安全态势周刊

News information

六方云 安全态势周刊丨第298期

<<返回

2024年05月22日 16:00

01.

业界动态


1、国家标准《网络安全技术 软件物料清单数据格式》公开征求意见

根据《全国网络安全标准化技术委员会标准制修订工作程序》要求,现将该项标准征求意见稿面向社会公开征求意见。标准相关材料已发布在网安标委网站,如有意见或建议请于2024年7月15日24:00前反馈秘书处。

https://www.tc260.org.cn/front/bzzqyjList.html?start=0&length=10



2、FBI关停BreachForums数据泄露黑客论坛

美国联邦调查局(FBI)关停了臭名昭著的BreachForums黑客论坛,黑客常在该论坛泄露窃取的公司数据并出售给其他网络犯罪分子。该网站现在显示一条消息,指出联邦调查局已控制该网站和后端数据,这表明执法部门查封了该网站的服务器和域名。FBI还查封了该网站的Telegram频道和网站管理员Baphomet拥有的其他频道,执法部门发送消息称该频道已在他们的控制之下。

https://www.bleepingcomputer.com/news/security/fbi-seize-breachforums-hacking-forum-used-to-leak-stolen-data/


3、GPT-4o发布首日即遭“越狱破防”

5 月14 日凌晨的科技圈再一次被OpenAI轰动,其发布的最新大模型GPT-4o,能力横跨语音、文本和视觉,这一成果无疑再次巩固了OpenAI在人工智能领域的领先地位。然而,就在人们对GPT-4o的诞生满怀期待和欢呼之际,一场突如其来的“越狱”行动却悄无声息地展开了。当天,一种针对GPT-4o的特定攻击范式被公开,直接瞄准了它的“软肋”。在该越狱攻击范式下,GPT-4o似乎被“洗脑”,开始毫无顾忌地泄露危险信息,比如“如何制造炸药”和“如何制造冰毒”等敏感话题。这一发布,也算为科技圈的热烈讨论增添了一些冷静和思考。

https://www.secrss.com/articles/66140


02.

关键基础设施


1、GE医疗超声设备感染勒索软件,设备停摆、数据遭篡改

安全研究人员披露了十多个影响通用电气(GE)医疗旗下Vivid系列超声产品的安全漏洞。恶意攻击者可以利用这些漏洞篡改患者数据,甚至在某些情况下安装勒索软件。最严重的漏洞是CVE-2024-27107(CVSS评分:9.6),涉及使用硬编码凭证。研究人员发现的其他缺陷包括命令注入(CVE-2024-1628)、以不必要的权限执行(CVE-2024-27110、CVE-2020-6977)、路径遍历(CVE-2024-1630、CVE-2024-1629)以及保护机制失效(CVE-2020-6977)

https://thehackernews.com/2024/05/researchers-uncover-11-security-flaws.html

03.

安全事件


1欧洲刑警组织确认门户网站遭到破坏

欧盟执法机构欧洲刑警组织确认其欧洲刑警组织专家平台(EPE)门户遭到攻击,目前正在调查这一事件。此前一名攻击者声称他们窃取了包含机密数据的仅供官方使用的重要文件。EPE是执法专家用来“分享犯罪知识、最佳实践和非个人数据”的在线平台。

https://www.bleepingcomputer.com/news/security/europol-confirms-web-portal-breach-says-no-operational-data-stolen/


2国内多地3万余条新生儿信息被倒卖,背后非法产业链曝光

“免费上门给宝宝拍照”“早教班免费试听”……很多新生儿父母都接到过各种关于新生儿相关的推销电话,对方不仅能在孩子的各个生长阶段“按需推销”,还能准确说出孩子和父母的信息。而这背后已经形成了一条非法买卖、使用新生儿个人信息的产业链。

https://www.secrss.com/articles/66247


3欧洲银行巨头所有员工和多国客户数据泄露

桑坦德银行(Banco Santander SA)宣布,遭遇一起数据泄露事件,客户受到影响。事件起因是一名未经授权的人员访问了该银行某个第三方服务提供商托管的数据库。

https://www.bleepingcomputer.com/news/security/banco-santander-warns-of-a-data-breach-exposing-customer-info/


04.

漏洞事件


1、数百万物联网设备受到Telit Cinterion蜂窝调制解调器漏洞攻击的风险

研究人员在广泛部署的Telit Cinterion调制解调器中发现了七个漏洞,其中包括未经身份验证的RCE问题。卡巴斯基实验室的研究人员发现了这些漏洞,并于去年11月向Telit报告了总共七个漏洞。卡巴斯基本周发布了一份关于其发现的报告,称Telit出于众所周知的原因已经发布了补丁来修补了一些漏洞,但不是全部。

https://www.darkreading.com/ics-ot-security/millions-of-iot-devices-at-risk-from-flaws-in-integrated-cellular-modem

2、微软披露Android应用中普遍存在的严重漏洞

微软近日发现了一种名为“Dirty Stream”的攻击技术,可能允许黑客控制应用程序并窃取敏感数据,影响多个广泛使用的Android应用程序,数十亿设备面临风险。据分析,问题出现在Android的数据和文件共享系统的内容提供程序组件及其“FileProvider”类中。谷歌表示,FileProvider是ContentProvider的子类,旨在为服务器应用程序提供与客户端应用程序共享文件的安全方法。然而,如果客户端应用程序未正确处理服务器应用程序提供的文件名,那么攻击者就可能以恶意的FileProvider覆盖客户端应用程序特定存储中的文件。

https://www.microsoft.com/en-us/security/blog/2024/05/01/dirty-stream-attack-discovering-and-mitigating-a-common-vulnerability-pattern-in-android-apps/



05.

安全标准


1、中央网信办等四部门印发《2024年数字乡村发展工作要点》

中央网信办、农业农村部、国家发展改革委、工业和信息化部联合印发《2024年数字乡村发展工作要点》。通知要求,深入贯彻落实习近平总书记关于乡村振兴的重要指示批示精神和中央经济工作会议、中央农村工作会议精神,认真落实《中共中央 国务院关于学习运用“千村示范、万村整治”工程经验 有力有效推进乡村全面振兴的意见》(中发〔2024〕1号)部署要求,深入实施《数字乡村发展战略纲要》《数字乡村发展行动计划(2022—2025年)》,以信息化驱动引领农业农村现代化,促进农业高质高效、乡村宜居宜业、农民富裕富足,为加快建设网络强国、农业强国提供坚实支撑。

https://www.cac.gov.cn/2024-05/15/c_1717449026412502.htm



06.

政策发布


1、福建省数字福建建设领导小组发布《2024年数字福建工作要点》

2024年数字福建工作的总体要求是:以习近平新时代中国特色社会主义思想为指导,全面贯彻落实党的二十大精神和二十届二中全会精神,传承弘扬习近平总书记关于数字福建的重要理念和重大实践,按照省委省政府工作部署,深入贯彻落实《数字中国建设整体布局规划》,发挥“数据要素×”效应,推动数字赋能千行百业,全面提升数字福建建设的整体性、系统性、协同性,为奋力推动中国式现代化福建实践提供强有力的数字支撑。

https://fgw.fujian.gov.cn/zwgk/xwdt/bwdt/202405/t20240512_6447471.htm