國家信息安全漏洞共享平臺上周共收集、整理信息安全漏洞566個，互聯網上出現“Anchor CMS 'markdown'跨站腳本漏洞、Quixplorer輸入驗證錯誤漏洞”等零日代碼攻擊漏洞，上周信息安全漏洞威脅整體評價級別為中。中國電子銀行網為您梳理過去一周的信息安全行業要聞并告警重要漏洞，深入探討信息安全知識。

一周行業要聞速覽

中國銀保監會關于印發監管數據安全管理辦法（試行）的通知

本辦法所稱監管數據是指銀保監會在履行監管職責過程中，依法定期采集,經監管信息系統記錄、生成和存儲的，或經銀保監會各業務部門認定的數字、指標、報表、文字等各類信息。>>詳細

嚴監管敲響警鐘 個人金融信息該怎么保護

2021年，對于金融從業機構而言，如何加強個人金融信息安全合規應用，并充分發揮金融數據要素價值，是擺在眼前的一項重要課題。>>詳細

一文快速get金融等保2.0要點

金融等保2.0結合了行業自身特點，在國標等保2.0基礎上進行了擴充與增強，以適應金融行業的網絡安全要求。>>詳細

數字時代：需走好個人信息保護與利用的平衡木

從企業角度而言，需要進一步樹立個人信息安全保護意識，不斷加強內部管理，在信息收集中按照“最小、必要”原則守好邊界，對非必要的個人信息不要收集。>>詳細

公安部會同央行等有關部門合力斬斷跨境賭博犯罪“資金鏈”

根據公安部統一部署，2020年，全國公安機關整合各警種資源打掉涉賭平臺2260余個、非法技術團隊980余個、賭博推廣平臺1160余個，打掉非法支付平臺和地下錢莊1960余個，抓獲犯罪嫌疑人7.5萬余名。>>詳細

大額轉賬不用愁，手機銀行能搞定！

我想在手機銀行轉賬50萬元，要怎么辦？您可在廣西北部灣手機銀行開通云證通，單筆限額50萬元，日累計限額100萬元。>>詳細

姣姣說消保 | 你不經意做的這件事，正中詐騙分子的下懷！

網絡交易時代，不法分子無錢包可偷，便利用電信詐騙，覬覦我們的“卡包”。詐騙分子往往對我們的訂單，及身份信息了如指掌，騙術迷惑性極強，稍不留神就落入陷阱。>>詳細

【安全】拒絕高利誘惑 遠離非法集資

近年來，打著眾籌、返利、投資幌子的非法集資事件時有發生，一些人因此損失慘重。那么，非法集資有哪些常見類型？慣用手段是什么？如何避免掉入非法集資的“陷阱”？藍e衛士為您一一梳理。>>詳細

安全威脅播報

上周漏洞基本情況

上周（2021年1月11日-17日）信息安全漏洞威脅整體評價級別為中。國家信息安全漏洞共享平臺（以下簡稱CNVD）上周共收集、整理信息安全漏洞566個，其中高危漏洞224個、中危漏洞294個、低危漏洞48個。漏洞平均分值為6.03。上周收錄的漏洞中，涉及0day漏洞336個（占59%），其中互聯網上出現“Anchor CMS 'markdown'跨站腳本漏洞、Quixplorer輸入驗證錯誤漏洞”等零日代碼攻擊漏洞。

上周重要漏洞安全告警

IBM產品安全漏洞

IBM Sterling B2B Integrator是一個交易引擎，是一套根據您的業務需求運行您定義和管理的流程的組件。IBM Engineering WorkflowManagement (EWM)是一款團隊協作工具，集成了各種開發任務，包括迭代計劃、流程定義、變更管理、缺陷跟蹤、源代碼控制、構建自動化和報告。IBM Spectrum Protect Plus是用于虛擬環境的數據保護和可用性解決方案，可在幾分鐘內完成部署，并在一小時內為您的環境提供保護。IBM Security GuardiumInsights是一個現代化的混合云數據安全中心，旨在提供有關組織數據安全性和合規性狀況的可靠視圖。IBM Workload Automation是一款用于批處理和實時工作負載管理的軟件。IBM Security Guardium Data Encryption (GDE)提供了一組模塊化的加密解決方案，可幫助安全團隊有效地實現整個組織的靜態數據安全性。上周，上述產品被披露存在信息泄露和任意代碼執行漏洞，攻擊者可利用漏洞獲取敏感信息，以SYSTEM權限執行任意代碼。

CNVD收錄的相關漏洞包括：IBM Sterling B2BIntegrator任意代碼執行漏洞、IBM Engineering WorkflowManagement信息泄露漏洞、IBM Spectrum Protect Plus信息泄露漏洞（CNVD-2021-03029）、IBM Security GuardiumInsights信息泄露漏洞（CNVD-2021-03529、CNVD-2021-03528、CNVD-2021-03530）、IBM Workload Automation信息泄露漏洞（CNVD-2021-03552）、IBM Security Guardium DataEncryption信息泄露漏洞。其中，“IBM Sterling B2BIntegrator任意代碼執行漏洞”的綜合評級為“高?！?。目前，廠商已經發布了上述漏洞的修補程序。

