非洲一國遭攻擊斷網或是黑客組織在練手

中國電子銀行網訊 國家資訊保安漏洞共享平臺上週共收集、整理資訊保安漏洞287個，網際網路上出現“Apple iOS遠端記憶體破壞漏洞、NodCMS

　　PHP程式碼執行漏洞”零日程式碼攻擊漏洞，上週資訊保安漏洞威脅整體評價級別為中。中國電子銀行網為您梳理過去一週的資訊保安行業要聞，並特約中國金融認證中心(CFCA)資訊保安專家對漏洞風險作出點評和建議。

　　一週資訊保安要聞速覽

　　Mirai新攻擊 導致非洲一國全斷網

　　此次DDoS攻擊的威力依然不容小覷，攻擊流量達到了1.1Tbps，攻擊導致賴比瑞亞全國的網站都無法正常訪問。當然，對於一個不發達的非洲國家來說，賴比瑞亞在網際網路的普及程度上並不高，全國大約僅有6%的地區有網路。>>詳細

　　Gmail認證出現漏洞 任何人可劫持任意郵件賬戶

　　攻擊者通過給谷歌發信來驗證某郵件地址所有權狀態。谷歌向該地址傳送郵件進行確認。該郵件地址無法收取驗證郵件，於是，谷歌的郵件被髮回給實際發件人，而這次，裡面帶上了驗證碼。該驗證碼將被黑客利用，郵件地址的所有權被確認。>>詳細

　　第三方支付將納入“反洗錢”責任主體範圍 5萬元納入報告

　　新版《辦法》修訂稿顯示，大額交易報告的標準出現較大調整，要求對當日單筆或者累積交易人民幣5萬元以上的交易進行報告，而目前這一項的標準是20萬元，這表明報告的起點比之前大大降低。>>詳細

　　樂購面臨19億英鎊罰款：資料洩露不再是兒戲

　　週末開始接到客戶報告賬戶不符後，樂購銀行暫停了所有網上交易。銀行承諾賠付客戶因安全事件而損失的錢款，但資金到位還需要一定時間。樂購銀行CEO本尼·希金斯承認：“樂購銀行證實，週末部分客戶的現金賬戶遭到了網上犯罪活動的攻擊，某些攻擊造成了賬戶被非法支齲”

　　>>詳細

　　國務院發文：支援移動支付發展

　　支援企業運用大資料技術分析顧客消費行為，開展精準服務和定製服務，靈活運用網路平臺、移動終端、社交媒體與顧客互動，建立及時、高效的消費需求反歷制，做精做深體驗消費。支援企業開展服務設施人性化、智慧化改造，鼓勵社會資本參與無線網路、移動支付、自助服務、停車場等配套設施建設。>>詳細

　　騰訊雲發力海外抗D市場 與Radware達成戰略合作

　　Radware的緩解解決方案支援所有常見的SSL/TLS，無需使用者交出證照祕鑰，利用行為分析技術識別可疑流量，將可疑流量匯入旁路部署的裝置中進行解密，通過詢問應答機制識別攻擊並緩解。>>詳細

　　安全漏洞週報

　　本週漏洞基本情況

　　本週資訊保安漏洞威脅整體評價級別為中。

　　國家資訊保安漏洞共享平臺(以下簡稱CNVD)本週共收集、整理資訊保安漏洞287個，其中高危漏洞146個、中危漏洞132個、低危漏洞9個。漏洞平均分值為6.82。本週收錄的漏洞中，涉及0day漏洞129個(佔45%)。其中網際網路上出現“Apple

　　iOS遠端記憶體破壞漏洞、NodCMS

　　PHP程式碼執行漏洞”零日程式碼攻擊漏洞，請使用相關產品的使用者注意加強防範。此外，本週CNVD接到的涉及黨政機關和企事業單位的事件型漏洞總數835個，與上週(1000個)環比增長17%。

　　本週重要漏洞資訊

　　1、Microsoft產品安全漏洞

　　11月8日，微軟釋出了2016年11月份的月度例行安全公告，共含14項更新，修復了MicrosoftWindows、InternetExplorer、Edge、Office、Office

　　Services、SQL Server和

　　WebApps中存在的67個安全漏洞。其中，5項遠端程式碼更新的綜合評級為最高階“嚴重”級別。利用上述漏洞，攻擊者可提升許可權，遠端執行任意程式碼。CNVD提醒廣大Microsoft使用者儘快下載補丁更新，避免引發漏洞相關的網路安全事件。

　　CNVD收錄的相關漏洞包括：MicrosoftOffice記憶體破壞漏洞(CNVD-2016-10969、CNVD-2016-10968、CNVD-2016-10967、CNVD-2016-10966、CNVD-2016-10976、CNVD-2016-10975、CNVD-2016-10974、CNVD-2016-10973)等。上述漏洞的綜合評級為“高危”。目前，廠商已經發布了上述漏洞的修補程式。在此提醒使用者及時下載補丁更新，避免引發漏洞相關的網路安全事件。

