国家信息安全漏洞共享平台上周共收集、整理信息安全漏洞521个，互联网上出现“ImpressCMS跨站脚本漏洞（CNVD-2023-59104）、Food Ordering System SQL注入漏洞”等零日代码攻击漏洞，上周信息安全漏洞威胁整体评价级别为中。中国电子银行网为您梳理过去一周的信息安全行业要闻并告警重要漏洞，深入探讨信息安全知识。

一周行业要闻速览

【反诈】关键词：网聊、诈骗、套路、揭秘

未知链接不点击，陌生来电不轻信，个人信息不泄露，转账汇款多核实。>>详细

交行传递金融情 服务温暖新市民

近年来，不少人因创业就业、子女上学等原因来到新城市、成为“ 新市民”,面对陌生的环境，要注意识别不明信息。姣姣为你送上防骗贴士，一起拆穿套路防止“掉坑”。>>详细

黑产AI模拟真人信贷欺诈“猖獗” 金融机构风控从规则对抗迈向模型对抗

黑产组织会通过脚本工具等技术发起恶意机器人流量，通过AI技术模拟大量“真人行为”，虚构大量符合信贷要求的“假人”以骗取信贷资金。>>详细

反诈手记 | 教育机构主动退费？警惕落入退费陷阱！

暑假期间，不法分子利用教育培训契机，通过伪造教育部文件的方式冒充培训机构工作人员，以退培训费名义实施诈骗，小茄子带来《反诈手记》第六期暑期特辑（一）防范教培退费陷阱，教你识破骗局。>>详细

安全课堂 | 谨防新型ETC诈骗，勿点勿信勿填信息

钓鱼短信勿点击，短信是不法分子“拓客”的重要渠道之一，任何短信内附上的奇怪链接，都不可轻易点击。>>详细

【风险提示】不消失的赌徒心理，小心富翁变“负”翁！

提醒那些底层奋斗的青年，不要妄图走捷径，任何捷径都是伪装的毒蛇。>>详细

【消保小讲堂】防范电信网络诈骗，这些套路要警惕

收到线上渠道发送的要求转账汇款的信息时，一定要使用电话、视频或线下等方式核实确认，切勿盲目转账。>>详细

【以案说险】防范新型诈骗，守护资金安全

切勿轻信不明来历的电话或短信，不随意点击陌生链接，认清官方渠道。>>详细

树立风险意识，防范金融诈骗

金融消费者要加强防范“电信网络诈骗”意识，保护自己的个人信息安全不随意泄露给其他人。一旦自身的合法权益受到不法侵害请第一时间向警方报案。>>详细

安全威胁播报

上周漏洞基本情况

上周（2023年7月24日-30日）信息安全漏洞威胁整体评价级别为中。国家信息安全漏洞共享平台（以下简称CNVD）上周共收集、整理信息安全漏洞521个，其中高危漏洞272个、中危漏洞221个、低危漏洞28个。漏洞平均分值为6.56。上周收录的漏洞中，涉及0day漏洞456个（占88%），其中互联网上出现“ImpressCMS跨站脚本漏洞（CNVD-2023-59104）、Food Ordering System SQL注入漏洞”等零日代码攻击漏洞。

上周重要漏洞安全告警

IBM产品安全漏洞

IBM AIX（Advanced Interactive eXecutive）是美国IBM公司开发的一套UNIX操作系统。IBM DB2是美国国际商业机器（IBM）公司的一套关系型数据库管理系统。该系统的执行环境主要有UNIX、Linux、IBMi、z/OS以及Windows服务器版本。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞执行任意命令，在受影响服务的路径中插入可执行文件来获得提升的权限等。

CNVD收录的相关漏洞包括：IBM AIX权限提升漏洞（CNVD-2023-58513）、IBM AIX命令执行漏洞、IBM DB2代码执行漏洞（CNVD-2023-58518、CNVD-2023-58517、CNVD-2023-58520）、IBM DB2拒绝服务漏洞（CNVD-2023-58519、CNVD-2023-58522）、IBM DB2权限提升漏洞（CNVD-2023-58521）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