Dell產品安全漏洞

Dell Inspiron 5675 BIOS是一個可為設備提供基本輸入輸出、開機后自檢和系統自啟動功能的程序。Dell EMC PowerStore是一款存儲設備。Dell Encryption是一套數據保護解決方案。Dell Endpoint SecuritySuite是一套網絡安全套件。Dell Inspiron 7352 BIOS是一款系統更新驅動程序。Dell EMC Avamar Server是美國戴爾（DELL）公司的一套用于服務器的完全虛擬化的備份和恢復軟件。上周，上述產品被披露存在多個漏洞，攻擊者可利用漏洞獲取提升的權限，導致某些用戶憑證的泄露，執行任意代碼等。

CNVD收錄的相關漏洞包括：Dell Inspiron 5675 BIOS訪問控制錯誤漏洞、Dell EMC PowerStore信息泄露漏洞、Dell Encryption和Dell Endpoint SecuritySuite提權漏洞、Dell Inspiron 7352 BIOS引導服務覆蓋漏洞、Dell Inspiron 7347 BIOS引導服務覆蓋漏洞、Dell EMC PowerStore訪問控制錯誤漏洞、Dell EMC Avamar Server SQL注入漏洞、Dell EMC Avamar Server路徑遍歷漏洞。其中，除“Dell EMC PowerStore信息泄露漏洞、Dell EMC PowerStore訪問控制錯誤漏洞”外，其余漏洞的綜合評級為“高?！?。目前，廠商已經發布了上述漏洞的修補程序。

Adobe產品安全漏洞

Adobe Bridge是一款免費數字資產管理應用程序。Adobe InCopy是Adobe公司推出的專業文字處理程序，與Adobe InDesign集成在一起。Adobe Bridge是一款免費數字資產管理應用程序。Adobe Acrobat是一套PDF文件編輯和轉換工具。Adobe Reader是一套PDF文檔閱讀軟件。Adobe Photoshop，簡稱“PS”，是由Adobe公司開發和發行的圖像處理軟件。Adobe Illustrator 2020是一款矢量圖編輯器。Adobe Animate是一款多媒體創作和計算機動畫程序。Adobe Campaign Classic（ACC）是一套跨渠道客戶體驗營銷平臺。上周，上述產品被披露存在多個漏洞，攻擊者可利用漏洞獲取敏感信，執行任意代碼。

CNVD收錄的相關漏洞包括：Adobe Bridge越界寫入漏洞（CNVD-2021-02367）、Adobe InCopy不受控搜索路徑元素漏洞、Adobe Bridge越界寫入漏洞（CNVD-2021-02368）、Adobe Acrobat和Reader信息泄露漏洞（CNVD-2021-02375）、Adobe Photoshop堆緩沖區溢出漏洞、Adobe Illustrator 2020不受控搜索路徑元素漏洞、Adobe Animate不受控搜索路徑元素漏洞、Adobe Campaign Classic服務器端請求偽造漏洞。其中，除“Adobe Acrobat和Reader信息泄露漏洞（CNVD-2021-02375）”外，其余漏洞的綜合評級為“高?！?。目前，廠商已經發布了上述漏洞的修補程序。

Siemens產品安全漏洞

JT2Go是一個3D JT查看工具，允許用戶查看JT，PDF，Solid Edge，PLM XML與現有的JT，VFZ、CGM、TIF數據。Teamcenter可視化軟件使企業能夠增強他們的產品生命周期管理(PLM)環境，該軟件使企業用戶能夠在單一環境中訪問文檔、2D圖紙和3D模型。SCALANCE X是一個開關用于連接工業部件，例如：可編程邏輯控制器(plc)或人機界面(HMIs)。上周，上述產品被披露存在多個漏洞，攻擊者可利用漏洞在當前進程的上下文中執行代碼，造成拒絕服務。

CNVD收錄的相關漏洞包括：JT2Go and TeamcenterVisualization堆棧緩沖區溢出漏洞（CNVD-2021-02579、CNVD-2021-02578）、JT2Go and TeamcenterVisualization堆緩沖區溢出漏洞（CNVD-2021-02577、CNVD-2021-02584、CNVD-2021-02582、CNVD-2021-02586、CNVD-2021-02585）、Scalance X Products堆緩沖區溢出漏洞。上述漏洞的綜合評級為“高?！?。目前，廠商已經發布了上述漏洞的修補程序。

Belkin LINKSYS RE6500拒絕服務漏洞

Linksys RE6500是Belkin推出的一款AC1200雙頻WiFi擴展器。上周，Belkin LINKSYS RE6500被披露存在拒絕服務漏洞。攻擊者可通過長/goform/langSwitch langSelectionOnly參數利用該漏洞導致拒絕服務。目前，廠商尚未發布上述漏洞的修補程序。

小結

上周，IBM產品被披露存在信息泄露和任意代碼執行漏洞，攻擊者可利用漏洞獲取敏感信息，以SYSTEM權限執行任意代碼。此外，Dell、Adobe、Siemens等多款產品被披露存在多個漏洞，攻擊者可利用漏洞獲取提升的權限，導致某些用戶憑證的泄露，執行任意代碼，造成拒絕服務等。另外，Belkin LINKSYS RE6500被披露存在拒絕服務漏洞。攻擊者可通過長/goform/langSwitch langSelectionOnly參數利用該漏洞導致拒絕服務。建議相關用戶隨時關注上述廠商主頁，及時獲取修復補丁或解決方案。

中國電子銀行網綜合CNVD、銀保監會、金融時報、中國證券報·中證網、中國建設銀行、交通銀行微銀行、廣西北部灣銀行微生活報道

責任編輯：韓希宇