国家信息安全漏洞共享平台上周共收集、整理信息安全漏洞497个，互联网上出现“Tenda AC10U formSetPPTPServer函数缓冲区溢出漏洞、Delinea PAM Secret Server信息泄露漏洞”等零日代码攻击漏洞，上周信息安全漏洞威胁整体评价级别为中。中国电子银行网为您梳理过去一周的信息安全行业要闻并告警重要漏洞，深入探讨信息安全知识。

一周行业要闻速览

国家金融监督管理总局拟规范银行保险机构数据处理活动

《办法》共九章八十一条。包括总则、数据安全治理、数据分类分级、数据安全管理、数据安全技术保护、个人信息保护、数据安全风险监测与处置、监督管理及附则。>>详细

国家互联网信息办公室公布《促进和规范数据跨境流动规定》

为了促进数据依法有序自由流动，激发数据要素价值，扩大高水平对外开放，《规定》对数据出境安全评估、个人信息出境标准合同、个人信息保护认证等数据出境制度作出优化调整。>>详细

重磅！GB/T 43697-2024《数据安全技术 数据分类分级规则》发布

开展数据分类分级保护工作，首先需要对数据进行分类分级，识别涉及的重要数据和核心数据，然后建立相应的数据安全保护措施。>>详细

反诈小象防骗宝典--“躺赚”的诱惑

反诈小象提示您：网络刷单不可信，谨防网络诈骗！>>详细

“火眼金睛”识骗局 用心守护“养老钱”

为有效防范金融风险，民生银行不断加大防范电信诈骗的工作力度，识别可疑情形，做好提示和劝阻，以暖心服务守护老年客群“养老钱”。>>详细

反诈专栏 | “坑老”套路深，这份防骗攻略请转发！

切勿轻易相信所谓的“稳赚不赔”“无风险高收益”宣传。理财产品如果承诺收益率超过6%就要打问号、超过8%就很危险、10%以上就要准备损失全部本金，“保本高收益”就是金融诈骗。>>详细

【齐鲁银行手机银行】防骗安全铃-倾情守护父母钱包安全

通过设置防骗安全铃，在父母转账超过预警值时，增加子女或亲属确认环节，为亲情账户设置安全预警。>>详细

金融为民 消保先行丨防范以“云养殖”等名义实施非法集资

面对高额返利诱惑，切记天上不会掉馅饼，及时认清非法金融活动本质，谨防上当受骗、遭受财产损失。>>详细

安全威胁播报

上周漏洞基本情况

上周（2024年3月18日-24日）信息安全漏洞威胁整体评价级别为中。国家信息安全漏洞共享平台（以下简称CNVD）上周共收集、整理信息安全漏洞497个，其中高危漏洞221个、中危漏洞264个、低危漏洞12个。漏洞平均分值为6.56。上周收录的漏洞中，涉及0day漏洞405个（占81%），其中互联网上出现“Tenda AC10U formSetPPTPServer函数缓冲区溢出漏洞、Delinea PAM Secret Server信息泄露漏洞”等零日代码攻击漏洞。

上周重要漏洞安全告警

Google产品安全漏洞

Google Android是美国谷歌（Google）公司的一套以Linux为基础的开源操作系统。Google Chrome是美国谷歌（Google）公司的一款Web浏览器。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，升级权限，在系统上执行任意代码。

CNVD收录的相关漏洞包括：Google Android权限提升漏洞（CNVD-2024-13714、CNVD-2024-13716）、Google Android信息泄露漏洞（CNVD-2024-13744）、Google Android Framework权限提升漏洞（CNVD-2024-13745、CNVD-2024-13746）、Google Chrome代码执行漏洞（CNVD-2024-13759）、Google Chrome越界写入漏洞（CNVD-2024-13760）、Google Chrome代码执行漏洞（CNVD-2024-13761）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

Fortinet产品安全漏洞

Fortinet FortiManager是美国飞塔（Fortinet）公司的一套集中化网络安全管理平台。该平台支持集中管理任意数量的Fortinet设备，并能够将设备分组到不同的管理域（ADOM）进一步简化多设备安全部署与管理。Fortinet FortiClientEMS是美国飞塔（Fortinet）公司的Fortinet提供的端点管理解决方案的一部分，旨在帮助组织有效地管理其网络中的终端设备，并提供端点安全性的监控和控制。Fortinet FortiOS是美国飞塔（Fortinet）公司的一套专用于FortiGate网络安全平台上的安全操作系统。该系统为用户提供防火墙、防病毒、IPSec/SSLVPN、Web内容过滤和反垃圾邮件等多种安全功能。Fortinet FortiClient是美国飞塔（Fortinet）公司的一套移动终端安全解决方案。该方案与FortiGate防火墙设备连接时可提供IPsec和SSL加密、广域网优化、终端合规和双因子认证等功能。Fortinet FortiSIEM是美国飞塔（Fortinet）公司的一套安全信息和事件管理系统。该系统包括资产发现、工作流程自动化和统一管理等功能。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞执行非法SQL命令窃取数据库敏感数据，通过特制的HTTP请求可以执行未经授权的代码或命令，导致拒绝服务等。

