一、业界动态
《网络安全审查办法》今天起正式生效
由国家互联网信息办公室、国家发展和改革委员会、工业和信息化部、公安部、国家安全部、财政部、商务部、中国人民银行、国家市场监督管理总局、国家广播电视总局、国家保密局、国家密码管理局联合制定的《网络安全审查办法》（以下简称“办法”）于今日起开始实施。本文介绍了《办法》的全文与答记者问，你想了解的都在这里。
https://www.freebuf.com/news/topnews/238393.html
Clearview AI因未经授权收集人像数据而遭到起诉
鉴于伊利诺伊州率先在美启用了有关生物特征测定的隐私保护法律，ACLU已将未经授权收集人像数据的Clearview AI公司告上了法庭。据悉，Clearview AI涉及在几个月的时间里，从互联网上收集了超过 30 亿张人脸照片。
https://www.cnbeta.com/articles/tech/984669.htm
中国信通院启动云服务IPv6支持度评测项目
为深入贯彻落实《工业和信息化部关于开展2020年IPv6端到端贯通能力提升专项行动的通知》，大幅提升云服务平台IPv6业务承载能力，中国信息通信研究院于2020年5月25日在京组织召开“IPv6评测监测工作组暨IPv6规模部署专项协同推进工作组会议”，全面开启云服务IPv6支持度评测项目。
https://www.cnbeta.com/articles/tech/984757.htm
第七次全国人口普查采用电子化登记来保护公民个人信息
十年一次的人口普查是国家政策出台的重要依据，当前各地第七次全国人口普查准备工作正在进行中，为保护个人信息，今年实施的第七次全国人口普查将采取电子化方式开展普查登记，可以由普查员使用PAD或智能手机入户登记数据直接上报，也可以由普查对象通过互联网自主填报。
https://k.sina.com.cn/article_2730765330_a2c42c1202000si60.html?from=news&subch=onews
英国武装部队启动首个专用网络军团
英国国防部长本·华莱士近日宣布，随着国防部继续进行现代化改造以应对明天的威胁，新的网络军团已启动，以保护前线作战免受数字攻击。
https://mp.weixin.qq.com/s/F77OENxC9dvLkk4LS_uNXA
二、关键基础设施
一场挫败的网络攻击敲响供水系统安全警钟
5月28日，以色列国家网络安全负责人公开承认，该国4月份挫败了对其供水系统的大规模网络攻击。险些危害公众健康、引发人道灾难的网络攻击，披露出针对供水系统的国家级攻击成为各国忽视、却迫在眉睫的安全威胁。
https://mp.weixin.qq.com/s/YZA4xf7EMCBjwXlE9SiMQQ
美国铁路公司Amtrak遭到入侵导致其用户信息泄露
美国国家铁路旅客公司Amtrak于4月16日晚上确定有未知的第三方对其用户的帐户进行未经授权的访问，导致某些Guest Rewards会员的个人信息泄露。该公司的安全团队在检测到入侵后的几个小时内，便采取了响应措施，阻止了黑客的访问，之后重置了Guest Rewards帐户的密码，并为受影响用户提供了为期一年的Experian的IdentityWorks身份盗用保护服务。Amtrak公司并未透露此次事件影响的帐户总数或可能暴露的个人信息类型，但表示没有任何财务数据、信用卡信息或社会安全号码泄露。
https://www.bleepingcomputer.com/news/security/amtrak-resets-user-passwords-after-guest-rewards-data-breach/
暴乱期间黑客入侵芝加哥警局应急无线电系统，干扰警方活动
美国George Floyd之死引发的暴乱期间，黑客入侵了芝加哥警局应急无线电系统，并对警方活动进行干扰。上周末，黑客获得了其无线电系用的访问权，并播放暴动口号和暗示美国种族主义的歌曲。芝加哥警局有部分加密的无线电频率，但是大多数巡逻警员使用的无线电还是易被攻击的。这导致了警员在执行任务时无法使用对讲机与调度员联系，或是寻求帮助。公共安全信息技术的Dan Casey表示，这样做非常危险。目前，地方和联邦调查局已经对此事展开调查。
https://www.infosecurity-magazine.com/news/chicago-police-scanner-jammed-amid/
美国核武器承包商遭Maze勒索软件攻击
多份报道称，负责维护美国 MinuteManIII 核武库的美国军事承包商 Westech International遭 Maze 勒索软件的感染，黑客窃取了大量敏感信息。
