2018年Q2中国银行业安全漏洞报告：远程认证用户风险上升

"中未指定的漏洞允许远程认证用户通过与-高频电子线路_曾兴雯" 本文件关注的是网络安全在银行业中的问题，特别是针对2018年第二季度中国银行业的安全漏洞和网络攻击。报告指出，超过半数的银行机构存在安全漏洞隐患，这些漏洞可能导致远程认证用户利用系统弱点执行任意代码或造成服务拒绝。 报告详细列出了多个CVE编号对应的漏洞，如CVE-2010-1256，这是一个影响Microsoft IIS 6.0、7.0和7.5的身份验证内存损坏漏洞。当Extended Protection for Authentication启用时，攻击者可以通过未知向量触发内存损坏，从而执行任意代码。CVE-2010-1899是IIS 重复参数请求拒绝服务漏洞，影响IIS 5.1、6.0、7.0和7.5，攻击者可通过精心构造的请求导致服务拒绝。CVE-2012-2532涉及IIS FTP服务，攻击者在TLS会话启动前利用未指定的命令注入，获取敏感信息。另外，还有CVE-2017-7679，是Apache Httpd的读取缓冲区字节泄露漏洞，攻击者可利用恶意Content-Type响应头读取缓冲区末尾的数据。 报告还涵盖了银行和其他金融领域风险的对比，以及银行业在安全四维评价中的表现。银行机构的互联网资产分析、网络攻击的分布和类型（如DDoS攻击）也被详尽讨论。此外，报告还提供了高危漏洞清单，按银行类型（城市商业银行、股份制商业银行、国有商业银行、农村商业银行和政策性银行）分别列出。 这些安全问题不仅影响到银行的日常运营，还可能威胁到国家经济和公众的财产安全。因此，对于银行而言，强化信息安全措施，及时修补漏洞，防止网络攻击至关重要。同时，报告建议银行应关注公有云服务的安全性，因为24.4%的银行机构已采用公有云，其中阿里云和腾讯云是主要的服务提供商。这意味着云服务的安全策略和管理也将成为银行信息安全的重要组成部分。