国家信息安全漏洞共享平台CNVD-国家互联网应急中心
网络安全知识基础培训
01. 网络信息安全态势
5）经济信息安全威胁增长，信息消费面临跨平台风险 跨平台钓鱼攻击出现并呈增长趋势，针对我国银行等境内网站旳钓鱼页面数量和 涉及旳IP地址数量分别较2023年增长35.4%和64.6%，整年接受旳钓鱼事件投诉和 处置数量高达10578起和10211起，分别增长11.8%和55.3% 互联网交易平台和手机支付客户端等存在漏洞，威胁顾客资金安全，安全风险可 能传导到与之关联旳其他行业，产生连锁反应
19
03. 培养安全防护意识
7）移动终端（手机）安全防护事项 为手机安装安全防护软件，开启实时监控功能，并定时升级病毒库 警惕收到旳陌生图片、文件和链接，不要轻易打开在 QQ、微信、短信、 邮件中旳链接 在 QQ、微信等应用程序中关闭地理定位功能，并仅在需要时开启蓝牙 经常为手机数据做备份 到权威网站下载手机应用软件，并在安装时谨慎选择有关权限 不要试图破解自己旳手机，以确保应用程序旳安全性
13
03. 培养安全防护意识
1）预防第一 使用正规浏览器，安装杀毒软件，保护浏览器和系统文件，及时修复系统漏洞，
不上存在恶意威胁旳网站，不随意点击别人发送旳链接（涉及QQ、微信、邮件）
有统计数据阐明，目前超出90%旳盗号木马、病毒等恶意 程序是经过网页传播旳。
14
03. 培养安全防护意识
2）安装杀毒软件对系统进行保护 安装杀毒软件并检验升级：单位旳计算机都预先安装了杀毒软件，在平时旳使用
6
01. 网络信息安全态势
4）移动互联网环境有所恶化，生态污染问题亟待处理 安卓平台恶意程序数量呈暴发式增长，2023年新增移动互联网恶意程序样本达 70.3万个，较2023年增长3.3倍，其中99.5%针对安卓平台 手机应用商店、论坛、下载站点、经销商等生态系统上游环节污染，下游顾客感 染速度加紧
安全感知管理平台技术参数及功能要求
联动行为管理
支持联动原有行为管理设备，支持上网行为管理做资产用户名对接，精准识别终端资产责任人。（需提供截图打印加盖原厂公章证明）
★支持联动原有行为管理设备，支持与行为管理设备的联动，包含上网提醒、冻结账号等（需提供截图打印加盖原厂公章证明）
事后异常行为检测
具备元数据行为分析引擎：httpflow、dnsflow、adflow、icmpflow、maillflow等, 通过异常行为分析，结合各类机器学习算法完成未知威胁检测。包括：内网穿透、代理、远控、隧道、反弹shell等事后检测场景。
先进性
证明
为保障安全服务效果，满足数据和网络安全要求，所投态势感知平台产品厂商需通过可信云评估，提供相应的可信云认证报告
提供三年原厂质保及原厂免费现场服务，产品的安装、培训由原厂工程师完成实施。
二、
功能项
功能要求说明
性能规格
性能参数：网络层吞吐量≥1Gbps，应用层吞吐量≥500Mbps。
硬件参数：规格≥1U，内存大小≥8G，硬盘容量≥128G SSD，电源：单电源，接口：支持不低于6千兆电口+4千兆光口SFP。
配置要求
挖矿专项检测
支持挖矿专项检测页面，具备挖矿攻击事前、事中和事后全链路的检测分析能力，综合运用威胁情报、IPS特征规则和行为关联分析技术，如检测发现文件传输（上传下载）阶段的异常，对挖矿早期的准备动作即告警。
平台内置挖矿安全知识库，对常见的挖矿如：Bluehero挖矿蠕虫变种、虚拟货币挖矿、EnMiner挖矿病毒、PowerGhost挖矿病毒、DDG挖矿病毒、Docker挖矿、DDG挖矿变种、GroksterMiner挖矿病毒、Linux 挖矿木马、ZombieBoy挖矿木马等提供详细的背景介绍、感染现象、详细分析、相关IOC（MD5、C2、URL）、解决方案。
第1章 网络安全概述
图1-4 网络信息安全的内容及关系
图1-5网络安全攻防体系
1.1网络安全概念及内容
1.1.2 网络安全涉及的内容及侧重点
2．网络安全保护范畴及重点 实际上，网络安全涉及的内容对不同人员、机构或部 门各有侧重点： （1）网络安全研究人员 （2）网络安全工程师 （3）网络安全评估人员 （4）网络安全管理员或主管 （5）安全保密监察人员 （6）军事国防相关人员 讨论思考
