国家信息安全漏洞共享平台上周共收集、整理信息安全漏洞212个，互联网上出现“Bitmain Antminer D3、L3+和S9代码执行漏洞、NUUO NVRmini 2任意文件上传漏洞”等零日代码攻击漏洞，上周信息安全漏洞威胁整体评价级别为中。中国电子银行网为您梳理过去一周的信息安全行业要闻，告警重要漏洞并推出技术观澜，深入探讨信息安全知识。

　　一周行业要闻速览

　　北京检方发布《网络安全刑事司法保护白皮书》

　　白皮书披露，网络犯罪普遍呈现低龄化，该类案件中“90后”占比近38%，“80后”占比约48%。犯罪行为人普遍学历较低，本科及以上学历人数仅占21%，初中、中专、小学等教育主体占比超过60%。>>详细

　　数字货币钱包安全白皮书

　　近期360安全团队发现了国外某知名钱包APP的一个钱包不正确加密存储漏洞，其钱包APP在第一次运行的时候，默认为用户创建一个新钱包并将钱包文件未加密存储在系统本地，攻击者可以读取存储的钱包文件。>>详细

　　废除网络中立性法规决定已生效 美国将面临哪些改变

　　网络中立性法规由奥巴马政府于2015年制定，禁止互联网服务提供商屏蔽某些网站或给这些网站提供优待，旨在保证全体网民拥有平等地访问互联网的权利。>>详细

　　技术观澜

　　多目的攻击活动——Prowli的技术分析

　　Operation Prowli通过向服务器和网站发送恶意软件进行传播，已经入侵了超过4万台设备。Prowli会使用不同的攻击技术包括漏洞利用、密码暴力破解和弱配置等。>>详细

　　VPNFilter恶意软件最新研究进展

　　这些新的发现表明VPNFilter威胁正在进一步发展。除了攻击目标和厂商的增多，还发现了恶意软件的新功能，恶意软件不仅可以攻击终端设备，还入侵设备所处的网络。如果攻击成功，攻击者就能够完成rootkit、数据窃取、破坏性恶意软件等功能。>>详细

　　EKFiddle：基于Fiddler研究恶意流量的框架

　　EKFiddle是一个基于Fiddler web debugger的，用于研究漏洞利用套件、恶意软件和恶意流量的框架。>>详细

　　安全威胁播报

　　上周漏洞基本情况

　　上周（2018年06月04日-2018年06月10日）信息安全漏洞威胁整体评价级别为中。

　　国家信息安全漏洞共享平台（以下简称CNVD）上周共收集、整理信息安全漏洞212个，其中高危漏洞70个、中危漏洞127个、低危漏洞15个。漏洞平均分值为6.07。上周收录的漏洞中，涉及0day漏洞59个（占29%），其中互联网上出现“Bitmain Antminer D3、L3+和S9代码执行漏洞、NUUO NVRmini 2任意文件上传漏洞”等零日代码攻击漏洞。

　　上周重要漏洞安全告警

　　Microsoft产品安全漏洞

　　Microsoft Office 2016 for Mac是美国微软（Microsoft）公司开发的一款基于Mac平台的办公软件套件产品。PowerPoint是Office套件中的一个文档演示工具。MicrosoftWindows是美国微软公司研发的一套操作系统，Windows采用了图形化模式GUI。MicrosoftSharePoint Enterprise Server 2013 SP1、SharePoint EnterpriseServer 2016和SharePoint Server 2010 SP2都是企业业务协作平台，用于对业务信息进行整合，并能够共享工作、与他人协同工作、组织项目和工作组、搜索人员和信息。Access是其中的一个数据库组件。上周，上述产品被披露存在权限提升和远程代码执行漏洞，攻击者可利用漏洞提升权限、执行任意代码。

　　CNVD收录的相关漏洞包括：MicrosoftPowerPoint远程代码执行漏洞（CNVD-2018-10942）、Microsoft Windows权限提升漏洞（CNVD-2018-10982）、MicrosoftWindows Win32k权限提升漏洞（CNVD-2018-10986、CNVD-2018-10987）、MicrosoftWindows远程代码执行漏洞（CNVD-2018-10992、CNVD-2018-11048）、MicrosoftSharePoint Server权限提升漏洞（CNVD-2018-11000）、MicrosoftWindows Image权限提升漏洞，上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