Linux产品安全漏洞

Linux kernel是美国Linux基金会的开源操作系统Linux所使用的内核。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞导致内核信息泄露，将权限升级为root权限，在系统上执行任意代码或者导致拒绝服务攻击等。

CNVD收录的相关漏洞包括：Linux kernel缓冲区溢出漏洞（CNVD-2023-58988、CNVD-2023-58993）、Linux kernel资源管理错误漏洞（CNVD-2023-58987、CNVD-2023-58991、CNVD-2023-58989）、Linux kernel竞争条件漏洞（CNVD-2023-58986）、Linux kernel xusb.c文件代码问题漏洞、Linux kernel输入验证错误漏洞（CNVD-2023-58992）。其中，“Linux kernel缓冲区溢出漏洞（CNVD-2023-58993）”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

Mozilla产品安全漏洞

Mozilla Firefox是美国Mozilla基金会的一款开源Web浏览器。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞通过HTTPS创建WebRTC连接时触发释放后重用，提交特殊的WEB请求，诱使用户解析，可使系统崩溃，造成拒绝服务攻击或以应用程序上下文执行任意代码等。

CNVD收录的相关漏洞包括：Mozilla Firefox资源管理错误漏洞（CNVD-2023-58298、CNVD-2023-59025、CNVD-2023-59027、CNVD-2023-59029）、Mozilla Firefox输入验证错误漏洞（CNVD-2023-59028）、Mozilla Firefox缓冲区溢出漏洞（CNVD-2023-59026）、Mozilla Firefox信息泄露漏洞（CNVD-2023-59031、CNVD-2023-59030）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

Moxa产品安全漏洞

Moxa MXsecurity是中国摩莎（MOXA）公司的一个管理平台。可提供集中的可见性和安全管理，以轻松监视和识别网络威胁并防止安全错误配置，从而创建强大的威胁防御。Moxa SDS-3008是中国摩莎（MOXA）公司的一系列工业交换机。Moxa NPort 5110是MOXA的一款通用设备服务器。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞发送特制HTTP请求导致任意Javascript执行，执行任意代码等。

CNVD收录的相关漏洞包括：Moxa MXsecurity命令注入漏洞、Moxa SDS-3008跨站脚本漏洞（CNVD-2023-58304、CNVD-2023-58306、CNVD-2023-58305）、Moxa SDS-3008明文传输漏洞、Moxa SDS-3008拒绝服务漏洞、Moxa NPort 5110越界写入漏洞、Moxa SDS-3008信息泄露漏洞。其中，“Moxa MXsecurity命令注入漏洞、Moxa SDS-3008明文传输漏洞、Moxa SDS-3008拒绝服务漏洞、Moxa NPort 5110越界写入漏洞”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

SEMCMS代码问题漏洞

SEMCMS是一套支持多种语言的外贸网站内容管理系统（CMS）。上周，SEMCMS被披露存在代码问题漏洞。攻击者可利用该漏洞上传任意文件并获得升级的权限。目前，厂商尚未发布上述漏洞的修补程序。

小结

上周，IBM产品被披露存在多个漏洞，攻击者可利用漏洞执行任意命令，在受影响服务的路径中插入可执行文件来获得提升的权限等。此外，Linux、Mozilla、Moxa等多款产品被披露存在多个漏洞，攻击者可利用漏洞导致内核信息泄露，将权限升级为root权限，在系统上执行任意代码或者导致拒绝服务攻击等。另外，SEMCMS被披露存在代码问题漏洞。攻击者可利用漏洞上传任意文件并获得升级的权限。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

中国电子银行网综合CNVD、21世纪经济报道、中国工商银行客户服务、交通银行、财富光大、北京银行微银行、河北银行、邢台银行、贵州银行、桂林银行金融服务报道

责任编辑：韩希宇