https://threatpost.com/nuclear-contractor-maze-ransomware-data-leaked/156289/
三、安全事件
微博泄露数据被美国情报公司购得
关于微博5亿账户手机号以及对应uid的数据泄露事件，想必都知道的差不多了，事到如今，每一次重大的数据泄露，总有人会去购买，尤其是这种能够窥探相当一部分中国人的重大隐私的数据，这不，上期介绍的“暗网泄漏的两千万多台湾省公民数据库”的买家，美国网络情报公司Cyble又出手了。
https://nosec.org/home/detail/4475.html
暗网藏2千万台湾公民的数据档案
Cyble的安全专家在暗网中发现了一个数据库，其中包含超过2000万台湾公民的详细信息。根据专家的说法，泄漏包括所有的政府数据，该泄漏是由知名黑客网上开展的，并以绰号“ Toogod”上线。
https://securityaffairs.co/wordpress/103990/deep-web/taiwan-db-dark-web.html
勒索软件锁定加拿大NFN城市保护
Nipissing原住民政府拦截了某勒索软件攻击，所幸未造成通信中断。该攻击于5月8日被发现，并影响了管理的所有部门，但大部分网络仍未受影响。
https://www.bleepingcomputer.com/news/security/ransomware-locks-down-the-nipissing-first-nation/
Sodinokibi勒索软件公开了从英国电力交易机构Elexon窃取的文件
5月，英国电力交易机构Elexon 遭受了网络攻击，其系统已被Sodinokibi勒索软件感染。该事件影响了该公司的内部IT网络，包括公司的电子邮件服务器和员工笔记本电脑，导致员工无法发送或接收电子邮件。
https://securityaffairs.co/wordpress/104149/cyber-crime/sodinokibi-published-elexon-files.html
四、漏洞事件
Talos披露Zoom中两个漏洞，可被利用执行恶意代码
思科Talos的研究人员披露了Zoom中的两个漏洞，这些漏洞可能导致远程攻击者通过聊天功能入侵受害者的系统。这两个均为路径遍历漏洞，攻击者可以利用这些漏洞写入或植入任意文件，以执行恶意代码。其中第一个漏洞被跟踪为CVE-2020-6109，与Zoom处理动画GIF的方式有关，Zoom没有检查GIF源，从而使攻击者可以发送特制的GIF进行攻击。第二个漏洞是被跟踪为CVE-2020-6110，该漏洞位于Zoom处理包括共享代码段在内的消息的方式中。这两个漏洞都影响了Zoom 4.6.10版本，并且该公司在其4.6.12版本中修复了他们。
https://securityaffairs.co/wordpress/104249/hacking/zoom-security-flaws.html
Windows CardSpace服务本地权限提升漏洞（CVE-2020-1066）
漏洞更新于2020年5月.漏洞来自于Windows7和Windows Server 2008 R2的Windows CardSpace服务(简称idsvc),该服务可由任意用户启动,本身以System权限运行,并提供公开的RPC调用,服务在由用户触发移动位于当前用户环境变量%APPDATA%目录下指定配置文件时未正确处理符号链接对象,导致任意文件替换的本地权限提升
https://nosec.org/home/detail/4474.html
用友NC反序列化远程命令执行漏洞
用友NC产品是面向集团企业的世界级高端管理软件，市场占有率在同类产品中已经达到亚太第一，已在8000家集团企业中应用，国内用户涵盖大多数关键基础设施运营单位。用友NC综合利用最新的互联网技术、云计算技术、移动应用技术等，通过构建大企业私有云来全面满足集团企业管理、全产业链管控和电子商务运营，成为大型集团企业生产运营中必备的一环，其安全性至关重要，一旦攻击者成功攻破该系统，不仅可以获取企业集团财务人员相关信息和运行数据，极易造成公司重要信息泄露，给公司带来极其不良的社会影响和经济损失；而且还可以作为突破口，进一步向基础设施运营企业的生产运营网络渗透，严重危害基础设施网络的生产安全。
https://nosec.org/home/detail/4472.html
Java库fastjson被曝存“高危”远程代码执行漏洞
fastjson 当前版本为1.2.68发布于3月底，日前某安全运营中心监测到，fastjson <= 1.2.68版本存在远程代码执行漏洞，漏洞被利用可直接获取服务器权限，漏洞等级定为“高危”。
https://www.ithome.com/0/490/069.htm