　　Adobe产品安全漏洞

　　Adobe Acrobat和Reader都是美国奥多比（Adobe）公司的产品。前者是一套PDF文件编辑和转换工具，后者是一套PDF文档阅读软件。上周，上述产品被披露存在缓冲区溢出漏洞，攻击者可利用漏洞执行任意代码。

　　CNVD收录的相关漏洞包括：AdobeAcrobat/Reader堆溢出漏洞（CNVD-2018-10976、CNVD-2018-10977、CNVD-2018-10978）、AdobeAcrobat/Reader缓冲区溢出漏洞（CN-2018-10886、CNVD-2018-10996、CNVD-2018-10998、CNVD-2018-10997、CNVD-2018-10999）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

　　IBM产品安全漏洞

　　IBM API Connect（又名APIConnect）是美国IBM公司的一套用于管理API生命周期的集成解决方案。IBM BigFixPlatform是一款系统管理软件。IBM InfoSphere Information Server是市场领先的数据集成平台，其中包括一系列产品。IBM SAN VolumeController（SVC）是存储系统。IBM SVC是一套虚拟化存储系统；Storwize是一套专为中小型企业定制的磁盘存储系统；SpectrumVirtualize是一套光谱存储系统；FlashSystem是一套全闪存存储系统。上周，上述产品被披露存在信息泄露和权限提升漏洞，攻击者可利用漏洞获取敏感信息或提升权限。

　　CNVD收录的相关漏洞包括：IBM APIConnect信息泄露漏洞（CNVD-2018-10950）、IBM InfoSphereInformation Server权限提升漏洞、IBM BigFix Platform信息泄露漏洞（CNVD-2018-11073）、IBM InfoSphereInformation Server信息泄露漏洞（CNVD-2018-11080）、多款IBM产品信息泄露漏洞（CNVD-2018-11111、CNVD-2018-11110、CNVD-2018-11113、CNVD-2018-11112）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

　　Oracle产品安全漏洞

　　Oracle Fusion Middleware（Oracle融合中间件）是美国甲骨文（Oracle）公司的一套面向企业和云环境的业务创新平台。该平台提供了中间件、软件集合等功能。OracleHospitality Applications是一套用于酒店管理的业务应用程序、服务器和存储解决方案。Oracle RetailApplications是一套零售应用商店解决方案。上周，该产品被披露存在拒绝服务和未授权操作漏洞，攻击者可利用漏洞未授权访问、更新、插入或删除数据或发起拒绝服务攻击。

　　CNVD收录的相关漏洞包括：Oracle FusionMiddleware Outside In Technology组件拒绝服务漏洞（CNVD-2018-10966、CNVD-2018-10969）、Oracle FusionMiddleware WebCenter Content组件未授权操作漏洞、Oracle Fusion MiddlewareData Visualization Desktop组件拒绝服务漏洞、Oracle HospitalityApplications Hospitality Suite8组件拒绝服务漏洞、Oracle RetailApplications Retail Integration Bus组件未授权操作漏洞、Oracle RetailApplications Retail Back Office组件未授权操作漏洞、Oracle RetailApplications Retail Point-of-Service组件未授权操作漏洞。目前，厂商已经发布了上述漏洞的修补程序。

　　D-Link DIR-816 A2栈缓冲区溢出漏洞

　　D-Link DIR-816 A2是友讯（D-Link）公司的一款无线路由器产品。GoAhead是其中的一款嵌入式Web服务器。上周，D-Link被披露存在栈缓冲区溢出漏洞，远程攻击者可通过发送带有较长HTTP Host包头的请求利用该漏洞执行任意代码。目前，厂商尚未发布漏洞修补程序。

　　小结

　　上周，Microsoft被披露存在权限提升和远程代码执行漏洞，攻击者可利用漏洞提升权限、执行任意代码。此外，Adobe、IBM、Oracle等多款产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息、提升权限、执行任意代码或发起拒绝服务攻击等。另外，D-Link被披露存在栈缓冲区溢出漏洞，远程攻击者可通过发送带有较长HTTP Host包头的请求利用该漏洞执行任意代码。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

　　中国电子银行网综合CNVD、法制网、新浪科技、嘶吼RoarTalk、FreebuF.COM报道

责任编辑：韩希宇