牢防火墙

结合现阶段我国网络安全保险现有险种，此次试点险种主要包括网络安全财产类保险和网络安全责任类保险两大类。>>详细

工商银行助力打击电信诈骗 全力守护企业资金安全

中国工商银行主动发挥防线和关口作用，通过智能风控、联防联控、创新服务、入企宣教等措施织好多层“防护网”，打好协同“组合拳”，全力管控企业账户涉诈风险，助力群众守好“钱袋子”。>>详细

2023年末盘点：诈骗手段层出不穷 提高防范意识势在必行

近年来，金融诈骗套路层出不穷，除了上述案例，消费者也应时刻警惕以“快递送豪礼”“年末积分到期”“信用卡代办”“信用卡套现”“套取信用卡积分”“注销百万保险”等为幌子的骗局。>>详细

消保小课堂｜投资“区块链虚拟币”赚大钱？小心被骗！

近期，一些不法分子打着“金融创新”“区块链”的旗号，通过发行所谓“虚拟货币”“虚拟资产”“数字资产”等方式吸收资金，侵害公众合法权益。>>详细

【反诈】猜猜我是谁？无中生“友”要当心

骗子来袭人设多，熟人好友做迷惑，改头换号伪身份，要求帮忙假截图，消费垫付助转账，频繁催促诡计多，涉及钱财多核实，全面验证也不迟。>>详细

这些链接要慎点！“唐伯虎”在线讲解网络诈骗套路

不法分子可以通过AI换脸技术将现实中的人脸替换成某知名公众人物的脸，并通过社交媒体传播，诱导用户和粉丝点击链接下载恶意软件或输入个人信息，造成消费者信息泄露。>>详细

反诈专栏 | 天降好礼？当心是陷阱！

不要轻信“免费领取”‘免费送”的噱头，也不要将未确认的营销信息轻易转发给亲朋好友。刷单就是违法，凡是以刷单做任务为名，要求垫资、银行卡转账的都是诈骗。>>详细

【知识】想暴富变暴“负”？警惕虚假投资类理财诈骗！

不轻信陌生人发来的“盈利图”，不加入全是陌生人的“投资群”，不轻信所谓的“营业执照”，不做“国际盘”。>>详细

安全威胁播报

上周漏洞基本情况

上周（2023年12月18日-24日）信息安全漏洞威胁整体评价级别为中。国家信息安全漏洞共享平台（以下简称CNVD）上周共收集、整理信息安全漏洞563个，其中高危漏洞221个、中危漏洞283个、低危漏洞59个。漏洞平均分值为6.21。上周收录的漏洞中，涉及0day漏洞333个（占59%），其中互联网上出现“IceCMS跨站脚本漏洞（CNVD-2023-98191）、LMXCMS SQL注入漏洞（CNVD-2023-98192）”等零日代码攻击漏洞。

上周重要漏洞安全告警

IBM产品安全漏洞

IBM Db2是美国国际商业机器（IBM）公司的一套关系型数据库管理系统。该系统的执行环境主要有UNIX、Linux、IBMi、z/OS以及Windows服务器版本。IBM Planning Analytics是美国国际商业机器（IBM）公司的一套业务规划分析解决方案。该方案支持自动化执行业务规划、预算和分析等流程。IBM Sterling B2B Integrator是美国国际商业机器（IBM）公司的一套集成了重要的B2B流程、交易和关系的软件。该软件支持与不同的合作伙伴社区之间实现复杂的B2B流程的安全集成。IBM Content Navigator是美国国际商业机器（IBM）公司的一款Web客户机。该产品支持从Web浏览器搜索和处理存储在内容服务器中的文档。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，造成DoS，在Web UI中嵌入任意JavaScript代码，从而导致受信任会话中的凭据泄露等。

CNVD收录的相关漏洞包括：IBM Db2输入验证错误漏洞（CNVD-2023-98172、CNVD-2023-98171、CNVD-2023-98170、CNVD-2023-98174、CNVD-2023-98173）、IBM Sterling B2B Integrator跨站脚本漏洞（CNVD-2023-98177）、IBM Content Navigator跨站脚本漏洞（CNVD-2023-98176）、IBM Planning Analytics信息泄露漏洞（CNVD-2023-9817594）。其中“IBM Db2输入验证错误漏洞（CNVD-2023-9817184、CNVD-2023-9817085、CNVD-2023-9817341）”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

Google产品安全漏洞

Google Android是美国谷歌（Google）公司的一套以Linux为基础的开源操作系统。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获得提升的权限，导致拒绝服务，在系统上执行任意代码等。

