如何确保TPP的安全性 美国版GDPR或将出台

（原标题：如何确保TPP的安全性 美国版GDPR或将出台）

国家信息安全漏洞共享平台上周共收集、整理信息安全漏洞138个，互联网上出现“TP-LinkArcher C5远程命令执行漏洞、WordPress插件Audio Record任意文件上传漏洞”等零日代码攻击漏洞，上周信息安全漏洞威胁整体评价级别为中。中国电子银行网为您梳理过去一周的信息安全行业要闻，告警重要漏洞并推出技术观澜，深入探讨信息安全知识。

一周行业要闻速览

记《第三方支付服务信息系统的安全目的》标准草案进程

如何确保TPP的安全性，既能保护“钱袋子”，又能适应TPP的发展？在国内，我国2015年就推出了GB/T 31502-2015《信息安全技术电子支付系统安全保护框架》，为构建、运行安全的公共电子支付系统，包括第三方支付的模式，提供了基本框架。>>

CFCA全程移动电子招投标方案：一部手机让你“放心招”“安全投”

CFCA全程移动电子招投标方案融入了自主研发的移动证书产品，以手机为安全载体，能让用户极速获取移动证书，完全不受时间和空间的限制。同时，该方案去插件化的实现，也有效提升了实际应用中的便捷性、兼容性与稳定性。>>

数据泄露事件频发 美国版GDPR或将出台

近日在美国旧金山召开的Aspen网络峰会上，德州议会代表兼众议院监督与政府改革委员会主席WillHurd就表示，未来美国也很有可能推出一款类似GDPR的数据监管法案。>>

无密码快捷支付安全吗？

支付平台设置的账号进入程序应该做好必要风险防范，仅凭一个手机号码或仅通过手机号码验证码就可以登录账户完成支付，会造成巨大的安全隐患。>>

微信/QQ即将完成IPv6改造 IPv6何以被巨头当作“战略”推进？

当前，推进我国Ipv6主要工作在以下几个层面：实施LTE网络端到端的Ipv6改造；加快固定网络基础设施Ipv6改造；推进应用基础设施网络改造；开展政府网站网络改造和工业互联网的网络应用；强化网络网络安全工作；落实配套保障措施。>>

技术观澜

Electrum轻钱包钓鱼事件简析

近期比特币轻钱包electrum的部分用户遭到了定向的钓鱼弹窗攻击，用户在使用electrum轻钱包转账的时候提示转账失败。>>

如何在内存中检测恶意软件

内存攻击常见的技术包括shellcode注入，反射式DLL注入，内存模块，Process Hollowing，重写模块以及Gargoyle（ROP / APC）。>>

安全威胁播报

上周漏洞基本情况

上周（2018年12月31日-2019年01月06日）信息安全漏洞威胁整体评价级别为中。

国家信息安全漏洞共享平台（以下简称CNVD）上周共收集、整理信息安全漏洞138个，其中高危漏洞44个、中危漏洞78个、低危漏洞16个。漏洞平均分值为5.94。上周收录的漏洞中，涉及0day漏洞75个（占54%），其中互联网上出现“TP-LinkArcher C5远程命令执行漏洞、WordPress插件Audio Record任意文件上传漏洞”等零日代码攻击漏洞。

上周重要漏洞安全告警

Microsoft产品安全漏洞

Microsoft Internet Explorer（IE）是一款Web浏览器，是Windows操作系统附带的默认浏览器。Microsoft Windows Server 2019、Windows 10等都是美国微软（Microsoft）公司发布的一系列操作系统。Microsoft Windows7 SP1是一套个人电脑使用的操作系统。Windows Server 2008 R2 SP1是一套服务器使用的操作系统。Microsoft .NET Framework是编程模型，也是一个用于构建Windows、WindowsStore、Windows Phone、WindowsServer和Microsoft Azure的应用程序的开发平台。Open Data Protocol （开放数据协议，OData）是用来查询和更新数据的一种Web协议，其提供了把存在于应用程序中的数据暴露出来的方式，该标准由微软发起。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，提升权限，执行任意代码，破坏内存，导致拒绝服务。

CNVD收录的相关漏洞包括：Microsoft Internet Explorer脚本引擎远程代码执行漏洞、Microsoft Windows本地权限提升漏洞（CNVD-2019-00337）、Microsoft Windows SMB服务器信息泄露漏洞、Microsoft Windows SMB服务器拒绝服务漏洞、Microsoft .NET Framework远程执行代码漏洞、Microsoft Jet Database Engine缓冲区溢出漏洞（CNVD-2019-00354）、Microsoft OData拒绝服务漏洞、Microsoft Windows GDI Component信息泄露漏洞。其中，“Microsoft Internet Explorer脚本引擎远程代码执行漏洞、Microsoft WindowsSMB服务器拒绝服务漏洞、Microsoft .NET Framework远程执行代码漏洞、Microsoft Jet Database Engine缓冲区溢出漏洞（CNVD-2019-00354）”的综合评级为为“高危””。目前，厂商已经发布了上述漏洞的修补程序。