1.1网络安全概念及内容
1.1.1 网络安全的概念及目标
2. 网络安全的目标及特征 网络安全问题包括两方面的内容，一是网络的系统安全， 二是网络的信息（数据）安全，而网络安全的最终目标和关键 是保护网络的信息（数据）安全。 网络安全的目标是指计算机网络在信息的采集、存储、处 理与传输的整个过程中，根据安全需求，达到相应的物理上及 逻辑上的安全防护、监控、反应恢复和对抗的能力。网络安全 的最终目标就是通过各种技术与管理手段，实现网络信息系统 的保密性、完整性、可用性、可控性和可审查性。其中保密性、 完整性、可用性是网络安全的基本要求。网络信息安全5大要素, 反映了网络安全的特征和目标要求，如图1-2所示。
1. 信息安全与网络安全的概念 国际标准化组织（ISO）对信息安全定义是：为数据处理系统 建立和采取的技术和管理的安全保护，保护计算机硬件、软件、 数据不因偶然及恶意的原因而遭到破坏、更改和泄漏。
1.1网络安全概念及内容
1.1.1 网络安全的概念及目标
我国《计算机信息系统安全保护条例》将信息安全定 义为：计算机信息系统的安全保护，应当保障计算机及其 相关的配套设备、设施（含网络）的安全，运行环境的安 全，保障信息的安全，保障计算机功能的正常发挥，以维 护计算机信息系统安全运行。主要防止信息被非授权泄露、 更改、破坏或使信息被非法的系统辨识与控制，确保信息 的完整性、保密性、可用性和可控性。主要涉及物理（实 体）安全、运行（系统）安全与信息（数据）安全三个层 面，如图1-1所示。
信息安全管理员大赛模拟试题(含答案)
信息安全管理员大赛模拟试题（含答案）一、单选题1. 信息安全等级保护工作直接作用的具体的信息和信息系统称为 [单选题] *A、客体B、客观方面C、等级保护对象(正确答案)D、系统服务2. 下面哪个安全评估机构为我国自己的计算机安全评估机构? [单选题] *CCTCSECCNISTECITSEC(正确答案)3. 信息系统安全等级保护实施的基本过程包括系统定级、（）、安全实施、安全运维、系统终止 [单选题] *风险评估安全规划(正确答案)安全加固安全应急4. 对客体造成侵害的客观外在表现，包括侵害方式和侵害结果等，称为 [单选题] *客观方面(正确答案)等级保护对象系统服务5. 信息系统为支撑其所承载业务而提供的程序化过程，称为 [单选题] *客体客观方面等级保护对象系统服务(正确答案)6. 从业务信息安全角度反映的信息系统安全保护等级称 [单选题] *安全等级保护信息系统等级保护系统服务安全保护等级业务信息安全保护等级(正确答案)7. 从系统服务安全角度反映的信息系统安全保护等级称 [单选题] *安全等级保护信息系统等级保护系统服务安全保护等级(正确答案)业务信息安全保护等级8. 对公民、法人和其他组织的合法权益造成一般损害，定义为几级 [单选题] *第一级(正确答案)第三级第四级9. 对公民、法人和其他组织的合法权益造成特别严重损害，定义为几级 [单选题] *第一级第二级(正确答案)第三级第四级10. 二级信息系统保护要求的组合包括: S1A2G2，S2A2G2，（） [单选题] *S2A1G2(正确答案)S1A2G3S2A2G3S2A3G211. 基本要求的选择和使用中，定级结果为S3A2，保护类型应该是 [单选题] *S3A2G1S3A2G2S3A2G3(正确答案)S3A2G412. 每个级别的信息系统按照（）进行保护后，信息系统具有相应等级的基本安全保护能力，达到一种基本的安全状态 [单选题] *基本要求(正确答案)测评准则实施指南13. 下列选项中，不属于审核准备工作内容的是 [单选题] *编制审核计划加强安全意识教育(正确答案)收集并审核有关文件准备审核工作文件——编写检查表14. 在信息资产管理中，标准信息系统的因特网组件不包括 [单选题] *服务器网络设备（路由器、集线器、交换机）保护设备（防火墙、代理服务器）电源(正确答案)15. 在信息资产管理中，标准信息系统的组成部分不包括 [单选题] *硬件软件解决方案(正确答案)数据和信息16. 下列关于体系审核的描述中，错误的是 [单选题] *体系审核应对体系范围内所有安全领域进行全面系统地审核应由与被审核对象无直接责任的人员来实施组织机构要对审核过程本身进行安全控制对不符合项的纠正措施无须跟踪审查(正确答案)17. IATF将信息系统的信息保障技术层面划分为四个技术框架焦点域。