　　2、Adobe產品安全漏洞

　　Adobe Flash

　　Player是美國奧多比(Adobe)公司的一款跨平臺、基於瀏覽器的多媒體播放器產品。本週，該產品被披露存在記憶體錯誤引用和遠端程式碼執行漏洞，攻擊者可利用漏洞執行任意程式碼。

　　CNVD收錄的相關漏洞包括：Adobe

　　FlashPlayer記憶體錯誤引用漏洞(CNVD-2016-10916、CNVD-2016-10915、CNVD-2016-10914、CNVD-2016-10913、CNVD-2016-10912、CNVD-2016-10911)、Adobe

　　FlashPlayer型別混淆遠端程式碼執行漏洞(CNVD-2016-10908、CNVD-2016-10909)等。上述漏洞的綜合評級為“高危”。目前，廠商已經發布了上述漏洞的修補程式。在此提醒使用者及時下載補丁更新，避免引發漏洞相關的網路安全事件。

　　3、OIC產品安全漏洞

　　Exponent

　　CMS是美國OIC集團公司的一套基於PHP的免費、開源的模組化內容管理系統(CMS)。本週，該產品被披露存在SQL隱碼攻擊漏洞，攻擊者可利用漏洞控制應用程式，訪問或修改資料。

　　CNVD收錄的相關漏洞包括：Exponent CMS`version`引數SQL隱碼攻擊漏洞、Exponent CMS

　　`author`引數SQL隱碼攻擊漏洞、Exponent CMS`src`引數SQL隱碼攻擊漏洞、Exponent CMS

　　`title`引數SQL隱碼攻擊漏洞、Exponent CMS`username`引數SQL隱碼攻擊漏洞、Exponent CMS

　　`is_what`引數SQL隱碼攻擊漏洞、Exponent CMS`version`引數SQL隱碼攻擊漏洞、Exponent CMS

　　`fileid`引數SQL隱碼攻擊漏洞等。上述漏洞的綜合評級為“高危”。目前，廠商已經發布了上述漏洞的修補程式。在此提醒使用者及時下載補丁更新，避免引發漏洞相關的網路安全事件。

　　4、IBM產品安全漏洞

　　IBM InfoSphereInformation Server Framework(ISF)和IBM InfoSphereInformation

　　Server on Cloud是美國IBM公司的產品。IBM AIX是一套UNIX作業系統。 IBM

　　Campaign是一套用於幫助營銷人員設計、執行、衡量和優化營銷廣告的管理解決方案。IBM RationalTeam

　　Concert(RTC)是一套基於Jazz平臺且支援分散團隊進行實時相關協作的軟體生命週期管理解決方案。本週，上述產品被披露存在多個漏洞，攻擊者可利用漏洞提升許可權或發起跨站指令碼攻擊等。

　　CNVD收錄的相關漏洞包括：IBM AIX lquerylv本地提權漏洞、IBM Campaign跨站指令碼漏洞、IBM RationalTeam

　　Concert跨站指令碼漏洞(CNVD-2016-10752、CNVD-2016-10750)、IBM RationalTeam Concert注入漏洞、IBM

　　InfoSphere Information Server Framework和IBM InfoSphereInformation Server on

　　Cloud點選劫持漏洞。其中“IBM AIX lquerylv本地提權漏洞、IBM RationalTeam

　　Concert注入漏洞”的危害等級為“高階”。目前，廠商已經發布了上述漏洞的修補程式。在此提醒使用者及時下載補丁更新，避免引發漏洞相關的網路安全事件。

　　5、NodCMS PHP程式碼執行漏洞

　　NodCMS是一套免費的支援多語種的PHP開發框架。本週，NodCMS被披露存在程式碼執行漏洞。攻擊者可利用該漏洞在受影響應用程式上下文中執行任意程式碼，也可能造成拒絕服務。目前，廠商尚未釋出該漏洞的修補程式。在此提醒廣大使用者隨時關注廠商主頁，以獲取最新版本。

　　專家點評和建議

　　中國電子銀行網特約中國金融認證中心(CFCA)資訊保安專家，對漏洞風險作出如下小結：11月8日，微軟釋出了2016年11月份的月度例行安全公告，共含14項更新，修復了MicrosoftWindows、Internet

　　Explorer、Edge、Office、Office Services、SQL Server和

　　WebApps中存在多個漏洞。攻擊者可提升許可權，遠端執行任意程式碼。此外，Adobe、OIC、IBM等多款產品被披露存在多個安全漏洞，攻擊者利用漏洞執行任意程式碼、提升許可權或發起跨站指令碼攻擊等。建議相關使用者隨時關注上述廠商主頁，及時獲取修復補厄解決方案。

本文轉自d1net（轉載）