前瞻網(wǎng)絡(luò)安全產(chǎn)業(yè)全球周報(bào)2021第20期：豆瓣等106個(gè)App被下架，首個(gè)STOP勒索軟件“疫苗”問(wèn)世

豆瓣等106個(gè)App被下架

12月9日，工信部發(fā)布《關(guān)于下架侵害用戶(hù)權(quán)益APP名單的通報(bào)》。通報(bào)顯示，今年以來(lái)，工信部持續(xù)推進(jìn)APP侵害用戶(hù)權(quán)益專(zhuān)項(xiàng)整治行動(dòng)，加大常態(tài)化檢查力度。依據(jù)《個(gè)人信息保護(hù)法》《網(wǎng)絡(luò)安全法》等相關(guān)法律要求，工信部組織對(duì)豆瓣等共計(jì)106款A(yù)PP進(jìn)行下架，相關(guān)應(yīng)用商店應(yīng)在本通報(bào)發(fā)布后，立即組織對(duì)名單中應(yīng)用軟件進(jìn)行下架處理。針對(duì)部分違規(guī)情節(jié)嚴(yán)重、拒不整改的APP，屬地通信管理局應(yīng)對(duì)APP運(yùn)營(yíng)主體依法予以行政處罰。

首個(gè)STOP勒索軟件“疫苗”問(wèn)世

近日，德國(guó)安全軟件公司GDATA發(fā)布了一種勒索軟件疫苗，可以阻止STOP勒索軟件在感染后加密受害者的文件。這種勒索軟件疫苗的特點(diǎn)是“不防感染，防重癥（加密）”。STOP是針對(duì)個(gè)人和中小企業(yè)用戶(hù)的最為猖獗的勒索軟件之一，其特點(diǎn)是”薄利多銷(xiāo)“，贖金要價(jià)不高，近年來(lái)新冠疫情導(dǎo)致的遠(yuǎn)程辦公熱潮更是讓STOP這種小額勒索攻擊泛濫成災(zāi)。

俄羅斯經(jīng)濟(jì)部提出公開(kāi)移動(dòng)通訊數(shù)據(jù)以打擊犯罪

俄經(jīng)濟(jì)部已經(jīng)草擬并在網(wǎng)站上公布包含上述內(nèi)容的信息法修正案。修正案規(guī)定，公開(kāi)的完整信息清單及提供這些信息的規(guī)程將由政府確定。根據(jù)目前用戶(hù)數(shù)據(jù)庫(kù)管理規(guī)程規(guī)定，企業(yè)不能隨意使用掌握的信息，包括提供綜合服務(wù)框架內(nèi)的信息。俄羅斯“保密通訊信息”分為三類(lèi)：第一類(lèi)是通話(huà)或通信內(nèi)容本身，受隱私權(quán)法保護(hù)；第二類(lèi)是用戶(hù)姓名，被視為個(gè)人數(shù)據(jù)；第三類(lèi)是關(guān)于通信連接的信息，即來(lái)電來(lái)自哪里、通話(huà)持續(xù)多長(zhǎng)時(shí)間、通信費(fèi)多少等。

國(guó)家網(wǎng)信辦印發(fā)《關(guān)于貫徹落實(shí)〈法治政府建設(shè)實(shí)施綱要（2021-2025年）〉的實(shí)施意見(jiàn)》

近日，國(guó)家互聯(lián)網(wǎng)信息辦公室印發(fā)《關(guān)于貫徹落實(shí)〈法治政府建設(shè)實(shí)施綱要(2021-2025年)〉的實(shí)施意見(jiàn)》，對(duì)網(wǎng)信法治政府建設(shè)工作作出部署安排。《實(shí)施意見(jiàn)》圍繞7個(gè)方面部署了主要任務(wù)：一是推動(dòng)更好發(fā)揮行政管理服務(wù)重要作用；二是加快推進(jìn)網(wǎng)絡(luò)治理規(guī)范化程序化法治化；三是提升行政決策公信力和執(zhí)行力；四是全面推進(jìn)嚴(yán)格規(guī)范公正文明執(zhí)法；五是推動(dòng)增強(qiáng)全民網(wǎng)絡(luò)法治觀念；六是依法有效化解社會(huì)矛盾糾紛；七是促進(jìn)行政權(quán)力規(guī)范透明運(yùn)行。