技术服务项目偏离表
漏洞特征库数量超过3800+，并且能够自动或者手动升级；微软“MAPP”计划会员，特征库获得CVE“兼容性认证证书”；具备专业攻防团队每周更新特征库+紧急漏洞更新；提供漏洞详细信息包括：漏洞ID、漏洞名称、漏洞描述、攻击对象、危险等级、参考信息、地址等内容
深度入侵防御
攻击防护类型包括蠕虫/木马/后门/DoS/DDoS攻击探测/扫描/间谍软件/利用漏洞的攻击/缓冲区溢出攻击/协议异常/ IPS逃逸攻击等；漏洞分为保护服务器和保护客户端两大类，便于策略部署、简化运维，其中服务器攻击防护种类包括：worm、network_device、database、backdoor、trojan、sayware、web、media、dns、ftp、mail、tftp、system、telnet、shellcode；客户端攻击防护种类包括：worm、file、backdoor、trojan、spyware、application、web_browse、system、shellcode、web_activex；支持远程登录、代理工具、木马控制等多种危险行为控制机制；支持异常流量清洗，提供应用识别为基础的流量识别、流量控制、流量过滤功能；可根据源区域、目的区域、目的IP组，目的IP组支持多选进行IPS策略的配置；支持TCP协议的乱序重传、TCP分包等放躲避；可实现自动拦截、记录日志、上传灰度威胁到“云端”；
信息安全技术单选题库+参考答案
信息安全技术单选题库+参考答案一、单选题（共100题，每题1分，共100分）1、两台配置了IPSec协议的Windows计算机进行IPSec初始连接时，通过Wireshark嗅探的IPSec前面 10个数据包的协议类型是A、IKEB、ISAKMPC、OakleyD、SKEME正确答案：B2、下列协议层发生的攻击行为, IPS可以检测拦截而硬件包过滤防火墙不能检测拦截的是A、网络层B、应用层C、传输层D、链路层正确答案：B3、软件的动态安全检测技术不包括A、智能模糊测试B、动态污点跟踪C、词法分析D、模糊测试正确答案：C4、计算机可以在多项式时间复杂度内解决的问题称为A、P问题B、NP问题C、NPC问题D、Q问题正确答案：A5、发表于1949年的《保密系统的通信理论》把密码学置于坚实的数学基础之上，标志着密码学形成一门学科。
该论文的作者是A、ShannonB、DiffieC、HellmanD、Caesar正确答案：A答案解析：香农6、恶意程序对计算机感染后的破坏功能，不包括A、诱骗下载B、修改浏览器配置C、窃取用户密码账号等隐私信息D、实现远程控制正确答案：A7、国家信息安全漏洞共享平台的英文缩写为A、CNVDB、CNCERTC、CNNVDD、NVD正确答案：A8、Diffie-Hellman算法是一种A、密钥交换协议B、数字签名算法C、访问控制策略D、哈希算法正确答案：A9、Script Flood攻击属于()。
A、应用层协议攻击B、传输层协议攻击C、网络层协议攻击D、链路层协议攻击正确答案：A10、下列选项中，属于RADIUS协议优点的是A、基于UDP的传输B、简单的丢包机制C、没有关于重传的规定D、简单明确，可扩充正确答案：D11、RSA所依赖的数学难题是()。
A、大整数因式分解B、离散对数问题C、SP网络D、双线性映射正确答案：A12、下列数据包内容选项中，ESP协议在传输模式下不进行加密的是( )。
网络安全复习题
复习题1、《中华人民共和国网络安全法》正式实施的日期是哪一天？A 2017年7月1日B 2017年6月1日C 2016年7月1日D 2016年10月1日（正确答案：B）2、信息安全领域内最关键和最薄弱的环节是______。
