国家信息安全漏洞共享平台上周共收集、整理信息安全漏洞400个，互联网上出现“D-Link DSL-3782缓冲区溢出漏洞、Allen Bradley Micrologix1400 Series B FRN访问控制漏洞（CNVD-2018-08283）”等零日代码攻击漏洞，上周信息安全漏洞威胁整体评价级别为中。中国电子银行网为您梳理过去一周的信息安全行业要闻，告警重要漏洞并推出技术观澜，深入探讨信息安全知识。

　　一周行业要闻速览

　　华为正开发手机操作系统 以防最坏情况

　　根据 Gartner 的估计，Android和苹果的iOS基本上占据了智能手机操作系统的整个市场，占比高达99.9%。为了打破这种垄断，许多公司都有着操作系统的野心，比如微软的Windows Mobile，三星的Tizen，以及诺基亚的Symbian。如今看来，这些努力均没有成功。>>详细

　　黑客发现酒店钥匙卡系统漏洞 可生成任意房门钥匙

　　来自F-Secure的两名安全研究人员开发了一种设备，可以读取任何有效甚至过期的酒店钥匙卡，并生成一个可打开任何房间门或授予攻击者进入安全酒店区域的主钥匙。该设备利用世界上最大制造商Assa Abloy构建的流行酒店锁定系统中的漏洞，该系统也是全球应用范围最广的钥匙卡系统之一，VingCard声称它已经安装在40,000多家酒店、汽车旅馆和其他酒店业。>>详细

　　2018年第一季度的DDoS攻击概况

　　第一季度的情况表明，“放大”的攻击的数量似乎还在增多，除了Memcached之外，网络犯罪分子可能会寻找其他非标准“放大”方法。例如，上个季度， LDAP服务被用作放大器。尽管可用的LDAP服务器数量相对较少，但这种类型的攻击可能会在未来几个月内造成一定影响。>>详细

　　技术观澜

　　史上最全攻击模拟工具盘点

　　模拟攻击提供了一种用来测试网络在应对高级攻击时的恢复能力，不过在模拟攻击环境下，所有测试均由系统自动运行。如果这是一个真正的“攻击”，系统将不会运行这些具有模拟特点的攻击。>>详细

　　人工智能的恶意应用预测、预防和缓解报告

　　传统网络攻击中，攻击规模和攻击效率难以兼顾，而使用AI自动执行网络攻击在很大程度上可以兼顾这两个方面，这将使劳动密集型网络攻击（如鱼叉式网络钓鱼）带来更大的威胁。另外还会出现新型攻击方式，如利用人类弱点（如利用语音合成冒充本人），利用现有软件漏洞（如自动黑客攻击），或利用AI系统漏洞（如对抗样本和数据投毒）。>>详细

　　解析针对巴西用户的恶意软件及垃圾邮件行动

　　FireEye实验室最近发现了几起针对巴西公司的大范围masepam（恶意软件垃圾邮件）行动，旨在传播银行木马。我们将这些行动称为Metamorfo。在行动的各个阶段中，我们观察到使用多种策略和技术来逃避检测并提供恶意payload。>>详细

　　安全威胁播报

　　上周漏洞基本情况

　　上周（2018年04月23日-2018年04月29日）信息安全漏洞威胁整体评价级别为中。

　　国家信息安全漏洞共享平台（以下简称CNVD）上周共收集、整理信息安全漏洞400个，其中高危漏洞136个、中危漏洞239个、低危漏洞25个。漏洞平均分值为6.12。上周收录的漏洞中，涉及0day漏洞94个（占24%），其中互联网上出现“D-Link DSL-3782缓冲区溢出漏洞、Allen Bradley Micrologix1400 Series B FRN访问控制漏洞（CNVD-2018-08283）”等零日代码攻击漏洞。

　　上周重要漏洞安全告警

　　Drupal Core远程代码执行漏洞

　　Drupal是一个由Dries Buytaert创立的自由开源的内容管理系统。上周，该产品被披露存在远程代码执行漏洞，攻击者可利用漏洞远程执行代码。

　　CNVD收录的相关漏洞包括：Drupal Core远程代码执行漏洞。该漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

　　Apple产品安全漏洞

　　Apple iOS是为移动设备所开发的一套操作系统；Safari是一款Web浏览器，是Mac OS X和iOS操作系统附带的默认浏览器。iCloud forWindows是一款基于Windows平台的云服务。WebKit是其中的一个Web浏览器引擎组件。上周，上述产品被披露存在内存破坏和缓冲区溢出漏洞，攻击者可利用漏洞执行任意代码或发起拒绝服务攻击。

　　CNVD收录的相关漏洞包括：多款Apple产品Kernel内存破坏漏洞（CNVD-2018-08234、CNVD-2018-08235、CNVD-2018-08247、CNVD-2018-08249）、多款Apple产品WebKit内存破坏漏洞（CNVD-2018-08242、CNVD-2018-08243、CNVD-2018-08266）、多款Apple产品Security缓冲区溢出漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

　　Rockwell Automation产品安全漏洞

　　Allen Bradley Micrologix1400 Series B FRN是美国罗克韦尔（Rockwell Automation）公司的一款可编程逻辑控制器。上周，上述产品被披露存在访问控制漏洞，攻击者可利用漏执行任意代码等。

　　CNVD收录的相关漏洞包括：Allen BradleyMicrologix 1400 Series B FRN访问控制漏洞（CNVD-2018-08279、CNVD-2018-08280、CNVD-2018-08281、CNVD-2018-08282、CNVD-2018-08283、CNVD-2018-08284、CNVD-2018-08285、CNVD-2018-08286）。上述漏洞的综合评级为“高危”。目前，厂商尚未发布漏洞修补程序。

　　Microsoft产品安全漏洞

　　Microsoft Excel 2010 SP2是美国微软（Microsoft）公司Office套件中的一套电子表格处理软件。MicrosoftWindows 10是一套个人电脑使用的操作系统。Windows Server 2008 SP2是一套服务器操作系统。JET DatabaseEngine是其中的一个底层数据库引擎。上周，上述产品被披露存在远程代码执行和权限提升漏洞，攻击者可利用漏洞执行任意代码或提升权限。

　　CNVD收录的相关漏洞包括：MicrosoftExcel远程代码执行漏洞（CNVD-2018-08416）、Microsoft Jet DatabaseEngine任意代码执行漏洞、Microsoft Windows kernel本地权限提升漏洞（CNVD-2018-08190）、MicrosoftWindows远程代码执行漏洞（CNVD-2018-08336、CNVD-2018-08491、CNVD-2018-08492、CNVD-2018-08493、CNVD-2018-08494）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

　　Moxa AWK-3131A WirelessAccess Point硬编码管理员证书漏洞

　　Moxa AWK-3131A WirelessAccess Point是摩莎（Moxa）公司的一款无线交换机。上周，Moxa被披露存在硬编码管理员证书漏洞，攻击者可利用该漏洞完全控制设备。目前，厂商尚未发布漏洞修补程序。

　　小结

　　上周，Drupal被披露存在远程代码执行漏洞，攻击者可利用漏洞远程执行代码。此外，Apple、RockwellAutomation、Microsoft等多款产品被披露存在多个漏洞，攻击者可利用漏洞执行任意代码、提升权限或发起拒绝服务攻击等。另外，Moxa被披露存在硬编码管理员证书漏洞，攻击者可利用该漏洞完全控制设备。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

　　中国电子银行网综合CNVD、雷锋网、FreebuF.COM、嘶吼RoarTalk报道　

责任编辑：韩希宇