国家信息安全漏洞共享平台上周共收集、整理信息安全漏洞398个，互联网上出现“MotoCMS SQL注入漏洞、Total CMS文件上传漏洞”等零日代码攻击漏洞，上周信息安全漏洞威胁整体评价级别为中。中国电子银行网为您梳理过去一周的信息安全行业要闻并告警重要漏洞，深入探讨信息安全知识。

一周行业要闻速览

【防骗】这三类人群请提高警惕，骗子可能在“惦记”你们

投资理财要选择正规机构和渠道，增强理性投资理财观念，切记天上不会掉馅饼，警惕各类宣称“低风险、高回报”的投资理财项目。>>详细

消保课堂 | 养成日常好习惯，保护个人金融信息

金融业务尽量亲自办理，减少委托他人办理带来的信息盗用风险，尤其是信用卡、贷款、理赔等业务。>>详细

火热报名中！2023信创“大比武”金融业务创新应用赛道Q&A

2023信创“大比武”金融业务创新应用赛道自7月26日启动报名以来，已见金融江湖各路豪杰群情激昂、跃跃欲试！>>详细

反诈宣传“暑期档” ，金融知识伴成长

课堂上，浦发员工以讲故事、做游戏、看短片的形式，详细讲解了“非法买卖银行卡”“非法集资”“非法套路贷”“网络电信诈骗”的套路，带领孩子们熟记“四不原则”“八个凡是”口诀。>>详细

【反洗钱】如何防范信用卡溢缴款洗钱

信用卡溢缴款是指持卡人在信用额度未被使用的情况下存放在信用卡账户里的资金，或者在使用信用卡额度后归还欠款后剩余的资金。>>详细

以案说险：这不是一个普通的“电诈受骗人”-- 杭州银行西兴支行协助公安发现转移非法资金团伙

杭州银行将持续做好员工的防诈反诈技能培训，从身边细节入手，通过源头堵截，警银联合团结协作，扎实做好防诈反诈工作。>>详细

警惕“代理维权”陷阱，依法维护自身权益

部分“黑产铺”打着专业反催收，逾期铲单，减免债务，征信修复等“代理维权”的旗号，牟取非法利益。>>详细

「警惕」| 农商消消乐-保护个人信息 警惕虚假宣传

近期，我行接到多起举报，有不法分子通过电话、短信、微信渠道发布与我行名称、我行产品名称等相类似的个人信用贷款申办信息，误导社会大众，产生不良影响。>>详细

安全威胁播报

上周漏洞基本情况

上周（2023年8月14日-20日）信息安全漏洞威胁整体评价级别为中。国家信息安全漏洞共享平台（以下简称CNVD）上周共收集、整理信息安全漏洞398个，其中高危漏洞170个、中危漏洞206个、低危漏洞22个。漏洞平均分值为6.48。上周收录的漏洞中，涉及0day漏洞308个（占77%），其中互联网上出现“MotoCMS SQL注入漏洞、Total CMS文件上传漏洞”等零日代码攻击漏洞。

上周重要漏洞安全告警

Google产品安全漏洞

Google Chrome是美国谷歌（Google）公司的一款Web浏览器。V8是其中的一套开源JavaScript引擎。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞在系统上执行任意代码或导致应用程序崩溃。

CNVD收录的相关漏洞包括：Google Chrome代码执行漏洞（CNVD-2023-63463、CNVD-2023-63464、CNVD-2023-63465、CNVD-2023-63467、CNVD-2023-63468、CNVD-2023-63469、CNVD-2023-63470、CNVD-2023-63471）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

Linux产品安全漏洞

Linux kernel是美国Linux基金会的开源操作系统Linux所使用的内核。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞导致越界读取，系统崩溃或提升其在系统上的权限等。

CNVD收录的相关漏洞包括：Linux kernel内存错误引用漏洞（CNVD-2023-62923）、Linux kernel拒绝服务漏洞（CNVD-2023-62922）、Linux kernel缓冲区溢出漏洞（CNVD-2023-62927）、Linux kernel越界读取漏洞（CNVD-2023-62926）、Linux kernel vcs_read内存错误引用漏洞、Linux kernel输入验证错误漏洞（CNVD-2023-62931）、Linux kernel fbcon.c文件越界读取漏洞、Linux kernel smb2pdu.c文件越界读取漏洞（CNVD-2023-62929）。其中，“Linux kernel拒绝服务漏洞（CNVD-2023-62922）、Linux kernel输入验证错误漏洞（CNVD-2023-62931）、Linux kernel smb2pdu.c文件越界读取漏洞（CNVD-2023-62929）”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