《關(guān)于推進(jìn)個(gè)人信息保護(hù)合規(guī)審計(jì)的若干建議》正式發(fā)布

由中國(guó)信息通信研究院云計(jì)算與大數(shù)據(jù)研究所牽頭組織，“個(gè)人信息保護(hù)合規(guī)審計(jì)推進(jìn)小組”中來(lái)自中國(guó)移動(dòng)、中信銀行等近20位專(zhuān)家共同編制了《關(guān)于推進(jìn)個(gè)人信息保護(hù)合規(guī)審計(jì)的若干建議》。《若干建議》作為“推進(jìn)小組”的階段性成果，旨在助力企業(yè)有效落實(shí)《個(gè)人信息保護(hù)法》合規(guī)審計(jì)要求，是企業(yè)開(kāi)展個(gè)人信息合規(guī)審計(jì)的落地實(shí)施指南。

國(guó)內(nèi)

CNCERT、CSAC發(fā)布《App違法違規(guī)收集使用個(gè)人信息監(jiān)測(cè)分析報(bào)告》

2021年，國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心（CNCERT）與中國(guó)網(wǎng)絡(luò)空間安全協(xié)會(huì)（CSAC）共同建立了App收集使用個(gè)人信息監(jiān)測(cè)平臺(tái)、App舉報(bào)受理平臺(tái)。近期，CNCERT會(huì)同網(wǎng)安協(xié)會(huì)對(duì)前期專(zhuān)項(xiàng)治理和平臺(tái)監(jiān)測(cè)發(fā)現(xiàn)的App違法違規(guī)收集使用個(gè)人信息問(wèn)題進(jìn)行了總結(jié)梳理，對(duì)問(wèn)題特點(diǎn)和趨勢(shì)進(jìn)行了深入分析，形成了關(guān)于App收集使用個(gè)人信息情況的監(jiān)測(cè)分析報(bào)告。報(bào)告主要分為兩個(gè)部分：一是App收集使用個(gè)人信息總體狀況；二是工作建議。

中國(guó)信通院聯(lián)合發(fā)布《5G安全知識(shí)庫(kù)》

12月6日，在IMT-2020(5G)大會(huì)“5G應(yīng)用安全高峰論壇”上，IMT-2020(5G)推進(jìn)組與中國(guó)信息通信研究院聯(lián)合發(fā)布了《5G安全知識(shí)庫(kù)》。知識(shí)庫(kù)由中國(guó)信通院、中國(guó)移動(dòng)、中國(guó)電信、中國(guó)聯(lián)通、華為、中興等單位共同編制。知識(shí)庫(kù)凝聚了電信行業(yè)和垂直行業(yè)關(guān)于5G網(wǎng)絡(luò)安全共識(shí)的最佳實(shí)踐經(jīng)驗(yàn)，主要內(nèi)容包括5G網(wǎng)絡(luò)安全知識(shí)庫(kù)和5G應(yīng)用安全知識(shí)庫(kù)。

BFS通過(guò)信通院第五批可信隱私計(jì)算評(píng)測(cè)

日前，由中國(guó)信息通信研究院組織開(kāi)展的第五批“可信隱私計(jì)算評(píng)測(cè)”評(píng)審會(huì)圓滿(mǎn)結(jié)束，評(píng)審會(huì)專(zhuān)家由來(lái)自中科院、北京航空航天大學(xué)、中央財(cái)經(jīng)大學(xué)、北京郵電大學(xué)、北京計(jì)算機(jī)學(xué)會(huì)等單位的專(zhuān)家組成。在本次評(píng)選活動(dòng)中，中國(guó)網(wǎng)安自主研發(fā)的“區(qū)塊鏈聯(lián)邦計(jì)算系統(tǒng)（BFS）”順利通過(guò)了聯(lián)邦學(xué)習(xí)基礎(chǔ)能力專(zhuān)項(xiàng)測(cè)評(píng)。

深信服出席電信和互聯(lián)網(wǎng)行業(yè)網(wǎng)絡(luò)安全年會(huì)

