网络安全国内安全动态

DYNAMIC SECURITY

01

中国电子数字政府与数据要素化工程技术交流研讨会成功召开

1月31日，为深入贯彻落实党中央、国务院关于加快建设数字中国、加快发展数字经济的重大决策部署，推动中国电子数字技术创新突破和数字化产业快速发展，中国电子召开数字政府与数据要素化工程技术交流研讨会。

https://mp.weixin.qq.com/s/s589tWIKYIaiFbhLz3ri7A

中央网信办、农业农村部与浙江省人民政府共同签署共建数字乡村引领区合作备忘录

中央网信办、农业农村部与浙江省人民政府签署共建数字乡村引领区合作备忘录，支持浙江建设数字乡村引领区。

https://mp.weixin.qq.com/s/TxSDFoEjVfPvEbpVjcHkSQ

《2023年电力安全监管重点任务》印发

为贯彻落实党的二十大精神，扎实做好2023年电力安全监管工作，确保电力系统安全稳定运行和电力可靠供应，推动全国电力安全生产形势持续稳定向好，国家能源局制定了《2023年电力安全监管重点任务》。

https://mp.weixin.qq.com/s/5s6dshPFhcz7DZ1eBNyPJA

《2023年河南省数字经济发展工作方案》印发

为贯彻落实中央和省委经济工作会议大力发展数字经济的决策部署，持续提升河南省数字经济发展规模和水平，制定了《2023年河南省数字经济发展工作方案》。

https://mp.weixin.qq.com/s/Q_sfZAFfOOIc4w6RhJZHrA

英国汽车零售商Arnold Clark日前通知客户，其个人信息可能因网络攻击而失窃。已经有勒索软件团伙表示对此负责，并声称掌握了数GB敏感信息

https://mp.weixin.qq.com/s/kovtw3_x_W3K0a632ijIrw

英国上级官员要求政府机构掩盖勒索事件“灾难性”影响

2月1日消息，日前，英国议会委员会获悉，某位英国政府大臣曾经要求雷德卡与克利夫兰自治市议会的领导人，对两年前勒索软件攻击带来的“灾难性”影响保持沉默。

https://mp.weixin.qq.com/s/gAsJ72HxZVYYMXA0mpQnFw

2月6日消息，上周五晚以来，百慕大地区发生大面积停电，并导致该岛的互联网与电话服务无法正常使用。

当地政府称，问题根源是百慕大唯一电力供应商Belco遭遇“严重事故”，并建议客户“拔掉所有敏感的电气设备”，避免工作人员的连夜抢修造成用电器损坏。

百慕大位于北大西洋西部，归属北美洲，是英国的海外自治领土，当地居民约64000人。

https://mp.weixin.qq.com/s/UwX-cRr7B9fQXp_C9CRg0g

2月2日，无线宽带网络设备制造商Ubiquiti Networks前员工尼古拉斯夏普（Nickolas Sharp）在法庭认罪，承认在Ubiquiti担任云计算负责人期间从公司网络中窃取大量机密文件，并在冒充匿名黑客勒索雇主失败后，向媒体举报雇主瞒报安全事件，导致Ubiquiti市值暴跌40亿美元。

https://mp.weixin.qq.com/s/_bfH5JfHWzuaPIqOzn5xcA

Apache OFBiz是美国阿帕奇（Apache）基金会的一套企业资源计划（ERP）系统。该系统提供了一整套基于Java的Web应用程序组件和工具。Apache Traffic Server（ATS）是一套可扩展的HTTP代理和缓存服务器。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞请求安全资源，执行任意代码等。

CNVD收录的相关漏洞包括：Apache OFBiz代码注入漏洞（CNVD-2023-03919、CNVD-2023-03918）、Apache OFBiz代码问题漏洞（CNVD-2023-03920）、Apache Traffic Server输入验证错误漏洞（CNVD-2023-03923、CNVD-2023-03927、CNVD-2023-03926、CNVD-2023-03925、CNVD-2023-03924）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

https://www.cnvd.org.cn/flaw/show/CNVD-2023-03919

https://www.cnvd.org.cn/flaw/show/CNVD-2023-03918

https://www.cnvd.org.cn/flaw/show/CNVD-2023-03920

https://www.cnvd.org.cn/flaw/show/CNVD-2023-03923

https://www.cnvd.org.cn/flaw/show/CNVD-2023-03927

https://www.cnvd.org.cn/flaw/show/CNVD-2023-03926

https://www.cnvd.org.cn/flaw/show/CNVD-2023-03925

https://www.cnvd.org.cn/flaw/show/CNVD-2023-03924

Google TensorFlow是美国谷歌（Google）公司的一套用于机器学习的端到端开源平台。Google Chrome是一款Web浏览器。Google Android是一套以Linux为基础的开源操作系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞绕过安全限制，提升权限，在系统上执行任意代码，导致越界内存读取或崩溃等。

