网络安全国内安全动态

DYNAMIC SECURITY

01

四部门《关于开展网络安全服务认证工作的实施意见》

为推进网络安全服务认证体系建设，提升网络安全服务机构能力水平和服务质量，根据《网络安全法》《认证认可条例》，市场监管总局、中央网信办、工业和信息化部、公安部就开展国家统一推行的网络安全服务认证工作提出以下意见。

‍https://mp.weixin.qq.com/s/htyESu8dPKCpZ2uZTS7JOg‍

市场监管总局公布《互联网广告管理办法》（附全文）

为切实维护广告市场秩序，保护消费者合法权益，推动互联网广告业持续健康发展，近日，市场监管总局修订发布了《互联网广告管理办法》（以下简称《办法》），《办法》将于2023年5月1日起施行。

https://mp.weixin.qq.com/s/I_KMqrl3Ta9djIAk17cGOQ

《“河南链”建设实施方案（2023—2025年）》印发

河南省人民政府办公厅印发《“河南链”建设实施方案（2023—2025年）》，目标2023年年底前，“河南链”新型基础设施建设和管理标准规范基本建立，省级和郑州、开封、平顶山、鹤壁、濮阳、信阳等试点市完成区块链公共基础平台开发并在政务云部署。

据悉，“河南链”总体架构将与河南省数字政府“一朵云”“一张网”“一道墙”建设相衔接，规划建设“河南链”，总体架构为“1+1+N”，即1张云链融合网络、1条数据共享链、N个区块链应用。

https://mp.weixin.qq.com/s/IGgH5NRZd7VC-ZJyIRb81w

全国首个“数据资产价值与收益分配评价模型”标准在青岛发布

3月28日，全国首个“数据资产价值与收益分配评价模型”标准（以下简称“评价标准”）在青岛发布。该评价标准是在青岛市大数据局指导下，由青岛华通集团所属华通智能科技研究院作为发起单位，联合中国信息通信研究院、雄安新区智能城市创新联合会、中国联合网络通信集团有限公司、北京易华录信息技术股份有限公司等单位共同发起与编制的。此次评价标准的发布，是全国数据资产评估领域的重要突破，意味着青岛市在数据资产评估方向又迈出坚实的一步。

‍https://mp.weixin.qq.com/s/ROLRkDPYOxv0wPCZv1P0Ig

欧洲刑警组织在一篇报告中警告，像ChatGPT这类基于人工智能的系统很可能会被犯罪组织滥用。ChatGPT是一种大型语言模型（LLM），用以处理、操作及生成文本。它能够回答绝大多数问题、翻译文本、进行对话交流、甚至是生成代码。同时，这种技术也可能被犯罪分子用于社会工程攻击、虚假信息宣传、开发恶意代码等犯罪活动。

https://mp.weixin.qq.com/s/WKgMrOwiSuUIF29PKAtU2A

安全响应进入AI竞速时代！微软推出基于大模型的安全运营助手

3月29日消息，在为Office套件提供AI驱动的Copilot助手后，微软又将注意力转向网络安全领域，宣布推出基于GPT-4与自有安全模型的生成式AI解决方案——Microsoft Security Copilot。

Security Copilot是网络安全专业人员的新助手，能够帮助防御方发现漏洞、更好地理解日常出现的大量信号与数据。

Security Copilot的外观是一个简单的提示框，与其他聊天机器人别无二致。您可以直接提问“我的企业有哪些安全事件？”，Security Copilot将做出总结。在后端，它利用微软通过威胁情报和专用安全技能日常收集到的65万亿个信号，帮助安全人士追踪网络威胁。

https://mp.weixin.qq.com/s/d2XPIWfMQRufLu6x0zSPAw

3月26日消息，拜登政府昨天发布了新的行政命令，全面禁止美国联邦机构使用可能对人权及国家安全构成威胁的商业间谍软件。

https://mp.weixin.qq.com/s/SLhQyT4zjMJoI_peZIJDmA

2023年3月，在全新《美国国家网络安全战略》发布的背景下，拜登政府公布了2024财年的预算申请，包括了262亿美元的网空预算，其中联邦民事机构占127亿美元，国防部占135亿美元。而在联邦民事机构的网空预算中，DHS下的CISA就占了31亿美元，其中有4.25亿美元用于一个新的计划——网络分析与数据系统（Cyber Analytics and Data System）。

https://mp.weixin.qq.com/s/WA6Y77fBYPf3HbqOHNQ6sg

Google Android是美国谷歌（Google）公司的一套以Linux为基础的开源操作系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，提升权限，造成拒绝服务。