12月10日，由通信企業(yè)協(xié)會(huì)、中國(guó)信息通信研究院主辦的2021年(第十一屆)電信和互聯(lián)網(wǎng)行業(yè)網(wǎng)絡(luò)安全年會(huì)在武漢成功舉辦，深信服運(yùn)營(yíng)商事業(yè)部CTO趙馬煜受邀出席“創(chuàng)新安全技術(shù)論壇”，并發(fā)表了題為《從“零”構(gòu)建安全新邊界》的主題演講。云安全訪問(wèn)服務(wù)也將改變以往安全產(chǎn)品交付安全的模式，以云端提供安全模塊的方式來(lái)實(shí)時(shí)保障用戶(hù)訪問(wèn)互聯(lián)網(wǎng)、云應(yīng)用、分支、移動(dòng)終端時(shí)的安全性。

世紀(jì)佳緣就個(gè)人隱私信息泄露事假做出回應(yīng)

最近，世紀(jì)佳緣卻被爆出存在會(huì)員個(gè)人隱私信息在后臺(tái)裸奔、銷(xiāo)售紅娘專(zhuān)業(yè)身份全靠作假包裝、靠話(huà)術(shù)吸引會(huì)員到店付費(fèi)辦卡等一系列問(wèn)題。新聞?dòng)浾咄ㄟ^(guò)應(yīng)聘成為世紀(jì)佳緣直營(yíng)店中的一名以電銷(xiāo)為主的銷(xiāo)售紅娘進(jìn)行臥底。上崗第一天，記者就獲得了近100條會(huì)員信息。第二天，增加至200條左右。銷(xiāo)售紅娘從公海撈取會(huì)員資源進(jìn)庫(kù)之后，便可以直接在個(gè)人頁(yè)面自動(dòng)“解鎖”會(huì)員的私密聊天記錄。

涉案上百萬(wàn)！桂平網(wǎng)安破獲一起幫助信息網(wǎng)絡(luò)犯罪活動(dòng)案

近日，桂平市公安局網(wǎng)安大隊(duì)通過(guò)部門(mén)協(xié)作，成功破獲一起幫助信息網(wǎng)絡(luò)犯罪活動(dòng)案，抓獲犯罪嫌疑人2人,并繳獲一批作案工具（手機(jī)、銀行卡、U盾），涉案金額高達(dá)250萬(wàn)元。經(jīng)調(diào)查發(fā)現(xiàn)，陳某某在2020年10月份，為了牟利，將自己名下的1張中國(guó)農(nóng)業(yè)銀行卡以1000元的價(jià)格出售給梁某某，出售的該張銀行卡被人用于從事違法活動(dòng)，該卡非法出入的銀行流水約112萬(wàn)。

甘肅網(wǎng)安部門(mén)破獲一起非法入侵?jǐn)z像頭“偷窺”案

近日，甘肅平?jīng)鰶艽h公安局網(wǎng)安大隊(duì)成功破獲一起非法控制計(jì)算機(jī)信息系統(tǒng)案，該案嫌疑人非法控制攝像頭權(quán)限200余個(gè)，涉及公民隱私視頻及照片近千條。經(jīng)查，24歲的李某長(zhǎng)期待業(yè)在家，無(wú)所事事的他長(zhǎng)期沉迷于網(wǎng)絡(luò)之中，手機(jī)中不僅綁定了上百個(gè)購(gòu)買(mǎi)的攝像頭控制權(quán)限，還存留大量涉及他人隱私的視頻及截圖。

國(guó)際

FBI稱(chēng)古巴勒索軟件團(tuán)伙入侵49國(guó)實(shí)體組織

日前，美國(guó)聯(lián)邦調(diào)查局（FBI）發(fā)布緊急警報(bào)，稱(chēng)古巴勒索軟件團(tuán)伙今年通過(guò)網(wǎng)絡(luò)攻擊非法賺取了至少4390萬(wàn)美元贖金。攻擊范圍涉及全球49個(gè)國(guó)家地區(qū)實(shí)體組織，金融、政府、醫(yī)療保健、制造、信息技術(shù)等領(lǐng)域無(wú)一幸免。

