国家信息安全漏洞共享平台上周共收集、整理信息安全漏洞413个，互联网上出现“WinDjView远程代码执行漏洞、Joomla! JoomRecipe组件SQL注入漏洞”等零日代码攻击漏洞，上周信息安全漏洞威胁整体评价级别为中。中国电子银行网为您梳理过去一周的信息安全行业要闻，告警重要漏洞并推出技术观澜，深入探讨信息安全知识。

　　一周行业要闻速览

　　研究者发现多起嵌入式设备攻击ATM事件

　　针对涉及所谓“Insert Skimmers”的ATM的网络攻击数量正在增加。Insert Skimmers是薄膜欺诈设备，设计用于隐藏在ATM卡插槽内。Insert Skimmers能够捕获卡数据并将其存储在嵌入式闪存中。>>详细

　　研究者从PC电磁辐射中恢复AES256密钥

　　研究团队说，该钻机足够小，可以装在夹克口袋，笔记本电脑外壳或任何其他不显眼的包中。研究人员说，攻击者可以将此设备靠近计算机或已知处理加密操作的设备，并且嗅出电磁波。>>详细

　　技术观澜

　　西门子服务器曝出身份验证的绕过漏洞

　　ICS-CERT表示：“成功利用这些漏洞可能允许未经身份验证的攻击者通过网络访问服务器进行管理操作。>>详细

　　微软对Eternal Synergy SMBv1 Exploit的分析

　　Eternal Synergy是一个SMBv1认证漏洞，它特别有趣，许多开发步骤纯粹是基于分组的，而不是本地shellcode执行。>>详细

　　介绍几种常见的提权方法，你用过几个？

　　攻击者一旦拿下一台机器进入内网，他就会尝试各种方法在内网中进行漫游，获取到他想要的数据。一般情况下攻击者是从个人计算机中开始入侵，不过这对于APT攻击者来讲并不困难，因为他们可以通过提权，进而攻击网络中的一些基础设施，从而查找甚至破坏他们的目标内容。>>详细

　　安全威胁播报

　　上周漏洞基本情况

　　上周（2017年07月10日-2017年07月16日）信息安全漏洞威胁整体评价级别为中。

　　国家信息安全漏洞共享平台（以下简称CNVD）上周共收集、整理信息安全漏洞413个，其中高危漏洞178个、中危漏洞216个、低危漏洞19个。漏洞平均分值为6.40。上周收录的漏洞中，涉及0day漏洞211个（占51%），其中互联网上出现“WinDjView远程代码执行漏洞、Joomla! JoomRecipe组件SQL注入漏洞”等零日代码攻击漏洞。此外，上周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数1192个，与上周（1011个）环比增长18%。

　　上周重要漏洞安全告警

　　Google产品安全漏洞

　　Android是一种基于Linux的自由及开放源代码的操作系统。上周，该产品被披露存在多个漏洞，攻击者可以利用漏洞获取敏感信息，执行任意代码，发起拒绝服务拒绝服务攻击等。

　　CNVD收录的相关漏洞包括：Google Android高通组件存在多个漏洞（CNVD-2017-14380、CNVD-2017-14381、CNVD-2017-14382、CNVD-2017-14383、CNVD-2017-14384、CNVD-2017-14385、CNVD-2017-14386、CNVD-2017-14387）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

　　Microsoft产品安全漏洞

　　Internet Explorer是微软公司推出的一款网页浏览器。Microsoft Edge是内置于Windows 10版本中的网页浏览器。上周，上述产品被披露存在内存破坏漏洞，攻击者可利用漏洞执行任意代码。

　　CNVD收录的相关漏洞包括：MicrosoftInternet Explorer远程内存破坏漏洞（CNVD-2017-14447）、Microsoft Edge脚本引擎远程内存破坏漏洞（CNVD-2017-14607、CNVD-2017-14608、CNVD-2017-14609、CNVD-2017-14448、CNVD-2017-14449、CNVD-2017-14450、CNVD-2017-14451）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

　　Foscam产品安全漏洞

　　Foscam C1 Indoor HDCamera是中国福斯康姆（Foscam）公司的一款无线高清IP摄像机。Foscam IndoorIP Camera C1 Series是一款C1系列无线IP摄像机产品。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞注入任意命令、执行任意代码或泄露敏感信息等。

　　CNVD收录的相关漏洞包括：Foscam C1Indoor HD Camera命令注入漏洞、Foscam C1 Indoor HD Camera命令注入漏洞（CNVD-2017-14061、CNVD-2017-14362、CNVD-2017-14364）、Foscam C1Indoor HD Camera缓冲区溢出漏洞、Foscam C1 Indoor HDCamera缓冲区溢出漏洞（CNVD-2017-14066）、Foscam C1 Indoor HDCamera路径遍历漏洞、Foscam Indoor IP Camera C1 SeriesCGIProxy.fcgi SMTP测试密码参数配置命令注入漏洞。其中，“Foscam IndoorIP Camera C1 SeriesCGIProxy.fcgi SMTP测试密码参数配置命令注入漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

　　Siemens产品安全漏洞

　　Siemens SIMATIC WinCCSm@rtClient for Android是一款安卓系统上的客户端程序。SiPass server是SiPass集中访问控制系统的组件。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞绕过身份验证机制、读取或写入文件、读取和修改数据等。

　　CNVD收录的相关漏洞包括：Siemens SiPassintegrated认证绕过漏洞、Siemens SiPass integrated文件读写漏洞、Siemens SiPassintegrated未授权操作漏洞、Siemens SiPass integrated凭证获取漏洞、SiemensSIMATIC WinCC Sm@rtClient for Android身份验证绕过漏洞、SiemensSIMATIC WinCC Sm@rtClient for Android中间人攻击漏洞。除“Siemens SiPassintegrated凭证获取漏洞、Siemens SIMATIC WinCC Sm@rtClient for Android身份验证绕过漏洞”外，其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

　　多款WiMAX路由器存在身份验证绕过漏洞

　　WiMAX(微波存取全球互通)是一种以IEEE-802.16标准为基础的通讯技术。上周，多款WiMAX路由器被披露存在身份验证绕过漏洞，攻击者可利用漏洞更改设备上的管理员密码。目前，互联网上已经出现了针对该漏洞的攻击代码，厂商尚未发布漏洞修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

　　小结

　　上周，Google被披露存在多个漏洞，攻击者可以利用漏洞获取敏感信息，执行任意代码，发起拒绝服务拒绝服务攻击等。此外，Microsoft Foscam、Siemens等多款产品被披露存在多个漏洞，攻击者利用漏洞可泄露敏感信息、执行任意命令、绕过验证机制或读取和写入文件等。另外，多款WiMAX路由器被披露存在身份验证绕过漏洞，攻击者可利用漏洞更改设备上的管理员密码。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

　　中国电子银行网综合嘶吼RoarTalk、CFCA信息安全实验室报道

责任编辑：韩希宇