一周网安动态【20210830】|点击了解网络安全资讯！
一周网安动态
Weekly Network Security
2021-8-30 周一
202108024-20210830
LEISHI
# 内容预览 #
Part1
1.加强关键信息基础设施安全保护
2.中方发起“中非携手构建网络空间命运共同体倡议”
3.工信部通报210款侵害用户权益APP 要求9月1日前完成整改
4.密码技术在《个人信息保护法》中的基石地位和实现
Part2
1.一起钓鱼网络攻击泄露了 Revere Health 12000 名患者的医疗信息
2.新加坡和美国将在网络安全方面进行更紧密的合作
3.4 个近期猖獗的新兴勒索软件团体曝光，构成严重威胁
4.安全人员发现 NSO 新的零点击攻击规避了苹果 iPhone 安全保护措施
Part3
1.Atlassian Confluence远程代码执行漏洞（CVE-2021-26084）风险通告，腾讯主机安全支持检测
2.CVE-2021-20090（华硕DSL-AC3100）身份验证绕过漏洞分析
3.SM2国密算法应用的高危漏洞——CVE-2021-3711
4.VMware vRealize Operations Manager多个高危漏洞预警
# 国内资讯 #
01
加强关键信息基础设施安全保护
关键信息基础设施是经济社会运行的神经中枢，是网络安全的重中之重。保障关键信息基础设施的安全，对于维护国家网络安全、网络空间主权和国家安全、保障经济社会健康发展、维护公共利益和公民合法权益都具有十分重大的意义。
《关键信息基础设施安全保护条例》（以下简称《条例》）于近日公布，8月24日国务院新闻办公室举行国务院政策例行吹风会，介绍《条例》有关情况。
消息来源：https://www.anquanke.com/post/id/251570
02
中方发起“中非携手构建网络
空间命运共同体倡议”
2015年，中国国家主席习近平在第二届世界互联网大会提出“四项原则”“五点主张”，倡导维护网络空间和平与安全，尊重网络主权，推动构建网络空间命运共同体，为全球互联网发展治理贡献了中国智慧、中国方案。
消息来源：https://www.secrss.com/articles/33799
03
工信部通报210款侵害用户权益APP
要求9月1日前完成整改
各通信管理局按照工业和信息化部统筹部署，依据《网络安全法》等法律法规，积极组织开展手机应用软件监督检查。截至目前，检查发现尚有210款APP未按要求完成整改（具体详见附件）。上述APP应按相关通信管理局要求，在9月1日前完成整改落实工作。逾期不整改的，工业和信息化部将依法依规组织开展相关处置工作。
04
密码技术在《个人信息保护法》
中的基石地位和实现
《个人信息保护法》是个人信息领域的基本法律。其承继和细化了《民法典》和《网络安全法》中关于个人信息保护的规定，从个人主体的权利、个人信息处理者的义务和监管者职责等多方面塑造了中国个人信息保护规则的全貌。整体上，《个人信息保护法》是一部保护法，其对个人信息处理技术的规范是“内向”性的，而对于包括个人信息在内的数据开发、利用和资源化，则更多的是《数据安全法》的平衡考虑和立法目的。
消息来源：https://www.secrss.com/articles/33841
# 国外资讯 #
01
一起钓鱼网络攻击泄露了
Revere Health 12000
名患者的医疗信息
据外媒报道，根据医疗保健公司Revere Health上周五发布的新闻稿称，一名医疗保健员工沦为一个网络钓鱼邮件攻击的对象，由此泄露了约1.2万名患者的一些医疗记录–其中包括圣乔治的心脏病患者。
消息来源：
https://hackernews.cc/archives/35910
新加坡和美国将在网络安全
方面进行更紧密的合作
02
据ZDNet报道，新加坡政府与美国政府签署了几份谅解备忘录，以扩大他们在国防、银行和研究与开发等领域的网络安全合作。这些活动包括增加信息共享、团队建设、培训和技能发展。
消息来源：https://hackernews.cc/archives/35886
03
4 个近期猖獗的新兴勒索软件
团体曝光，构成严重威胁
网络安全研究人员揭开了 4 个近期比较猖獗的新兴勒索软件团体，它们可能对企业和关键基础设施构成严重威胁。最近勒索软件事件激增的连锁反应表明，攻击者在从受害者那里获取报酬方面正变得越来越复杂，越来越有利可图。
消息来源：https://hackernews.cc/archives/35893
04
安全人员发现 NSO 新的零点击
攻击规避了苹果 iPhone 安全保护措施
公民实验室(Citizen Lab)的研究人员说，巴林人权活动家的iPhone今年早些时候被强大间谍软件悄悄入侵，打败了苹果公司为抵御秘密入侵而设计的新安全保护措施。这位仍在巴林并要求不透露姓名的活动人士是巴林人权中心的成员，该中心是一个获奖的非营利性组织，在海湾国家促进人权。
消息来源：https://hackernews.cc/archives/35881
# 威胁情报 #
01
Atlassian Confluence远程代码
执行漏洞（CVE-2021-26084）风险通告，
腾讯主机安全支持检测
2021年8月26日，Atlassian官方发布公告，披露了Atlassian Confluence 远程代码执行漏洞。攻击者经过认证后或在部分场景下无需认证，即可构造恶意请求，造成OGNL表达式注入，进而执行任意代码，控制服务器。腾讯安全专家建议受影响的用户尽快升级到安全版本以修复漏洞。
消息来源：https://mp.weixin.qq.com/s/SwkRSElJ04bmbUtnnF4MlQ
02
CVE-2021-20090
（华硕DSL-AC3100）
身份验证绕过漏洞分析
最近Tenable 披露了Arcadyna 网络设备身份验证绕过漏洞，并且很多的厂商都采用产生漏洞的组件，由于Arcadyan 设备固件厂商并没有开源出来，在官网支持里面下载的文件是window和linux 下和设备连接的客户端软件，无法对漏洞点开展分析，这里我们使用同样受影响的华硕产品DSL-AC3100 的固件来进行设备分析。并且复现在网络设备中网络检测ping 功能的远程命令执行漏洞，从而开启设备telentd。
消息来源：https://www.anquanke.com/post/id/250724
03
SM2国密算法应用的高危漏洞
——CVE-2021-3711
openssl在8月24日发布了openssl 1.1.1l的稳定版，其中修复了一个高危漏洞：CVE-2021-3711。该漏洞会影响openssl 1.1.1l 之前的所有包含SM2商密算法版本，其中也包括基于openssl改造过的版本：北京大学的gmssl和阿里巴巴的babassl。
消息来源：https://www.anquanke.com/post/id/251504
04
VMware vRealize
Operations Manager
多个高危漏洞预警
8月24日，VMware发布安全更新公告，修复了VMware vRealize Operations Manager，VMware Cloud Foundation等产品存在的6个安全漏洞。其中CVE-2021-22024、CVE-2021-22025、CVE-2021-22026、CVE-2021-22027漏洞危害较大，攻击者可利用这些漏洞执行服务端请求伪造（SSRF）攻击，获取内部网络服务的访问权限，从而获取敏感信息。建议受影响用户及时安装补丁进行防护，做好资产自查以及预防工作，以免遭受黑客攻击。
消息来源：https://www.secrss.com/articles/33820
END
点击关注
一周网安动态由雷石安全实验室汇总整理
信息来源：
安全内参，安全客、中国信息安全、cnbeta、seebug，hacknews、freebuf