网络安全国内安全动态

DYNAMIC SECURITY

01

2022年中国网络文明大会主论坛在天津举行

8月28日下午，2022年中国网络文明大会主论坛在天津举行。中共天津市委书记李鸿忠出席主论坛。中央宣传部分管日常工作的副部长李书磊，中央宣传部副部长、中央网信办主任、国家网信办主任庄荣文，教育部党组书记、部长怀进鹏在主论坛发表主旨演讲。

https://mp.weixin.qq.com/s/S2GRSYDLYYTW4bgDDX-Ckg

工信部通报47款侵害用户权益的APP

依据《个人信息保护法》《网络安全法》《电信条例》《电信和互联网用户个人信息保护规定》等法律法规，我部组织第三方检测机构对群众关注的酒店餐饮类、未成年人应用类等移动互联网应用程序（APP）及第三方软件开发工具包（SDK）进行检查，对发现存在侵害用户权益行为的共227款APP（SDK）提出整改要求。截至目前，尚有47款APP（SDK）未按要求完成整改（详见附件），现予以通报。

上述APP及SDK应在9月5日前完成整改落实工作。逾期不整改的，我部将依法依规组织开展相关处置工作。

https://mp.weixin.qq.com/s/uSyl0Gu0liT4T7jhdKYJUg

交通运输部就《公路水路关键信息基础设施安全保护管理办法（征求意见稿）》公开征求意见

为规范公路水路关键信息基础设施安全保护管理，落实关键信息基础设施安全保护工作责任，交通部起草了《公路水路关键信息基础设施安全保护管理办法（征求意见稿）》，现向社会公开征求意见。

https://mp.weixin.qq.com/s/zV6vdNKDhxnz5P-VEk7vHw

《北京城市副中心元宇宙创新发展行动计划（2022-2024年）》发布

8月23日，北京市通州区人民政府 北京市科学技术委员会、中关村科技园区管理委员会、北京市经济和信息化局发布关于《北京城市副中心元宇宙创新发展行动计划（2022-2024年）》。

https://mp.weixin.qq.com/s/aXt3eaG_B4RoDaZlskDBJQ

8月24日消息，距巴黎市中心28公里，拥有1000张床位的Center Hospitalier Sud Francilien（简称CHSF）医院上周日（8月21日）遭遇网络攻击，迫使其将患者转诊至其他机构，并推迟了手术预约。

https://mp.weixin.qq.com/s/HnSONY6pkHYOcLYmMVA87A

欧盟理事会主席国捷克发布了针对欧盟《数据法》（the Data Act）提案的最新妥协方案，对允许公共部门要求访问私人持有数据的条件提出了修改。妥协方案将于9月5日在欧盟理事会负责该文件的技术机构电信工作小组的会议上进行讨论。

https://mp.weixin.qq.com/s/5Mm49ncRVcf5E49HsyzM_Q

8月25日消息，作为服务全球多家大型航空公司的技术提供商，Accelya表示，近期刚刚遭遇勒索软件攻击，部分系统已经受到影响。Accelya的客户包括达美航空、英国航空、捷蓝航空、联合航空、维珍大西洋航空、美国航空等多家知名航空企业。

https://mp.weixin.qq.com/s/KXDqMRrtShXQxS0tSA1sbg

北美洲多米尼加共和国农业部下属机构IAD遭量子（Quantum）勒索软件攻击，所有服务器被加密，内部信息全部泄露；

该国网络安全中心称，IAD几乎没有安全防护产品和人员，攻击者IP归属美国和俄罗斯；

Quantum团伙窃取了超过1TB数据，威胁索要65万美元，否则将公布窃取数据。

https://mp.weixin.qq.com/s/elrJPXraEThQZ8JdomkMmQ

Microsoft Azure Site Recovery是美国微软（Microsoft）公司的一种站点恢复（DRaaS），用于云和混合云架构。本周，上述产品被披露存在权限提升漏洞，攻击者可利用漏洞在系统上获得提升的权限。

CNVD收录的相关漏洞包括：Microsoft Azure Site Recovery权限提升漏洞（CNVD-2022-57194、CNVD-2022-57193、CNVD-2022-57197、CNVD-2022-57196、CNVD-2022-57195、CNVD-2022-57201、CNVD-2022-57200、CNVD-2022-57199）。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

