网络安全国内安全动态

DYNAMIC SECURITY

01

中国银保监会发布《银行保险监管统计管理办法》

为加强银行业保险业监管统计管理，规范监管统计行为，提升监管统计质效，中国银保监会发布《银行保险监管统计管理办法》。

https://mp.weixin.qq.com/s/74UIRjWuKbdyzEPCBTz6Fw

《上海市公共数据开放实施细则》发布

为贯彻落实《上海市数据条例》《上海市公共数据开放暂行办法》，促进公共数据更深层次、更高水平开放，支撑上海城市数字化转型，上海市经济和信息化委员会、上海市互联网信息办公室制定了《上海市公共数据开放实施细则》。

https://mp.weixin.qq.com/s/5WlulLzBWm0kXPIYK-j4_g

《网络安全标准实践指南—车外画面局部轮廓化处理效果验证（征求意见稿）》发布

为指导汽车数据处理者规范开展车外画面数据收集，验证车外画面人脸、车牌局部轮廓化处理效果，秘书处组织编制了《网络安全标准实践指南—车外画面局部轮廓化处理效果验证（征求意见稿）》。

https://mp.weixin.qq.com/s/zryNg-QyBTRu3OnvnR2u_w

全国工业和信息化工作会议在京召开

1月11日，全国工业和信息化工作会议在北京召开。会议以习近平新时代中国特色社会主义思想为指导，全面贯彻党的二十大精神，认真贯彻落实中央经济工作会议精神和党中央、国务院决策部署，总结2022年工作，部署2023年重点任务。工业和信息化部党组书记、部长金壮龙出席会议并讲话。部党组成员、副部长，国家国防科技工业局局长张克俭主持会议。部领导王江平、辛国斌、张云明、张建民、田玉龙出席会议。上海市、浙江省、湖北省、广东省、四川省工业和信息化主管部门和西藏自治区通信管理局负责同志作交流发言。

https://mp.weixin.qq.com/s/iESBajTYJEf7USq-XYUOsg

近日，苏黎世联邦理工学院研究人员在安全审计中发现瑞士军队使用的安全通信软件Threema存在大量严重漏洞，并且已经存在很长时间。

https://mp.weixin.qq.com/s/qmb6-lmMszspPiT_wyc2TA

网络攻击致使英国邮政巨头中断国际寄件服务

1月12日消息，因“网络事件”导致的“严重服务中断”，英国邮件递送服务巨头皇家邮政（Royal Mail）宣布暂停国际运输服务。

https://mp.weixin.qq.com/s/OVpxac1kMkhbJ6KqCMEDqw

1月11日消息，美国国家档案与记录管理局（NARA）今天发布更新版政府记录存储规则（GRS Transmittal 33），对联邦机构的网络安全日志及其他网络记录数据的留存时间做出新要求。

一般记录时间表（GRS）明确了联邦机构必须保留的记录类型，以及在多长时间后可以删除或以其他方式进行销毁的处置规定。

https://mp.weixin.qq.com/s/tTR6eH_Wlra-0VWIoGxRRQ

当地时间2023年1月6日，加拿大Copper Mountain Mining公司发布新闻公告称，1月1日，该公司恢复了其铜山矿的初级破碎机的运营，此后不久，公司恢复了在袭击后预防性关闭的工厂的运营。1月4 日，该厂已全面生产，目前正在稳定运营，因为其余业务系统已完全恢复。该公告还补充，Copper Mountain Mining的外部和内部IT团队以及外部网络安全专家正在继续积极建立额外的保障措施，以减轻公司面临的任何进一步风险。公司的主要目标仍然是以安全可靠的方式恢复完整的业务功能。

安全专家指出，Copper Mountain Mining公司勒索软件攻击是另一个过程传感器监控可以防止设施关闭的案例，也就是说勒索攻击后关闭设施运营并非唯一选项。

https://mp.weixin.qq.com/s/s4IRkOBdjonjPw-fvZDG9w

IBM AIX是美国国际商业机器（IBM）公司的一款为IBM Power体系架构开发的一种基于开放标准的UNIX操作系统。IBM DB2是美国国际商业机器（IBM）公司的一套关系型数据库管理系统。该系统的执行环境主要有UNIX、Linux、IBMi、z/OS以及Windows服务器版本。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞执行从网站信任的用户传输的恶意和未经授权的操作，通过AIX SMB客户端实现拒绝服务等。