Cisco产品安全漏洞

Cisco Webex Meetings是美国思科（Cisco）公司的一套视频会议解决方案。Cisco SD-WAN vManage是美国思科（Cisco）公司的一个高度可定制的仪表板。可简化和自动化Cisco SD-WAN的部署、配置、管理和操作。Cisco AsyncOS是美国思科（Cisco）公司的产品。Cisco AsyncOS是一款应用于思科设备的操作系统。Cisco DNA Center是美国思科（Cisco）公司的一个网络管理和命令中心服务。Cisco Secure Workload是美国思科（Cisco）公司的一种允许用户在其应用程序工作负载上安装软件代理的软件。Cisco StarOS是美国思科（Cisco）公司的一套虚拟化操作系统。Cisco Smart Software Manager On-Prem（SSM On-Prem）是美国思科（Cisco）公司的一款用于Cisco产品许可证管理的组件。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞通过注入精心设计的有效载荷执行任意Web脚本或HTML，获得读取权限或有限的写入权限，以根用户身份从受限容器中读取信息、枚举用户信息或在受限容器中执行任意命令等。

CNVD收录的相关漏洞包括：Cisco Webex Meetings跨站脚本漏洞（CNVD-2023-62934）、Cisco SD-WAN vManage输入验证错误漏洞（CNVD-2023-62933）、Cisco AsyncOS输入验证错误漏洞、Cisco DNA Center授权问题漏洞、Cisco Secure Workload OpenAPI特权提升漏洞、Cisco Webex Meetings跨站请求伪造漏洞、Cisco StarOS输入验证错误漏洞、Cisco Smart Software Manager On-Prem SQL注入漏洞。其中，“Cisco SD-WAN vManage输入验证错误漏洞（CNVD-2023-62933）、Cisco StarOS输入验证错误漏洞”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

Adobe产品安全漏洞

Adobe Acrobat Reader是美国奥多比（Adobe）公司的一款PDF查看器。该软件用于打印，签名和注释PDF。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞导致敏感内存泄露，通过绕过API黑名单功能在当前用户的上下文中导致任意代码执行等。

CNVD收录的相关漏洞包括：Adobe Acrobat Reader越界读取漏洞（CNVD-2023-62945、CNVD-2023-62948、CNVD-2023-62946、CNVD-2023-62951、CNVD-2023-62949、CNVD-2023-62953）、Adobe Acrobat Reader访问控制错误漏洞（CNVD-2023-62944）、Adobe Acrobat Reader越界写入漏洞（CNVD-2023-62947）。其中“Adobe Acrobat Reader访问控制错误漏洞（CNVD-2023-62944）、Adobe Acrobat Reader越界写入漏洞（CNVD-2023-62947）、Adobe Acrobat Reader越界读取漏洞（CNVD-2023-62951）”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

ASUS RT-AX88U ej.c缓冲区溢出漏洞

ASUS RT-AX88U是中国华硕（ASUS）公司的一个无线路由器。上周，ASUS RT-AX88U被披露存在缓冲区溢出漏洞。攻击者可利用该漏洞向设备发送特制请求，导致httpd二进制文件在ej.c的do_json_decode()函数中崩溃，从而导致DoS。目前，厂商尚未发布上述漏洞的修补程序。

小结

上周，Google产品被披露存在多个漏洞，攻击者可利用漏洞在系统上执行任意代码或导致应用程序崩溃。此外，Linux、Cisco、Adobe等多款产品被披露存在多个漏洞，攻击者可利用漏洞导致越界读取，系统崩溃或提升其在系统上的权限，以根用户身份从受限容器中读取信息、枚举用户信息或在受限容器中执行任意命令等。另外，ASUS RT-AX88U被披露存在缓冲区溢出漏洞。攻击者可利用漏洞向设备发送特制请求，导致httpd二进制文件在ej.c的do_json_decode()函数中崩溃，从而导致DoS。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

中国电子银行网综合CNVD、中国工商银行客户服务、遇见浦发、恒丰银行、哈尔滨银行、杭州银行消保之声、云南红塔银行、上海农商银行报道

责任编辑：韩希宇