A.技术B.策略C.管理制度D.人（正确答案：D）3、伊朗震网病毒发生在哪一年？A 2005年B 2009年C 2010年D 2015年（正确答案：C）4、以下哪个类别属于工控信息安全产业防护类产品？A边界安全B终端安全C监测审计D以上都是（正确答案：D）5、《工业控制系统信息安全防护指南》是在哪一年发布的？A 2009年B 2013年C 2016年D 2017年（正确答案：C）6、《工业控制系统信息安全事件应急管理工作指南》是在什么时间发布的？A 2009年5月B 2013年7月C 2016年10月D 2017年6月（正确答案：D）7、“工业控制系统信息安全技术国家工程实验室”正式挂牌时间是哪一天？A 2014年12月1日B 2009年7月1日C 2015年12月1日D 2016年12月1日（正确答案：A）8、“工业控制系统信息安全技术国家工程实验室航天工业联合实验室”是在哪一年挂牌成立的？A 2009年B 2013年C 2016年D 2017年（正确答案：C）9、“工业控制系统信息安全技术国家工程实验室”的承建单位是哪家机构？A CEC中国电子B电子六所C和利时集团D电子一所（正确答案：B）10、电子六所自主知识产权的国产PLC的中文名称是什么？A突破B国盾C超御D铁卫（正确答案：C）11、“网络空间安全”是否已经成为国家一级学科？A是的B还不是C不太可能D明年有可能（正确答案：A）12、中国电子信息产业集团有限公司第六研究所（又名华北计算机系统工程研究所,简称电子六所)成立于哪一年？A 1955年B 1976年C 1989年D 1965年（正确答案：D）13、“工业控制系统信息安全技术国家工程实验室核电分部”挂牌的准确时间是哪一天？A 2016年1月12日B 2017年1月12日C 2018年1月12日D 2015年1月12日（正确答案：C）14、据工业信息安全产业发展联盟测算，2017年我国工业信息安全市场规模有多大？A 10亿元人民币B 5.57亿元人民币C 6.25亿元人民币D 15亿元人民币（正确答案：B）15、下面哪家企业不提供工业防火墙产品？A威努特B绿盟C天地和兴D华创网安（正确答案：D）16、下面哪家企业提供工业防病毒软件产品？A启明星辰B威努特C网藤科技D安点科技（正确答案：C）17、下面哪家公司不属于终端安全应用白名单技术供应商？A绿盟B威努特C天地和兴D 360企业安全（正确答案：A）18、下面哪家企业提供工业安全审计平台？A威努特B绿盟C海天炜业D力控华康（正确答案：A）19、下面哪家企业被称之为工控信息安全领域的“黄浦军校”？A威努特B匡恩网络科技C 360企业D安点科技（正确答案：B）20、网络关键设备和网络安全专用产品安全认证实验室共有几家？A 3家B 6家C 8家D 10家（正确答案：C）21、作为典型的工控安全事件，乌克兰至少有三个区域的电力系统被具有高度破坏性的恶意软件攻击，导致大规模停电，请问这一事件发生在哪一年？A 2016年B 2013年C 2010年D 2015年（正确答案：D）22、因为内部员工操作失误导致了美国Hatch核电厂自动停机事件，请问这一事件发生在哪一年？A 2012年B 2018年C 2008年D 2009年（正确答案：C）23、前工程师VitekBoden因不满工作续约被拒而蓄意报复，澳大利亚昆士兰新建的马卢奇污水处理厂出现故障，请问这一事件发生在哪一年？A 2000年B 2002年C 2014年D 2016年（正确答案：A）24、以下哪家工控信息安全企业还没有上市？A启明星辰B卫士通C北信源D威努特（正确答案：D）25、根据国际电工委员会制定的工业控制编程语言标准（IEC1131-3），PLC有五种标准编程语言，请问下面哪一种语言不属于此类？A梯形图语言（LD）B指令表语言（IL）C PHP语言D功能模块语言（FBD）（正确答案：C）26、国家信息安全漏洞共享平台是重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的信息安全漏洞信息共享知识库。
工业控制系统网络安全问题及措施
工业控制系统网络安全问题及措施摘要：根据工业控制网络的安全需求，改进安全技术措施和安全管理措施，实现3层安全隔离，对工控网络进行可用性、性能和服务水平的统一监控管理，保证工业控制系统安全稳定运行。