CNVD收录的相关漏洞包括：Google Android权限提升漏洞（CNVD-2023-98746、CNVD-2023-98745、CNVD-2023-98748、CNVD-2023-98747）、Google Android拒绝服务漏洞（CNVD-2023-98749、CNVD-2023-98754、CNVD-2023-98756）、Google Android代码执行漏洞（CNVD-2023-98757）。其中，除“Google Android拒绝服务漏洞（CNVD-2023-98749）”外其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

Adobe产品安全漏洞

Adobe RoboHelp是美国奥多比（Adobe）公司的针对Windows开发和发布的帮助创作工具。Adobe Substance 3D Sampler是美国奥多比（Adobe）公司的一款摄影测量软件。用于将照片捕捉和扫描图像转换为3D纹理和材质资产。Adobe Dimension是美国奥多比（Adobe）公司的是一套2D和3D合成设计工具。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞导致敏感内存泄露，执行非法SQL命令窃取数据库敏感数据，在当前用户的上下文中执行任意代码等。

CNVD收录的相关漏洞包括：Adobe RoboHelp SQL注入漏洞、Adobe Substance 3D Sampler越界写入漏洞（CNVD-2023-98212、CNVD-2023-98211、CNVD-2023-98215、CNVD-2023-98214、CNVD-2023-98213、CNVD-2023-98216）、Adobe Dimension越界读取漏洞（CNVD-2023-9821791）。其中，除“Adobe Dimension越界读取漏洞（CNVD-2023-9821791）”外其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

Fortinet产品安全漏洞

Fortinet FortiClient是美国飞塔（Fortinet）公司的一套移动终端安全解决方案。该方案与FortiGate防火墙设备连接时可提供IPsec和SSL加密、广域网优化、终端合规和双因子认证等功能。Fortinet FortiADC是美国飞塔（Fortinet）公司的一款应用交付控制器。Fortinet FortiSIEM是美国飞塔（Fortinet）公司的一套安全信息和事件管理系统。该系统包括资产发现、工作流程自动化和统一管理等功能。Fortinet FortiMail是美国飞塔（Fortinet）公司的一套电子邮件安全网关产品。该产品提供电子邮件安全防护和数据保护等功能。Fortinet FortiEDR是美国飞塔（Fortinet）公司的一个从头开始构建的端点安全解决方案。Fortinet FortiWLM是美国飞塔（Fortinet）公司的一个无线管理器。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞通过搜索路径中的恶意OpenSSL引擎库执行DLL劫持攻击，通过结构自动化CLI脚本的特定精心设计的配置将其权限升级为super_admin，通过特制的CLI请求执行任意代码或命令等。

CNVD收录的相关漏洞包括：Fortinet FortiClient路径遍历漏洞（CNVD-2023-98182）、Fortinet FortiADC访问控制错误漏洞、Fortinet FortiADC缓冲区溢出漏洞、Fortinet FortiSIEM信息泄露漏洞（CNVD-2023-98186）、Fortinet FortiMail身份验证错误漏洞、Fortinet FortiEDR访问控制错误漏洞（CNVD-2023-98184、CNVD-2023-98187）、Fortinet FortiSIEM命令执行漏洞（CNVD-2023-98190）。其中，“Fortinet FortiADC访问控制错误漏洞、Fortinet FortiMail身份验证错误漏洞、Fortinet FortiSIEM命令执行漏洞（CNVD-2023-98190）、Fortinet FortiEDR访问控制错误漏洞”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

D-Link DIR-846反序列化漏洞

D-Link DIR-846是中国友讯（D-Link）公司的一款无线路由器。上周，D-Link DIR-846被披露存在反序列化漏洞。攻击者可利用该漏洞导致代码执行。目前，厂商尚未发布上述漏洞的修补程序。

小结

上周，IBM产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，造成DoS，在Web UI中嵌入任意JavaScript代码，从而导致受信任会话中的凭据泄露等。此外，Google、Adobe、Fortinet等多款产品被披露存在多个漏洞，攻击者可利用漏洞获得提升的权限，导致拒绝服务，在系统上执行任意代码，通过搜索路径中的恶意OpenSSL引擎库执行DLL劫持攻击，通过结构自动化CLI脚本的特定精心设计的配置将其权限升级为super_admin，通过特制的CLI请求执行任意代码或命令等。另外，D-Link DIR-846被披露存在反序列化漏洞。攻击者可利用漏洞导致代码执行。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

中国电子银行网综合CNVD、证券日报、中国工商银行、交通银行、邮储银行+、中信银行、兴业银行、恒丰银行总行、江西辖内农商银行微银行报道

责任编辑：韩希宇