Check Point被評(píng)為面向大型和中小企業(yè)的重要端點(diǎn)安全廠商

2021年12月，全球領(lǐng)先的網(wǎng)絡(luò)安全解決方案提供商Check Point®軟件技術(shù)有限公司（納斯達(dá)克股票代碼：CHKP）在IDC Research近日發(fā)布的兩份報(bào)告《IDC MarketScape：2021年面向大型企業(yè)的全球現(xiàn)代端點(diǎn)安全廠商評(píng)估》與IDC MarketScape：2021年面向中小企業(yè)的全球現(xiàn)代端點(diǎn)安全廠商評(píng)估》，中被譽(yù)為“重要廠商”。

澳大利亞ACSC警告Conti勒索軟件

澳大利亞網(wǎng)絡(luò)安全中心(ACSC)警告稱(chēng)，自11月以來(lái)，Conti勒索軟件針對(duì)來(lái)自各個(gè)行業(yè)的多個(gè)澳大利亞組織發(fā)起了攻擊。“ACSC了解到澳大利亞組織在2021年11月和2021年12月受到Conti勒索軟件影響的多個(gè)實(shí)例。這種活動(dòng)發(fā)生在多個(gè)部門(mén)。受害者已收到支付贖金的要求。除了數(shù)據(jù)加密以及隨后對(duì)組織照常運(yùn)營(yíng)能力的影響之外，受害者還曾在勒索軟件參與者發(fā)布的事件中竊取數(shù)據(jù)，包括個(gè)人身份信息(PII)。”閱讀網(wǎng)絡(luò)安全機(jī)構(gòu)發(fā)布的咨詢(xún)。

亞馬遜云服務(wù)中斷

12月7日，亞馬遜云服務(wù)在US-EAST-1區(qū)域陷入網(wǎng)絡(luò)中斷。全球許多平臺(tái)、服務(wù)都依賴(lài)于AWS運(yùn)行，當(dāng)亞馬遜網(wǎng)絡(luò)中斷時(shí)，這些平臺(tái)及服務(wù)也會(huì)中斷，這導(dǎo)致世界各地用戶(hù)都不同程度地受到了此次事件影響。美國(guó)東部時(shí)間11時(shí)起，持續(xù)有大量用戶(hù)報(bào)告亞馬遜網(wǎng)絡(luò)服務(wù)中斷，波及多項(xiàng)在線服務(wù)，包括Netflix、Ring、Amazon Prime Video、Roku等，除此之外，F(xiàn)acebook、迪士尼+以至絕地求生、Valorant、部落沖突、命運(yùn)2、黎明殺機(jī)等游戲也受到了影響。

160萬(wàn)個(gè)WordPress網(wǎng)站成為目標(biāo)

12月9日，Wordfence研究人員在幾天內(nèi)發(fā)現(xiàn)了大量攻擊浪潮，威脅情報(bào)團(tuán)隊(duì)注意到針對(duì)漏洞的攻擊急劇增加，這些漏洞使攻擊者可以在易受攻擊的站點(diǎn)上更新任意選項(xiàng)。該調(diào)查發(fā)現(xiàn)了針對(duì)超過(guò)100萬(wàn)個(gè)WordPress網(wǎng)站的主動(dòng)攻擊，讀取后通過(guò)Wordfence出版。在過(guò)去的36小時(shí)內(nèi)，Wordfence網(wǎng)絡(luò)阻止了超過(guò)1370萬(wàn)次攻擊，這些攻擊針對(duì)超過(guò)160萬(wàn)個(gè)站點(diǎn)的四個(gè)不同插件和多個(gè)Epsilon框架主題，并且來(lái)自超過(guò)16,000個(gè)不同的IP地址。這些攻擊來(lái)自16,000個(gè)IP地址，目標(biāo)是四個(gè)WordPress插件和十五個(gè)Epsilon框架主題。

勒索軟件運(yùn)營(yíng)商泄露從風(fēng)力發(fā)電巨頭維斯塔斯公司服務(wù)器上竊取的數(shù)據(jù)