关键词：工控制系统；工业互联网；风险防护0引言随着工业互联网的发展、钢铁行业信息化的推进，EMS（能源管理系统）和MES （生产过程执行系统）建设日益增多，这些子系统负责原料供应、焦化、烧结、除尘、炼铁、炼钢、连铸、热轧以及冷轧等多工序的控制任务，一旦受到恶性攻击或者病毒的袭击，将导致工业控制系统的控制组件和整个生产线停运，甚至造成伤亡等严重后果。
工业控制网络安全十分重要，第一，它的保护攻击主题是特殊的，不同于传统的网络攻击，如网络欺诈和网络入侵，目的是赚钱和利润。
从一般意义上说，工业入侵者不会是“黑客”，但可能是恐怖组织甚至敌对势力支持的组织；其次，攻击和破坏的后果严重。
在自动化发展的初期，工厂控制系统网络相对封闭，工业控制系统一度被认为是绝对独立的，不可能受到外部网络攻击的。
但近年来，为了实现实时数据采集和生产控制，通过逻辑隔离，满足“两化融合”的需求和管理的便利性。
工业互联网的兴起，远程运维需求迫切，通过互联网对工业控制系统的网络攻击也逐年增加，国内外生产企业已经加快了工业控制系统的安全控制措施的建设。
1工业控制网络的安全需求1.1网络边界防护需求生产网络内边界缺乏有效的防护措施，无法有效保护各业务系统的安全。
1.2远程访问防护需求生产控制网络存在远程维护通道，很多工业控制设备维护依赖提供商，由此也带来了入侵的途径，存在一定的安全隐患。
1.3网络监测与审计需求生产网络内缺少安全审计设备，无法对网络中的攻击行为、数据流量、重要操作等进行监测审计，一旦出现安全事故无法进行事后审计。
1.4操作系统漏洞管理需求生产网络中的工控机多数使用微软、Linux操作系统，由于生产控制网络的封闭及控制系统对业务实时性要求较高，无法进行正常的系统漏洞升级操作，导致使用的微软操作系统存在大量安全漏洞。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
本周漏洞态势研判情况本周信息安全漏洞威胁整体评价级别为高。
国家信息安全漏洞共享平台（以下简称CNVD ）本周共收集、整理信息安全漏洞597个，其中高危漏洞114个、中危漏洞442个、低危漏洞41个。
漏洞平均分值为5.44。
本周收录的漏洞中，涉及0day 漏洞190个（占32%），其中互联网上出现“Intelbras W RN 150安全绕过漏洞、Joomla! Quiz Deluxe 组件SQL 注入漏洞”零日代码攻击漏洞。
本周CNVD 接到的涉及党政机关和企事业单位的事件型漏洞总数635个，与上周（818个）环比下降22%。
图1 CNVD 收录漏洞近10周平均分值分布图本周漏洞报送情况统计本周报送情况如表1所示。
其中，H3C 、安天实验室、天融信、华为技术有限公司、恒安嘉新等单位报送数量较多。
深圳市鼎安天下信息科技有限公司、四川虹微技术有限公司（子午攻防实验室）、中新网络信息安全股份有限公司、福建榕基软件股份有限公国家信息安全漏洞共享平台(CNVD) 信息安全漏洞周报2017年10月16日-2017年10月22日2017年第43期司、广州万方计算机科技有限公司、湖南省金盾信息安全等级保护评估中心有限公司、江苏同袍信息科技有限公司、网信智安及其他个人白帽子向CNVD提交了635个以事件型漏洞为主的原创漏洞。
表1 漏洞报送情况统计表本周漏洞按类型和厂商统计本周，CNVD收录了597个漏洞。
其中应用程序漏洞460个，web应用漏洞60个，操作系统漏洞40个，网络设备漏洞30个，数据库漏洞6个，安全产品漏洞1个。
表2 漏洞按影响类型统计表图2 本周漏洞按影响类型分布CNVD整理和发布的漏洞涉及Stdutility、Microsoft、IrfanView等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。
表3 漏洞产品涉及厂商分布统计表本周行业漏洞收录情况本周，CNVD收录了27个电信行业漏洞，21个移动互联网行业漏洞，6个工控系统行业漏洞（如下图所示）。
其中，“fli4l HTTP header注入漏洞、fli4l任意代码执行漏洞、A VM FRITZ!Box 6810 LTE和FRITZ!Box 6840 LTE代码注入漏洞、Kaspersky Internet Security for Android安全绕过漏洞”等漏洞的综合评级为“高危”。