Cisco产品安全漏洞

Cisco Adaptive Security Appliances（ASA，自适应安全设备）Software是一套运行于防火墙中的操作系统。Cisco Prime Collaboration Assurance（PCA）是一套企业协作网络管理解决方案。Cisco Energy ManagementSuite（CEMS）是一套能源管理套件。Cisco Video Surveillance Media Server是一套监控视频管理解决方案。Cisco Firepower System Software是一款下一代防火墙产品（NGFW）。Cisco Small Business 200 Series Smart Switches是小型智能交换机设备。Small Business Switches Software是一套运行在其中的交换机软件。Cisco Content Security Management Appliance（SMA）是一套内容安全管理设备。Cisco Energy ManagementSuite是一套能源管理套件。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞读取和写入信息，执行未授权操作，提升权限，发起拒绝服务攻击等。

CNVD收录的相关漏洞包括：Cisco Adaptive Security Appliances Software authorization子系统远程权限提升漏洞、Cisco Prime Collaboration Assurance任意文件覆盖漏洞、Cisco Energy Management Suite访问绕过漏洞、Cisco Video Surveillance Media Server拒绝服务漏洞、Cisco Firepower System Software安全绕过漏洞（CNVD-2019-00344）、Cisco Small Business Switches身份验证绕过漏洞、Cisco Content Security Management Appliance跨站脚本漏洞、Cisco Energy Management Suite XML外部实体注入漏洞。其中，“Cisco Adaptive Security Appliances Software authorization子系统远程权限提升漏洞、Cisco Small Business Switches身份验证绕过漏洞、Cisco Energy Management Suite XML外部实体注入漏洞”的综合评级为为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

Google产品安全漏洞

Android是美国谷歌（Google）公司和开放手持设备联盟（简称OHA）共同开发的一套以Linux为基础的开源操作系统。上周，上述产品被披露存在权限提升和缓冲区溢出漏洞，攻击者可利用漏洞提升权限，造成拒绝服务或执行代码。

CNVD收录的相关漏洞包括：Google Android Qualcomm组件权限提升漏洞（CNVD-2019-00122、CNVD-2019-00123）、Google Android Qualcomm组件缓冲区溢出漏洞（CNVD-2019-00124、CNVD-2019-00125、CNVD-2019-00127）、Google Android Kernel组件权限提升漏洞（CNVD-2019-00129、CNVD-2019-00130、CNVD-2019-00131）。上述漏洞的综合评级为为“高危”。目前，厂商已经发布了上述漏洞的修补程序。

SugarCRM品安全漏洞

SugarCRM是一套开源的客户关系管理系统（CRM）。上周，该产品被披露存在多个漏洞，攻击者可利用漏洞从数据库中读取敏感数据，注入和执行任意的PHP代码等。

CNVD收录的相关漏洞包括：SugarCRM (WorkFlow module)PHP代码注入漏洞、SugarCRM (WorkFlow module)PHP代码注入漏洞、SugarCRM(portal_get_related_notes) SQL注入漏洞、SugarCRM (Web Logic Hooksmodule) PHP代码注入漏洞、SugarCRM(ConnectorsController)服务器端请求伪造漏洞、SugarCRM (SaveDropDown)PHP代码注入漏洞、SugarCRM (Web Logic Hooksmodule)路径遍历漏洞、SugarCRM (addLabels) PHP代码注入漏洞。其中，“SugarCRM (portal_get_related_notes) SQL注入漏洞”的综合评级为为“高危”。

Linux kernel拒绝服务漏洞（CNVD-2019-00366）

Linux kernel是美国Linux基金会发布的开源操作系统Linux所使用的内核。上周，Linux kernel被披露存在拒绝服务漏洞。攻击者可利用该漏洞造成系统崩溃。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

小结

上周，Microsoft被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，提升权限，执行任意代码，破坏内存，导致拒绝服务。此外，Cisco、Google、SugarCRM等多款产品被披露存在多个漏洞，攻击者可利用漏洞从数据库中读取敏感数据，执行未授权操作，提升权限，造成拒绝服务或执行代码等。另外，Linux kernel被披露存在拒绝服务漏洞。攻击者可利用该漏洞造成系统崩溃。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

中国电子银行网综合CNVD、金融电子化、经济日报、未央网、雷锋网、FreebuF.COM、嘶吼RoarTalk报道