9月21日至9月28日网络安全动态周报

发布时间:2020-09-28 17:38:02 阅读次数:

经省通报中心组织有关技术支撑单位研判,全省一周网络安全主要动态如下:

一、网络安全态势

(一)网络安全事件处置

本周通报并处置漏洞6个(其中高危4个、中危1个)。

(二)高危漏洞风险提醒

1.FastAdmin远程代码执行0day漏洞。FastAdmin是深圳极速创想科技有限公司开发的一款基于ThinkPHPBootstrap的后台开发框架。FastAdmin存在远程代码执行漏洞。攻击者可据此登录系统前台会员中心,上传特定文件并直接获取系统权限。

2.Linux内核AF_PACKET内存破坏导致权限提升漏洞(CVE-2020-14386)。Linux Kernel是由Linus Torvalds最初开发的开源操作系统内核。其高于4.6版本的Linux发行版内核版本net/packet/af_packet.c文件中存在整数溢出漏洞。攻击者可以据此做权限提升操作。

3.Spring Framework反射型文件下载漏洞(CVE-2020-5421)。Spring FrameworkJava平台的一个开源全栈应用程序框架和控制反转容器,其存在反射型文件下载漏洞。攻击者通过向用户发送带有批处理脚本扩展名的路径,使用户下载并执行文件,从而危害用户系统。

4.Micro Focus Operations Bridge Reporter任意代码执行漏洞(CVE-2020-11856)。Micro Focus Operations Bridge Reporter是一款信息化报告软件,可提供跨服务器、网络及应用程序环境的资源、事件和响应时间报告。Micro Focus Operations Bridge Reporter 10.40及之前版本存在任意代码执行漏洞。远程攻击者可利用该漏洞执行任意代码。

二、网络安全事件

(一)新型内幕交易犯罪:用木马窥视基金交易指令。辽宁省高级人民法院公开审理一则新型内幕交易案件,被告人朱某海制作病毒入侵多家基金公司和证券公司的系统,盗取交易指令和内幕信息,非法获利约180万元。该案是证券类新型犯罪。

(二)黑客组织“黑暗霸主”成员被判入狱五年。黑暗组织“黑暗霸主”多次入侵大型企业,窃取敏感数据索要巨额赎金,以此获利。其成员怀亚特承认其勒索全世界数十家公司。怀亚特此前于2017年在英国被捕,并于2019年被引渡至美国。

(三)黑客泄露1000多名白俄罗斯高级警察个人信息。白俄罗斯某匿名黑客组织泄露1000多名该国高级警官个人信息,以回应警察对反政府示威的暴力镇压。数据通过谷歌电子表格泄露,包括警察的姓名、出生日期、部门和职务头衔,其中大多数为中尉、少校和上尉。

(四)千万条车辆维修保养数据被贩卖。江苏镇江警方成功破获一起互联网公司与4S店员工内外勾结、非法获取近千万条车辆维保数据的案件,涉及全国多家品牌汽车4S店。警方发现,打开该款汽车服务App后输入车架号即可查到其维修记录、碰撞历史、保养记录等信息。

三、网络安全资讯

(一)《网络安全标准实践指南—移动互联网应用程序(App)中的第三方软件开发工具包(SDK)安全指引(征求意见稿)》公开征求意见。全国信息安全标准化技术委员会秘书处组织编制该《安全指引》,旨在帮助App提供者和第三方SDK提供者减少在第三方SDK使用中的安全和隐私问题。目前,正在面向社会公开征求意见。

(二)《网络安全标准实践指南—移动互联网应用程序(App)个人信息保护常见问题及处置指南》发布。该《指南》针对App存在的超范围收集、强制索权、频繁索权等问题,给出当前App个人信息保护十大常见问题和处置指南。该《指南》适用于App运营者防范和处置个人信息保护常见问题,也可为App开发者、移动互联网应用分发平台运营者和移动智能终端厂商提供参考。