相关厂商已经发布了上述漏洞的修补程序，请参照CNVD相关行业漏洞库链接。
电信行业漏洞链接：/移动互联网行业漏洞链接：/工控系统行业漏洞链接：/图3 电信行业漏洞统计图4 移动互联网行业漏洞统计图5 工控系统行业漏洞统计本周重要漏洞安全告警本周，CNVD整理和发布以下重要安全漏洞信息。
1、Wi-Fi Alliance产品安全漏洞WPA（Wi-Fi Protected Access）是一种保护无线电脑网络（Wi-Fi）安全的系统。
本周，该产品被披露存在密钥重装漏洞，攻击者可利用漏洞任意数据包解密和注入，T CP连接劫持，HTTP内容注入或单播和组寻址帧的重放。
CNVD收录的相关漏洞包括：WPA2无线网络IGTK组密钥重装漏洞（CNVD-201 7-30402、CNVD-2017-30403）、WPA2无线网络GTK组密钥重装漏洞、WPA2无线网络IGTK组密钥重装漏洞、WPA2无线网络PTK-TK加密密钥重装漏洞、WPA2无线网络P TK-TK加密密钥重装漏洞、WPA2无线网络STK密钥重装漏洞、WPA2无线网络TPK 密钥重装漏洞。
目前，厂商已经发布了上述漏洞的修补程序。
CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：/flaw/show/CNVD-2017-30402/flaw/show/CNVD-2017-30403/flaw/show/CNVD-2017-30405/flaw/show/CNVD-2017-30404/flaw/show/CNVD-2017-30406/flaw/show/CNVD-2017-30401/flaw/show/CNVD-2017-30400/flaw/show/CNVD-2017-303992、Microsoft产品安全漏洞Microsoft Windows Server 2016等都是美国微软公司发布的操作系统。
Internet Ex plorer（IE）是其中的一个浏览器。
Microsoft Edge是内置于Windows 10版本中的网页浏览器。
本周，上述产品被披露存在内存破坏漏洞，攻击者可利用漏洞执行任意代码。
CNVD收录的相关漏洞包括：Microsoft Edge脚本引擎远程内存破坏漏洞（CNVD-2017-30539、CNVD-2017-30540、CNVD-2017-30541、CNVD-2017-30542、CNVD-2017 -30543）、Microsoft Internet Explorer Scripting内存破坏漏洞、Microsoft Internet Explo rer内存破坏漏洞（CNVD-2017-30134、CNVD-2017-30137）。
上述漏洞的综合评级为“高危”。
目前，厂商已经发布了上述漏洞的修补程序。
CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：/flaw/show/CNVD-2017-30539/flaw/show/CNVD-2017-30540/flaw/show/CNVD-2017-30541/flaw/show/CNVD-2017-30542/flaw/show/CNVD-2017-30543/flaw/show/CNVD-2017-30131/flaw/show/CNVD-2017-30134/flaw/show/CNVD-2017-301373、Oracle产品安全漏洞Oracle Hospitality Applications是美国甲骨文公司的一套用于酒店管理的业务应用程序、服务器和存储解决方案。
Hospitality Suite8是其中的一个高级客户管理组件。
本周，该产品被披露存未明漏洞，攻击者可利用漏洞影响系统的机密性、完整性及可用性。
CNVD收录的相关漏洞包括：Oracle Hospitality Suite8存在未明漏洞（CNVD-201 7-30879、CNVD-2017-30880、CNVD-2017-30881、CNVD-2017-30882、CNVD-2017-30 883、CNVD-2017-30884、CNVD-2017-30885、CNVD-2017-30886）。