網(wǎng)絡(luò)犯罪分子公布了最近從丹麥風(fēng)力渦輪機(jī)巨頭維斯塔斯風(fēng)力系統(tǒng)公司竊取的數(shù)據(jù)，該公司12月8日證實(shí)了這一泄露事件。看來(lái)是勒索攻擊者沒(méi)有從該公司中得到贖金，進(jìn)而公布了竊取的數(shù)據(jù)。維斯塔斯于11月19日發(fā)現(xiàn)了網(wǎng)絡(luò)入侵行為，并立即開(kāi)始關(guān)閉IT系統(tǒng)。該公司在11月下旬證實(shí)，它受到了勒索軟件的攻擊，并且該漏洞導(dǎo)致內(nèi)部文件遭到竊取。

澳大利亞電力供應(yīng)商CS Energy遭到勒索軟件攻擊

12月9日，澳大利亞電力供應(yīng)商CS Energy遭到勒索軟件攻擊，但該公司表示發(fā)電并未受到影響，并否認(rèn)此次攻擊是由國(guó)家資助的威脅組織實(shí)施的說(shuō)法。該攻擊于11月27日被發(fā)現(xiàn)，該公司在幾天后向公眾通報(bào)了該事件。勒索軟件團(tuán)伙Conti聲稱(chēng)對(duì)此次澳大利亞電力公司CS Energy的攻擊負(fù)責(zé)。

國(guó)際零售集團(tuán)SPAR遭受網(wǎng)絡(luò)攻擊

國(guó)際零售集團(tuán)SPAR遭受網(wǎng)絡(luò)攻擊，英格蘭東北部330家商店運(yùn)營(yíng)受到影響，不少店鋪被迫改用現(xiàn)金支付，更有甚者被迫關(guān)門(mén)停業(yè)。SPAR是一個(gè)國(guó)際性零售集團(tuán)，由全球各地獨(dú)立持有及運(yùn)營(yíng)的零售商及批發(fā)貿(mào)易商們組成。截至2019年，SPAR在48個(gè)國(guó)家和地區(qū)經(jīng)營(yíng)著13320家商店。但此次網(wǎng)絡(luò)攻擊只襲擊了蘭開(kāi)夏郡的商店。

沃爾沃汽車(chē)遭遇數(shù)據(jù)泄露

沃爾沃集團(tuán)確認(rèn)“已意識(shí)到其一個(gè)文件存儲(chǔ)庫(kù)已被第三方非法訪問(wèn)”。沃爾沃表示：“迄今為止的調(diào)查證實(shí)，在入侵期間公司的有限數(shù)量的研發(fā)財(cái)產(chǎn)被盜。”該公司警告稱(chēng)，此次黑客攻擊“可能對(duì)公司的運(yùn)營(yíng)產(chǎn)生影響”，導(dǎo)致其在斯德哥爾摩的股價(jià)下跌3.5%，至72.44克朗（8.00美元，7.06歐元）。沃爾沃已通知有關(guān)部門(mén)并聘請(qǐng)第三方專(zhuān)家對(duì)事件進(jìn)行調(diào)查。

27個(gè)SDK提權(quán)漏洞或?qū)⒂绊憯?shù)百萬(wàn)云用戶(hù)

近日，SentinelOne研究人員在Eltima SDK中發(fā)現(xiàn)了27個(gè)提權(quán)漏洞。因包括亞馬遜Workspaces在內(nèi)的云桌面提供商均依賴(lài)Eltima等工具，SentinelOne警告說(shuō)，全球數(shù)百萬(wàn)用戶(hù)已經(jīng)暴露在發(fā)現(xiàn)的漏洞中。遠(yuǎn)程攻擊者可以利用這些漏洞在云桌面上獲得更高的訪問(wèn)權(quán)限，并在內(nèi)核模式下運(yùn)行代碼。

加密貨幣平臺(tái)Bitmart遭黑客攻擊價(jià)值1.5億美元被盜

12月6日，道瓊斯旗下的新聞網(wǎng)站Market Watch報(bào)道，加密貨幣平臺(tái)Bitmart近日發(fā)表聲明證實(shí)其近日遭到了黑客攻擊，平臺(tái)聲稱(chēng)被黑客盜走了價(jià)值約1.5億美元(約合人民幣9.6億元)的資產(chǎn)。Bitmart隨后發(fā)表聲明，證實(shí)遭到了攻擊，并聲稱(chēng)被盜走了價(jià)值約1.5億美元的資產(chǎn)。然而，區(qū)塊鏈安全和數(shù)據(jù)分析公司Peckshield估計(jì)的損失接近2億美元。