CNVD收录的相关漏洞包括：Google TensorFlow缓冲区溢出漏洞（CNVD-2023-03935、CNVD-2023-03936）、Google Chrome安全绕过漏洞（CNVD-2023-04547）、Google Android权限提升漏洞（CNVD-2023-04551、CNVD-2023-04552、CNVD-2023-04553）、Google Chrome Forms代码执行漏洞、Google Chrome Extensions代码执行漏洞（CNVD-2023-04555）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

Mozilla产品安全漏洞

Mozilla Firefox是美国Mozilla基金会的一款开源Web浏览器。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞使脚本在无效对象状态下执行导致绕过安全限制，执行任意代码，造成浏览器崩溃等。

CNVD收录的相关漏洞包括：Mozilla Firefox缓冲区溢出漏洞（CNVD-2023-03061、CNVD-2023-03062、CNVD-2023-03064、CNVD-2023-03066）、Mozilla Firefox资源管理错误漏洞（CNVD-2023-03067、CNVD-2023-03063）、Mozilla Firefox代码问题漏洞（CNVD-2023-03065）、Mozilla Firefox访问控制错误漏洞（CNVD-2023-03068）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

SAP产品安全漏洞

SAP Host Agent是德国思爱普（SAP）公司的一套支持操作系统监视、数据库监视和系统实例监视等多项生命周期管理任务的代理程序。SAP BusinessObjects Business Intelligence Platform是一款完备的商务分析平台。该平台集市场领先的 SAP 数据整合产品、数据管理产品和商务智能(BI) 产品于一身，可消除系统集成难题，快速、轻松地部署高性能的商务分析软件。SAP NetWeaver AS是一款SAP网络应用服务器。它不仅能提供网络服务，且还是SAP软件的基本平台。SAP Bank Account Management是一个银行账户管理系统。SAP BPC MS是一个业务规划与整合应用程序。提供规划、预算、预测和财务合并功能。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，执行非法SQL命令窃取数据库敏感数据，导致跨站脚本攻击，任意代码执行等。

CNVD收录的相关漏洞包括：SAP Host Agent访问控制错误漏洞、SAP BusinessObjects Business Intelligence Platform跨站脚本漏洞（CNVD-2023-03049）、SAP BusinessObjects Business Intelligence Platform CMC application跨站脚本漏洞、SAP NetWeaver AS访问控制错误漏洞、SAP Bank Account Management信息泄露漏洞、SAP BusinessObjects Analysis(Edition For Olap)代码注入漏洞、SAP BPC MS SQL注入漏洞、SAP NetWeaver Application Server跨站脚本漏洞（CNVD-2023-04301）。其中，“SAP BusinessObjects Business Intelligence Platform CMC application跨站脚本漏洞、SAP NetWeaver AS访问控制错误漏洞、SAP BusinessObjects Analysis(Edition For Olap)代码注入漏洞、SAP BPC MS SQL注入漏洞”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2023-03050

https://www.cnvd.org.cn/flaw/show/CNVD-2023-03049

https://www.cnvd.org.cn/flaw/show/CNVD-2023-03048

https://www.cnvd.org.cn/flaw/show/CNVD-2023-03052

https://www.cnvd.org.cn/flaw/show/CNVD-2023-03051

https://www.cnvd.org.cn/flaw/show/CNVD-2023-04300

https://www.cnvd.org.cn/flaw/show/CNVD-2023-04302

https://www.cnvd.org.cn/flaw/show/CNVD-2023-04301

WordPress plugin LetsRecover SQL注入漏洞

WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。本周，WordPress plugin LetsRecover被披露存在SQL注入漏洞。攻击者可利用该漏洞获取数据库敏感信息。目前，厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2023-04535