CNVD收录的相关漏洞包括：IBM AIX拒绝服务漏洞（CNVD-2023-00804、CNVD-2023-00807、CNVD-2023-00806、CNVD-2023-00805、CNVD-2023-00810、CNVD-2023-00809、CNVD-2023-00808）、IBM DB2跨站请求伪造漏洞（CNVD-2023-00813）。其中，“IBM AIX权限提升漏洞（CNVD-2023-00805）、IBM DB2跨站请求伪造漏洞（CNVD-2023-00813）”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

https://www.cnvd.org.cn/flaw/show/CNVD-2023-00804

https://www.cnvd.org.cn/flaw/show/CNVD-2023-00807

https://www.cnvd.org.cn/flaw/show/CNVD-2023-00806

https://www.cnvd.org.cn/flaw/show/CNVD-2023-00805

https://www.cnvd.org.cn/flaw/show/CNVD-2023-00810

https://www.cnvd.org.cn/flaw/show/CNVD-2023-00809

https://www.cnvd.org.cn/flaw/show/CNVD-2023-00808

https://www.cnvd.org.cn/flaw/show/CNVD-2023-00813

Google Android是美国谷歌（Google）公司的一套以Linux为基础的开源操作系统。Google Pixel是美国谷歌（Google）公司的一款智能手机。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，获得提升的权限，远程执行任意代码等。

CNVD收录的相关漏洞包括：Google Android权限提升漏洞（CNVD-2023-01051）、Google Pixel缓冲区溢出漏洞（CNVD-2023-01493、CNVD-2023-01492、CNVD-2023-01491、CNVD-2023-01490、CNVD-2023-01494、CNVD-2023-01499、CNVD-2023-01498）。其中，“Google Android权限提升漏洞（CNVD-2023-01051）、Google Pixel缓冲区溢出漏洞（CNVD-2023-01492、CNVD-2023-01490）” 的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

Huawei产品安全漏洞

Huawei ws7200-10是中国华为（HUAWEI）公司的一款无线路由器。Huawei CV81-WDM FW是中国华为（Huawei）公司的一款激光多功能打印机。Huawei EMUI是一款基于Android开发的移动端操作系统。Huawei Magic UI是一个智能设备操作系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞通过暴力破解获取密码，可能导致系统敏感信息泄露，获得打印机的最高权限，导致服务异常等。

CNVD收录的相关漏洞包括：Huawei WS7200-10访问控制错误漏洞、Huawei CV81-WDM FW输入验证不足漏洞、Huawei CV81-WDM FW命令注入漏洞、Huawei CV81-WDM FW输入校验漏洞（CNVD-2023-01056、CNVD-2023-01060）、Huawei EMUI和Magic UI拒绝服务漏洞（CNVD-2023-01057）、Huawei EMUI和Huawei Magic UI越界写入漏洞、Huawei EMUI和Magic UI越界写入漏洞（CNVD-2023-01059）。其中，除“Huawei WS7200-10访问控制错误漏洞”外其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

Adobe产品安全漏洞

Adobe Experience Manager（AEM）是美国奥多比（Adobe）公司的一套可用于构建网站、移动应用程序和表单的内容管理解决方案。该方案支持移动内容管理、营销销售活动管理和多站点管理等。本周，上述产品被披露存在跨站脚本漏洞，攻击者可利用漏洞在浏览器上下文中执行恶意JavaScript。

CNVD收录的相关漏洞包括：Adobe Experience Manager跨站脚本漏洞（CNVD-2023-00009、CNVD-2023-00605、CNVD-2023-00604、CNVD-2023-00603、CNVD-2023-00608、CNVD-2023-00607、CNVD-2023-00606、CNVD-2023-00611）。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2023-00009

https://www.cnvd.org.cn/flaw/show/CNVD-2023-00605

https://www.cnvd.org.cn/flaw/show/CNVD-2023-00604

https://www.cnvd.org.cn/flaw/show/CNVD-2023-00603

https://www.cnvd.org.cn/flaw/show/CNVD-2023-00608

https://www.cnvd.org.cn/flaw/show/CNVD-2023-00607

https://www.cnvd.org.cn/flaw/show/CNVD-2023-00606

https://www.cnvd.org.cn/flaw/show/CNVD-2023-00611

Tenda i22缓冲区溢出漏洞

Tenda i22是中国腾达（Tenda）公司的一款无线接入点。本周，Tenda i22被披露存在缓冲区溢出漏洞。攻击者可利用该漏洞提交特殊的请求，可以在系统上下文执行任意代码或者使应用程序崩溃。目前，厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2023-00010