美國(guó)大學(xué)遭受到針對(duì)Office 365賬戶(hù)的釣魚(yú)攻擊

一些網(wǎng)絡(luò)釣魚(yú)攻擊者正通過(guò)假冒美國(guó)大學(xué)網(wǎng)站登錄頁(yè)面，騙取學(xué)生和教職人員的Office 365賬號(hào)密碼。安全機(jī)構(gòu)Proofpoint分享了有關(guān)網(wǎng)絡(luò)釣魚(yú)攻擊中使用的策略、技術(shù)和程序(TTP)的詳細(xì)信息。根據(jù)Proofpoint共享的URL，包括中央密蘇里大學(xué)、范德比爾特大學(xué)、阿肯色州立大學(xué)、普渡大學(xué)、奧本大學(xué)、西弗吉尼亞大學(xué)和威斯康星大學(xué)奧什科什分校在內(nèi)的多所美國(guó)高校受到了攻擊。

美國(guó)國(guó)務(wù)院?jiǎn)T工手機(jī)已被黑客秘密竊聽(tīng)

近日，蘋(píng)果公司披露，一名未知身份的攻擊者使用以色列NSO公司開(kāi)發(fā)的Pegasus間諜軟件，監(jiān)聽(tīng)了11名美國(guó)國(guó)務(wù)院?jiǎn)T工的手機(jī)。這些美國(guó)官員處理的事務(wù)與東非國(guó)家烏干達(dá)有關(guān)。pegasus間諜軟件由總部位于以色列的網(wǎng)絡(luò)科技公司NSO集團(tuán)開(kāi)發(fā)，是一種具有高度侵入性的工具。

2026年全球短信防火墻收入將達(dá)41億美元

根據(jù)Juniper Research的最新報(bào)告，2026年，SMS防火墻總收入將從2021年的9.11億美元上升為41億美元，絕對(duì)增長(zhǎng)率為346%；報(bào)告還顯示，2026年，SMS防火墻監(jiān)控的短信業(yè)務(wù)流量將從2021年的3.1萬(wàn)億增加到4.4萬(wàn)億，增長(zhǎng)率高達(dá)45%。這是因?yàn)檫\(yùn)營(yíng)商增加了對(duì)高級(jí)分析的投資，例如自然語(yǔ)言處理能力，能夠有效識(shí)別消息內(nèi)容中的業(yè)務(wù)場(chǎng)景。

外媒關(guān)于2022年的10大信息安全預(yù)測(cè)

Infosecurity利用行業(yè)專(zhuān)家的見(jiàn)解，列出了我們對(duì)2022年的10大信息安全預(yù)測(cè)。1、網(wǎng)絡(luò)保險(xiǎn)的演進(jìn)；2.更多的加密貨幣搶劫；3.Deepfake技術(shù)用于欺詐；4.人工智能在打擊網(wǎng)絡(luò)犯罪中的作用越來(lái)越大；5.數(shù)據(jù)保護(hù)立法的持續(xù)發(fā)展；6.零信任的更多采用；7.政府在網(wǎng)絡(luò)安全方面發(fā)揮更積極的作用；8.網(wǎng)絡(luò)意識(shí)培訓(xùn)的新方法；9.更加關(guān)注供應(yīng)鏈風(fēng)險(xiǎn)；10.組織將加強(qiáng)其云彈性。