SAP NetWeaver Enterprise Portal是一个SAP NetWeaver的Web前端组件。SAP SuccessFactors是德国思爱普（SAP）公司的一个基于云的Hcm软件应用程序。SAP Business One是德国思爱普（SAP）公司的一套企业管理软件。该软件包括财务管理、运营管理和人力资源管理等功能。SAP BusinessObjects BW Publisher Service是德国SAP公司的一种模型驱动数据仓库产品。SAP Business Objects是德国SAP公司的一个商业智能套件。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获得敏感信息、查看或修改信息、提升权限、执行拒绝服务攻击，使系统暂时无法运行等。

CNVD收录的相关漏洞包括：SAP NetWeaver Enterprise Portal跨站脚本漏洞（CNVD-2022-56942、CNVD-2022-56941）、SAP SuccessFactors权限提升漏洞、SAP Business One拒绝服务漏洞、SAP Business One代码注入漏洞（CNVD-2022-56957）、SAP BusinessObjects BW Publisher Service权限提升漏洞、SAP BusinessObjects Business Intelligence Platform SQL注入漏洞、SAP Business One信息泄露漏洞（CNVD-2022-56961）。其中，“SAP SuccessFactors权限提升漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

IBM产品安全漏洞

IBM CICS TX Advanced是美国IBM公司的一个综合的、单一的事务运行时包。可以为独立应用程序提供云原生部署模型。IBM DataPower Gateway是美国IBM公司的一套专门为移动、云、应用编程接口（API）、网络、面向服务架构（SOA）、B2B和云工作负载而设计的安全和集成平台。该平台可利用专用网关平台跨渠道保护、集成和优化访问。IBM Robotic Process Automation是美国IBM公司的一种机器人流程自动化产品。可帮助您以传统 RPA 的轻松和速度大规模自动化更多业务和 IT 流程。IBM QRadar SIEM是美国IBM公司的一套利用安全智能保护资产和信息远离高级威胁的解决方案。该方案提供对整个IT架构范围进行监督、生成详细的数据访问和用户活动报告等功能。IBM Engineering Lifecycle Optimization（ELO）是美国IBM公司的工程生命周期管理 (ELM) 产品组合的扩展。它们可以更轻松地收集和分析整个开发环境中的数据，以做出更好的决策。自动化报告以确保整个组织拥有优化开发所需的信息，定义可以帮助您的扩展团队采用和遵循最佳实践的流程，与第三方工具接口以自定义您的开发环境。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，造成应用拒绝服务等。

CNVD收录的相关漏洞包括：IBM CICS TX跨站请求伪造漏洞、IBM DataPower Gateway服务器端请求伪造漏洞（CNVD-2022-56971）、IBM DataPower Gateway XML外部实体注入漏洞（CNVD-2022-56970）、IBM Robotic Process Automation信息泄露漏洞（CNVD-2022-56974）、IBM Robotic Process Automation权限提升漏洞、IBM DataPower Gateway跨站脚本漏洞（CNVD-2022-56972）、IBM QRadar SIEM拒绝服务漏洞（CNVD-2022-56976）、IBM Engineering Lifecycle Optimization信息泄露漏洞。其中，“IBM CICS TX跨站请求伪造漏洞、IBM DataPower Gateway服务器端请求伪造漏洞（CNVD-2022-56971）、IBM DataPower Gateway XML外部实体注入漏洞（CNVD-2022-56970）、IBM Robotic Process Automation权限提升漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

Jenkins产品安全漏洞

Jenkins和Jenkins Plugin都是Jenkins开源的产品。Jenkins是一个应用软件。一个开源自动化服务器Jenkins提供了数百个插件来支持构建，部署和自动化任何项目。Jenkins Plugin是一个应用软件。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞向指定的URL发送HTTP请求、创建和删除XPath表达式、获取敏感信息等。

CNVD收录的相关漏洞包括：Jenkins Recipe Plugin XML外部实体注入漏洞、Jenkins Recipe Plugin跨站请求伪造漏洞、Jenkins RocketChat Notifier Plugin信息泄露漏洞、Jenkins Skype notifier Plugin信息泄露漏洞、Jenkins RQM Plugin信息泄露漏洞、Jenkins XPath Configuration Viewer Plugin授权问题漏洞、Jenkins Plugin requests-plugin授权问题漏洞、Jenkins XebiaLabs XL Release Plugin授权问题漏洞（CNVD-2022-58430）。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：