CNVD收录的相关漏洞包括：Fortinet FortiManager访问控制错误漏洞（CNVD-2024-13750）、Fortinet FortiClientEMS SQL注入漏洞、Fortinet FortiOS缓冲区溢出漏洞（CNVD-2024-13748）、Fortinet FortiOS and FortiProxy输入验证错误漏洞（CNVD-2024-13755）、Fortinet FortiOS and FortiProxy拒绝服务漏洞、Fortinet FortiClient授权问题漏洞、Fortinet FortiOS and FortiProxy缓冲区溢出漏洞、Fortinet FortiSIEM命令执行漏洞（CNVD-2024-13756）。其中，除“Fortinet FortiOS and FortiProxy输入验证错误漏洞（CNVD-2024-13755）、Fortinet FortiOS and FortiProxy拒绝服务漏洞、Fortinet FortiClient授权问题漏洞”外其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

Apache产品安全漏洞

Apache Tomcat是美国阿帕奇（Apache）基金会的一款轻量级Web应用服务器。该程序实现了对Servlet和JavaServer Page（JSP）的支持。Apache Airflow是美国阿帕奇（Apache）基金会的一套用于创建、管理和监控工作流程的开源平台。该平台具有可扩展和动态监控等特点。Apache Airflow是美国阿帕奇（Apache）基金会的一套用于创建、管理和监控工作流程的开源平台。该平台具有可扩展和动态监控等特点。Apache Doris是美国阿帕奇（Apache）基金会的一个现代MPP分析数据库产品。Apache Answer是美国阿帕奇（Apache）基金会的一个社区平台。Apache Dolphinscheduler是美国阿帕奇（Apache）基金会的一个现代数据编排平台。Apache DolphinScheduler是美国阿帕奇（Apache）基金会的一个分布式的基于DAG可视化的工作流任务调度系统。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞绕过访问限制，获取敏感信息，导致拒绝服务等。

CNVD收录的相关漏洞包括：Apache Tomcat输入验证错误漏洞、Apache Airflow信息泄露漏洞漏洞（CNVD-2024-13567）、Apache Airflow信任管理问题漏洞（CNVD-2024-13571）、Apache Doris信息泄露漏洞（CNVD-2024-13570）、Apache Tomcat拒绝服务漏洞（CNVD-2024-13569）、Apache Answer拒绝服务漏洞、Apache DolphinScheduler安全绕过漏洞、Apache Dolphinscheduler任意文件读取漏洞。其中，除“Apache Airflow信息泄露漏洞漏洞（CNVD-2024-13567）、Apache Answer拒绝服务漏洞”外其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

Siemens产品安全漏洞

Siemens Siveillance Control是德国西门子（Siemens）公司的一款集成了视频监控、门禁、入侵检测等功能的安全管理平台，旨在帮助组织实现对建筑物、设施和人员的全面监控和管理。Cerberus PRO EN是一个由防火板、探测和管理站组成的消防系统。它可供西门子合作伙伴使用，并符合欧洲标准EN 54中关于火灾探测和报警系统的规定。 Sinteso EN是一个由防火板、检测和管理站组成的消防系统。它符合火灾探测和报警系统的欧洲标准EN 54。 Sinteso Mobile是用于远程访问Sinteso/Cerberus PRO EN消防系统的移动应用程序。Siemens SINEMA Remote Connect Server是德国西门子（Siemens）公司的一套远程网络管理平台。该平台主要用于远程访问、维护、控制和诊断底层网络。SINEMA Remote Connect是一个用于远程网络的管理平台，能够简单管理总部、服务技术人员和已安装机器或工厂之间的隧道连接（VPN）。SENTRON PAC Meter产品是用于精确能源管理和透明信息采集的功率测量设备。Siemens Simcenter Femap是德国西门子（Siemens）公司的一款尖端工程学仿真应用程序。用于创建、编辑和导入/重用复杂产品或系统基于网格的有限元分析模型。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，以root权限在底层操作系统上执行代码，导致拒绝服务等。

CNVD收录的相关漏洞包括：Siemens Siveillance Control授权绕过漏洞、Siemens Sinteso EN和Cerberus PRO EN Fire Protection Systems堆栈缓冲区溢出漏洞、Siemens Sinteso EN和Cerberus PRO EN Fire Protection Systems越界读取漏洞、Siemens Sinteso EN和Cerberus PRO EN Fire Protection Systems缓冲区溢出漏洞、Siemens SINEMA Remote Connect Server访问控制错误漏洞（CNVD-2024-13805）、Siemens SINEMA Remote Connect Client信息泄露漏洞、Siemens SENTRON 7KM PAC3x20 Devices访问控制不当漏洞、Siemens Simcenter Femap缓冲区溢出漏洞（CNVD-2024-13809）。其中，除“Siemens Siveillance Control授权绕过漏洞、Siemens SINEMA Remote Connect Client信息泄露漏洞、Siemens SENTRON 7KM PAC3x20 Devices访问控制不当漏洞”外其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

TOTOLINK EX1800T命令执行漏洞

TOTOLINK EX1800T是中国吉翁电子（TOTOLINK）公司的一款Wi-Fi范围扩展器。上周，TOTOLINK EX1800T被披露存在命令执行漏洞，攻击者可利用该漏洞在系统上执行任意命令。目前，厂商尚未发布上述漏洞的修补程序。

小结

上周，Google产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，升级权限，在系统上执行任意代码。此外，Fortinet、Apache、Siemens等多款产品被披露存在多个漏洞，攻击者可利用漏洞绕过访问限制，获取敏感信息，以root权限在底层操作系统上执行代码，导致拒绝服务等。另外，TOTOLINK EX1800T被披露存在命令执行漏洞，攻击者可利用该漏洞在系统上执行任意命令。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

中国电子银行网综合CNVD、网信中国、全国网安标委、证券日报、工银融e行、中国民生银行、恒丰银行总行、齐鲁银行、泉州银行报道

责任编辑：韩希宇