Apache Log4j2遠(yuǎn)程代碼執(zhí)行重大漏洞預(yù)警！

12月9日，Apache官方報(bào)告了ApacheLog4j2遠(yuǎn)程代碼執(zhí)行漏洞，該漏洞的危害性瞬間在安全圈引起了轟然大波。廣泛使用的Java日志庫(kù)Log4j漏洞爆出了非常容易利用的0day漏洞，通過(guò)發(fā)送特定字符串攻擊者能遠(yuǎn)程執(zhí)行代碼，有數(shù)以百萬(wàn)計(jì)的應(yīng)用受到影響。攻擊者僅需一段代碼就可遠(yuǎn)程控制受害者服務(wù)器，并奪取服務(wù)器的最高權(quán)限。幾乎所有行業(yè)都受到該漏洞影響，包括全球多家知名科技公司、電商網(wǎng)站等，這個(gè)漏洞的嚴(yán)重性和影響面為2021年之最，堪比2017年的“永恒之藍(lán)”漏洞。

WordPress插件多個(gè)漏洞

12月9日，WordPress發(fā)布安全公告，修復(fù)了兩個(gè)存在于WordPress插件中的中危漏洞。CVE-2021-42367：該插件由于輸入驗(yàn)證不足和通過(guò)fathom_site_id~/fathom-analytics.php文件中的參數(shù)進(jìn)行轉(zhuǎn)義而容易受到存儲(chǔ)跨站點(diǎn)腳本的攻擊，該文件允許具有管理用戶(hù)訪問(wèn)權(quán)限的攻擊者在更高版本中注入任意Web腳本。漏洞等級(jí)：中危。；CVE-2021-41836：該插件的Variation Swatches通過(guò)～/includes/class-menu-page.php文件中的幾個(gè)參數(shù)容易受到存儲(chǔ)跨站點(diǎn)腳本的攻擊，該文件允許攻擊者在2.1及以下版本中注入任意Web腳本。漏洞等級(jí)：中危。

ockeye框架yaml任意代碼執(zhí)行漏洞

12月9日，一則關(guān)于Sockeye框架yaml存在代碼執(zhí)行漏洞的信息。漏洞編號(hào)：CVE-2021-43811，漏洞威脅等級(jí)：高危，漏洞評(píng)分：7.8。低于2.3.24的版本使用不安全的YAML加載，可以執(zhí)行嵌入在配置文件中的任意代碼。攻擊者可以將惡意代碼添加到經(jīng)過(guò)訓(xùn)練的模型的配置文件中，并試圖說(shuō)服用戶(hù)下載并運(yùn)行它。如果用戶(hù)運(yùn)行模型，嵌入的代碼將在本地運(yùn)行。

Tenda AC15基于堆棧的緩沖區(qū)溢出漏洞

12月8日，一則關(guān)于Tenda AC15中存在基于堆棧的緩沖區(qū)溢出漏洞的信息。漏洞編號(hào)：CVE-2021-44352，漏洞威脅等級(jí)：嚴(yán)重，漏洞評(píng)分：9.8。該漏洞的存在是由于goform/SetIpMacBind中的“list”參數(shù)存在邊界錯(cuò)誤。遠(yuǎn)程未經(jīng)身份驗(yàn)證的攻擊者可以觸發(fā)基于堆棧的緩沖區(qū)溢出并在目標(biāo)系統(tǒng)上執(zhí)行任意代碼。AC15是深圳市吉祥騰達(dá)科技有限公司2015年10月推出的一款1900M無(wú)線路由器。

Grafana信息泄露漏洞

Grafana存在授權(quán)問(wèn)題漏洞，該漏洞源于在受影響的版本中，未經(jīng)身份驗(yàn)證和身份驗(yàn)證的用戶(hù)都可以通過(guò)訪問(wèn)路徑：/dashboard/snapshot/:key或/api/snapshot/:key來(lái)查看具有最低數(shù)據(jù)庫(kù)鍵的快照。Grafana是Grafana實(shí)驗(yàn)室的一套提供可視化監(jiān)控界面的開(kāi)源監(jiān)控工具。該工具主要用于監(jiān)控和分析Graphite、InfluxDB和Prometheus等。

Zoho ManageEngine Desktop Central MSP身份驗(yàn)證繞過(guò)漏洞

12月7日，Zoho發(fā)布安全公告，修復(fù)了一個(gè)已被廣泛利用的ManageEngine Desktop Central MSP身份驗(yàn)證繞過(guò)漏洞。漏洞編號(hào)：CVE-2021-44515，漏洞威脅等級(jí)：嚴(yán)重。該漏洞的存在是由于處理身份驗(yàn)證請(qǐng)求時(shí)出錯(cuò)。遠(yuǎn)程攻擊者可以繞過(guò)身份驗(yàn)證過(guò)程并在Desktop Central MSP服務(wù)器上執(zhí)行任意代碼。危害等級(jí)：嚴(yán)重。