CNVD收录的相关漏洞包括：Google Android信息泄露漏洞（CNVD-2023-18906）、Google Android拒绝服务漏洞（CNVD-2023-18908、CNVD-2023-18909）、Google Android权限提升漏洞（CNVD-2023-18910、CNVD-2023-18915、CNVD-2023-18912、CNVD-2023-18913、CNVD-2023-18914）。其中，除“Google Android信息泄露漏洞（CNVD-2023-18906）、Google Android拒绝服务漏洞（CNVD-2023-18908、CNVD-2023-18909）”外其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

https://www.cnvd.org.cn/flaw/show/CNVD-2023-18906

https://www.cnvd.org.cn/flaw/show/CNVD-2023-18908

https://www.cnvd.org.cn/flaw/show/CNVD-2023-18909

https://www.cnvd.org.cn/flaw/show/CNVD-2023-18910

https://www.cnvd.org.cn/flaw/show/CNVD-2023-18915

https://www.cnvd.org.cn/flaw/show/CNVD-2023-18912

https://www.cnvd.org.cn/flaw/show/CNVD-2023-18913

https://www.cnvd.org.cn/flaw/show/CNVD-2023-18914

Microsoft Windows Bluetooth Service是美国微软（Microsoft）公司的一个蓝牙驱动程序。Microsoft Office是微软公司开发的一套基于Windows操作系统的办公软件套装。Microsoft Windows是一款由美国微软公司开发的窗口化操作系统。Microsoft Exchange Server是美国微软（Microsoft）公司的一套电子邮件服务程序。它提供邮件存取、储存、转发，语音邮件，邮件过滤筛选等功能。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞提升权限，在目标主机上执行代码。

CNVD收录的相关漏洞包括：Microsoft Windows Bluetooth Service代码执行漏洞、Microsoft Exchange Server远程代码执行漏洞（CNVD-2023-18284）、Microsoft Office信息泄露漏洞（CNVD-2023-18285）、Microsoft Windows Malicious Software Removal Tool权限提升漏洞、Microsoft Office远程代码执行漏洞（CNVD-2023-18287、CNVD-2023-18288）、Microsoft Office Visio远程代码执行漏洞（CNVD-2023-18289）、Microsoft Windows Kernel权限提升漏洞（CNVD-2023-18290）。其中，除“Microsoft Office信息泄露漏洞（CNVD-2023-18285）、Microsoft Windows Malicious Software Removal Tool权限提升漏洞”外，其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

Fortinet产品安全漏洞

Fortinet FortiWeb是美国飞塔（Fortinet）公司的一款Web应用层防火墙，它能够阻断如跨站点脚本、SQL注入、Cookie中毒、schema中毒等攻击的威胁。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞通过特制的HTTP GET请求获取对文件和数据的未经授权访问，提升权限，执行任意代码或命令等。

CNVD收录的相关漏洞包括：Fortinet FortiWeb操作系统命令注入漏洞（CNVD-2023-18291）、Fortinet FortiWeb格式化字符串错误漏洞、Fortinet FortiWeb缓冲区溢出漏洞（CNVD-2023-18294、CNVD-2023-18297、CNVD-2023-18301、CNVD-2023-18300）、Fortinet FortiWeb路径遍历漏洞（CNVD-2023-18293）、Fortinet FortiWeb资源管理错误漏洞。其中，“Fortinet FortiWeb操作系统命令注入漏洞（CNVD-2023-18291）、Fortinet FortiWeb缓冲区溢出漏洞（CNVD-2023-18294、CNVD-2023-18297、CNVD-2023-18300）”的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

TRENDnet TEW-755AP缓冲区溢出漏洞

TRENDnet TEW-755AP是美国趋势网络（TRENDnet）公司的一款路由器。本周，TRENDnet TEW-755AP被披露存在缓冲区溢出漏洞。该漏洞源于wifi_captive_portal函数中的user_edit_page参数对输入的数据缺乏大小检查，攻击者可利用该漏洞在系统上执行任意代码。目前，厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2023-18937

Tenda AC18堆栈溢出漏洞

验证描述

Tenda AC18是中国腾达（Tenda）公司的一款路由器。Tenda AC18存在堆栈溢出漏洞，该漏洞源于fromSetSysTime函数的time参数对于输入数据缺乏长度验证。攻击者可利用漏洞导致拒绝服务。

验证信息

POC链接：

https://drive.google.com/file/d/1elSFijqHselDzRNuawGfcHD4uL4N8_mM/view

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2023-18958