国家信息安全漏洞共享平台上周共收集、整理信息安全漏洞214个，互联网上出现“ZOHOManageEngine ServiceDesk Plus 用户权举漏洞、EMS Master Calendar跨站脚本漏洞”等零日代码攻击漏洞，上周信息安全漏洞威胁整体评价级别为中。中国电子银行网为您梳理过去一周的信息安全行业要闻，告警重要漏洞并推出技术观澜，深入探讨信息安全知识。

　　一周行业要闻速览

　　谷歌推双重认证安全密匙硬件产品Titan

　　谷歌公布了一项惊人的统计数据，这家公司指出，自2017年年初开始，其8.5万名职工的工作账号未曾遭到过泄露。作为一家全球性的互联网巨头公司，按理说它会是钓鱼攻击的主要目标之一，那这家公司究竟是如何做到这点的呢？>>详细

　　高通计划放弃440亿美元收购恩智浦 芯片史上“最大”收购案如何被宣判“死刑”？

　　欧盟首先对这笔交易增添了变数，由于担心高通和恩智浦合并后带来的垄断以及在基频芯片、移动支付安全芯片、NFC等的捆绑销售以及对车用半导体市场的垄断。>>详细

　　浪潮与网易云联合发布全球首款云计算全栈一体机

　　这种软硬一体化的交付方式，能显著降低基础设施运维难度和交付效率问题，能快速帮助企业上云，构建互联网化的云基础设施。>>详细

　　技术观澜

　　详细分析从恶意PDF文档中提取Payload的方法

　　当前，PDF的文档格式非常流行，几乎人人都会使用到，也正因此，许多攻击者都将恶意PDF文档作为感染用户的一种主要方式。>>详细

　　IcedID和Trickbot两大恶意软件家族相互协作

　　自2017年9月发现以来，银行木马IcedID一直很活跃。今年上半年，它也被其它知名的银行木马家族分发，如Emotet和Ursnif。使用这种方案，分布式恶意软件系列可以增加其传播潜力。>>详细

　　安全威胁播报

　　上周漏洞基本情况

　　上周（2018年07月23日-2018年07月29日）信息安全漏洞威胁整体评价级别为中。

　　国家信息安全漏洞共享平台（以下简称CNVD）上周共收集、整理信息安全漏洞214个，其中高危漏洞50个、中危漏洞158个、低危漏洞6个。漏洞平均分值为5.84。上周收录的漏洞中，涉及0day漏洞66个（占31%），其中互联网上出现“ZOHOManageEngine ServiceDesk Plus用户权举漏洞、EMS Master Calendar跨站脚本漏洞”等零日代码攻击漏洞。

　　上周重要漏洞安全告警

　　Cisco产品安全漏洞

　　Cisco vBond Orchestrator Software和vManageNetwork Management Software都是网络管理软件。Smart Controller Software是一套智能网络控制软件。SDWANSolution是运行在其中的一套网络扩展解决方案。vEdge 100 Series Routers是一款100系列的路由器产品。Cisco Nexus9000 Series Fabric Switches是一款9000系列交换机产品。Cisco WebexTeams是一款团队协作应用程序。该程序包括视频会议、消息群发和文件共享等功能。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞执行任意代码或发起拒绝服务攻击。

　　CNVD收录的相关漏洞包括：Cisco SDWANConfiguration and Management Database远程代码执行漏洞、Cisco SDWANSolution远程命令注入漏洞（CNVD2018-14074、CNVD-2018-14079、CNVD2018-14083）、Cisco SD-WANSolution远程文件覆盖漏洞、Cisco SD-WAN Zero Touch Provisioning拒绝服务漏洞、 Cisco Nexus9000 Series Fabric Switches DHCPv6功能拒绝服务漏洞、Cisco WebexTeams远程代码执行漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

　　Foxit产品安全漏洞

　　Foxit Reader for Windows是一款基于Windows平台的PDF文档阅读器。上周，上述产品被披露存在内存错误引用、缓冲区溢出和远程代码执行漏洞，攻击者可利用执行任意代码。

　　CNVD收录的相关漏洞包括：Foxit Reader缓冲区溢出漏洞（CNVD-2018-13985）、Foxit ReaderExpaseFDF任意文件编写远程代码执行漏洞、Foxit Reader内存错误引用漏洞（CNVD-2018-14146、CNVD-2018-14147、CNVD-2018-14148、CNVD-2018-14149、CNVD-2018-14150、CNVD-2018-14151）。其中，“Foxit Reader缓冲区溢出漏洞（CNVD-2018-13985）、Foxit ReaderExpaseFDF任意文件编写远程代码执行漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

　　IBM产品安全漏洞

　　IBM InfoSphere DataReplication Dashboard是一套数据同步解决方案。IBM Sterling B2BIntegrator是一套集成了重要的B2B流程、交易和关系的软件。IBM SterlingFile Gateway是的一套文件传输软件。上周，上述产品被披露存在多个漏洞，攻击者可利用漏获取敏感信息，读取任意文件，注入任意的Web脚本或HTML。

　　CNVD收录的相关漏洞包括：IBM InfoSphereData Replication Dashboard跨站脚本漏洞、IBM InfoSphere Data Replication Dashboard路径遍历漏洞、IBM InfoSphereData Replication Dashboard SQL注入漏洞、IBM Sterling B2B Integrator信息泄露漏洞（CNVD-2018-14084、CNVD2018-14085）、IBM SterlingFile Gateway信息泄露漏洞（CNVD-2018-14087、CNVD2018-14088、CNVD-2018-14094）。目前，厂商已经发布了上述漏洞的修补程序。

　　Mozilla Firefox是一款开源Web浏览器；Firefox ESR是Firefox的一个延长支持版本。Skia是其中的一个开放源码的2D图形库，能够提供可在各种硬件和软件平台上工作的常见API。MozillaThunderbird是、从Mozilla Application Suite独立出来的电子邮件客户端软件，支持IMAP、POP邮件协议以及HTML邮件格式。上周，该产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，执行任意代码或发起拒绝服务攻击。

　　CNVD收录的相关漏洞包括：MozillaThunderbird信息泄露漏洞（CNVD2018-13663、CNVD-2018-13662、CNVD2018-14109）、MozillaFirefox代码执行漏洞（CNVD-2018-13863、CNVD-201813891）、MozillaFirefox整数溢出漏洞（CNVD-2018-13885）、Mozilla Firefox越权漏洞、MozillaFirefox信息泄露漏洞（CNVD2018-13964）。其中，“MozillaFirefox代码执行漏洞（CNVD-2018-13863、CNVD2018-13891）、MozillaFirefox越权漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

　　D-Link DAP-1360文件路径遍历和跨站脚本漏洞

　　D-Link DAP-1360是一款无线路由器。上周，Cisco UCSSoftware被披露存在文件路径遍历和跨站脚本漏洞，远程攻击者通过错误的参数读取密码，导致绝对路径遍历攻击。目前，厂商尚未发布漏洞修补程序。

　　小结

　　上周，Cisco被披露存在多个漏洞，攻击者可利用漏洞执行任意代码或发起拒绝服务攻击。此外，Foxit、IBM、Mozilla等多款产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，读取任意文件，执行任意代码或发起拒绝服务攻击等。另外，D-Link DAP-1360存在文件路径遍历和跨站脚本漏洞，远程攻击者通过错误的参数读取密码，导致绝对路径遍历攻击。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

　　中国电子银行网综合CNVD、cnBeta、嘶吼RoarTalk、雷锋网报道

责任编辑：韩希宇