VMware vCenter Server服務(wù)器端請(qǐng)求偽造漏洞

12月6日，一則關(guān)于VMware vCenter Server中存在服務(wù)器端請(qǐng)求偽造漏洞（SSRF）的信息。漏洞編號(hào)：暫無(wú)，漏洞威脅等級(jí)：高危。該漏洞源于h5-vcav-bootstrap-service組件的getProviderLogo函數(shù)中未對(duì)provider-logo參數(shù)做校驗(yàn)，直接拼接之后進(jìn)行URL請(qǐng)求，導(dǎo)致漏洞的發(fā)生。危害等級(jí)：高危。

極盾科技完成數(shù)千萬(wàn)元Pre-A輪融資

12月10日，杭州極盾科技完成數(shù)千萬(wàn)元Pre-A輪融資，IDG資本投資。極盾科技成立于2020年12月，是一家圍繞企業(yè)業(yè)務(wù)場(chǎng)景構(gòu)建檢測(cè)和響應(yīng)能力的新興網(wǎng)絡(luò)安全公司。目前，極盾科技已服務(wù)包括銀行、信托、地產(chǎn)、汽車(chē)制造、互聯(lián)網(wǎng)在內(nèi)的數(shù)十家大中型企業(yè)。

DDoS攻擊黑色產(chǎn)業(yè)鏈分工明確

在巨大經(jīng)濟(jì)利益面前，DDoS攻擊黑產(chǎn)在多個(gè)環(huán)節(jié)逐漸完成自動(dòng)化，使整個(gè)鏈條無(wú)需人工參與，發(fā)單人直接在DDoS平臺(tái)下單，這樣的平臺(tái)稱(chēng)為“頁(yè)端DDoS攻擊平臺(tái)”。

傳統(tǒng)的DDoS攻擊黑色產(chǎn)業(yè)鏈在人員分工上可以分為發(fā)單人、擔(dān)保商、接單人、流量商、肉雞商以及黑客軟件制作者;其中黑客軟件制作者、肉雞商、流量商為發(fā)起DDoS的資源提供者，屬于DDoS攻擊黑色產(chǎn)業(yè)鏈的上游環(huán)節(jié);接單人為DDoS攻擊黑色產(chǎn)業(yè)鏈的中游環(huán)節(jié);發(fā)單人作為最終受益人，擔(dān)保商作為衍生職業(yè)共同構(gòu)成DDoS攻擊黑色產(chǎn)業(yè)鏈的下游環(huán)節(jié)。

DDoS攻擊的事件性質(zhì)惡劣

DDoS攻擊黑色產(chǎn)業(yè)鏈完善，故對(duì)各個(gè)平臺(tái)/系統(tǒng)攻擊的破壞程度高，嚴(yán)重的將影響相關(guān)市場(chǎng)。如2020年，新西蘭證券交易所(NZX)受到黑色DDoS攻擊而崩潰，連續(xù)多個(gè)交易日交易多次被迫中斷，嚴(yán)重影響當(dāng)?shù)囟?jí)市場(chǎng)交易。

從學(xué)術(shù)到產(chǎn)業(yè)，更多定制化產(chǎn)業(yè)周刊（全球產(chǎn)業(yè)輿情監(jiān)測(cè)、前沿技術(shù)情報(bào)追蹤、產(chǎn)融政策權(quán)威解讀、產(chǎn)業(yè)招商精準(zhǔn)線索），敬請(qǐng)撥打400-068-7188。同時(shí)前瞻產(chǎn)業(yè)研究院提供產(chǎn)業(yè)研究、產(chǎn)業(yè)咨詢(xún)、產(chǎn)業(yè)大數(shù)據(jù)、IPO募投可研、招股說(shuō)明書(shū)撰寫(xiě)等解決方案。

標(biāo)簽： 前瞻 網(wǎng)絡(luò)安全 周報(bào)