其中，“Oracle Ho spitality Suite8存在未明漏洞（CNVD-2017-30880、CNVD-2017-30881）”的综合评级为“高危”。
目前，厂商已经发布了上述漏洞的修补程序。
CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：/flaw/show/CNVD-2017-30879/flaw/show/CNVD-2017-30880/flaw/show/CNVD-2017-30881/flaw/show/CNVD-2017-30882/flaw/show/CNVD-2017-30883/flaw/show/CNVD-2017-30884/flaw/show/CNVD-2017-30885/flaw/show/CNVD-2017-308864、Huawei产品安全漏洞Huawei FusionSphere和FusionSphere OpenStack（FSO）都是华为公司的产品，前者是基于OpenStack框架开发的云操作系统产品，后者是FusionSphere在ICT场景中的云平台软件。
本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞泄露敏感信息、提升权限或插入恶意程序等。
CNVD收录的相关漏洞包括：Huawei FusionSphere OpenStack鉴权不当漏洞、Hua wei FusionSphere OpenStack鉴权不当漏洞（CNVD-2017-30767）、Huawei FusionSpher e OpenStack路径校验漏洞、Huawei FusionSphere OpenStack命令注入漏洞（CNVD-20 17-30766、CNVD-2017-30901）、Huawei FusionSphere OpenStack签名校验漏洞、Huaw ei FusionSphere OpenStack权限提升漏洞、Huawei FusionSphere OpenStack信息泄露漏洞。
除“Huawei FusionSphere OpenStack路径校验漏洞”外，其余漏洞的综合评级为“高危”。
目前，厂商已经发布了上述漏洞的修补程序。
CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：/flaw/show/CNVD-2017-29734/flaw/show/CNVD-2017-30067/flaw/show/CNVD-2017-30068/flaw/show/CNVD-2017-30069/flaw/show/CNVD-2017-30072/flaw/show/CNVD-2017-30073/flaw/show/CNVD-2017-30074/flaw/show/CNVD-2017-300755、Progea Movicon SCADA/HMI权限提升漏洞Movicon是由意大利自动化软件供应商PROGEA公司开发的(Scada/HMI)工业监控软件。
本周，Progea被披露存在权限提升漏洞，本地用户可将任意代码插入到未引用的服务路径中，并升级其权限。
目前，厂商尚未发布漏洞修补程序。
CNVD提醒广大用户随时关注厂商主页，以获取最新版本。
参考链接：/flaw/show/CNVD -2017-30496更多高危漏洞如表4所示，详细信息可根据CNVD编号，在CNVD官网进行查询。
参考链接:/flaw/list.htm表4 部分重要高危漏洞列表小结：本周，Wi-Fi Alliance被披露存在密钥重装漏洞，攻击者可利用漏洞任意数据包解密和注入，TCP连接劫持，HTTP内容注入或单播和组寻址帧的重放。
此外，Mi crosoft、Oracle、Huawei多款产品被披露存在多个漏洞，攻击者可利用漏洞泄露敏感信息、提升权限或执行任意代码等。
另外，Progea被披露存在权限提升漏洞，本地用户可将任意代码插入到未引用的服务路径中，并升级其权限。
建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。