1、国家标准《数据安全技术 个人信息保护合规审计要求》公开征求意见
根据《全国网络安全标准化技术委员会标准制修订工作程序》要求，现将该项标准征求意见稿面向社会公开征求意见。标准相关材料已发布在网安标委网站，如有意见或建议请于2024年9月11日24:00前反馈秘书处。
https://www.tc260.org.cn/front/bzzqyjList.html?start=0&length=10
2、德国将把华为设备清除出其5G移动网络
据《华尔街日报》报道，德国计划在2029年底之前，从其5G移动网络中完全移除中国制造的组件。这一决定旨在解决多年来的争论，并回应美国对该问题的安全警告。德国讨论限制使用中国（5G）设备/部件已有六年，此前尽管美国不断施压，前总理默克尔政府出于成本和反制担忧，一直拒绝出台禁令。
https://cn.wsj.com/articles/germany-to-remove-huawei-from-mobile-networks-38c8cf00
3、英国发布工控网络事件响应实践指南
安全内参7月8日消息，英国政府的网络安全部门发布了一份新指南，旨在帮助全球各地的公司更好地保护操作技术（OT）和工业控制系统（ICS）硬件。这份指南由可信互联网络-物理系统研究所（RITICS）发布，概述了公司为避免嵌入式技术受到攻击应采取的建议和最佳实践。RITICS由伦敦帝国理工学院主办，受到英国国家网络安全中心（NCSC）等机构联合发起和赞助。
https://www.scmagazine.com/news/uk-government-advises-best-practices-for-embedded-device-security
1、电梯SCADA系统成跳板！黑客组织利用电梯管理服务器攻击俄罗斯IT公司
俄罗斯公司Tekon-Avtomatika，专业开发电梯自动化管理和调度系统，于2024年7月8日遭受了东欧黑客组织Lifting Zmiy的网络攻击。攻击者利用SCADA系统中控制器的安全漏洞，将服务器放置在被黑设备上，进而对其他目标发起攻击。尽管黑客没有直接影响电梯运行，但暴露了潜在的安全风险。受影响的组织包括政府部门、IT公司和电信企业等。
https://tadviser.com/index.php/Company:Tecon-Automatics_NGO
1、CRYSTALRAY黑客利用SSH-Snake工具入侵超过1,500个操作系统
一个名为CRYSTALRAY的新黑客组织利用SSH-Snake开源蠕虫感染服务器，目前已有超过1,500个主机的凭证被盗，并被部署了挖矿病毒。SSH-Snake开源蠕虫会窃取受害服务器上的SSH私钥，并利用这些私钥横向移动到其他服务器上，同时在遭受感染的服务器上投放其他有效载荷。
https://www.bleepingcomputer.com/news/security/crystalray-hacker-expands-to-1-500-breached-systems-using-ssh-snake-tool/
2、南非矿业巨头遭网络攻击：被迫隔离IT系统 企业运营受干扰
安全内参7月12日消息，全球最大的铂金和黄金生产商之一、南非矿业巨头Sibanye-Stillwater近日透露，其全球IT系统遭受了网络攻击。该公司向利益相关者发出通知，表示已经实施了安全措施以隔离其IT系统并保护关键数据。
https://mybroadband.co.za/news/security/544063-south-african-mining-giant-hacked.html
3、国家医保系统泄露超4200万用户数据，菲律宾国企高管遭议会公开质询
安全内参7月10日消息，去年秋天，菲律宾发生一起勒索软件攻击，超过4200万人的健康信息被泄露。然而，负责管理全民医保系统的政府机构未能通知受害者，该国议员们正对此进行猛烈抨击。
https://therecord.media/philippine-lawmakers-want-answers-data-breach
4、哥伦比亚政府机构海量数据遭泄露
哥伦比亚政府机构的数据库目前正在暗网论坛上出售，出售内容包含用户数据以及对该数据库的访问权限，泄露用户数据包括用户 ID、号码、电子邮件、PDF 发票、用户文档等。根据黑客于暗网发布的帖子，涉嫌泄露数据库行数超过 1500000行，总计数据量大小为4655380条。黑客以 1100 美元的价格出售数据库，以 2200 美元的价格出售数据库以及数据访问权限。
https://www.secrss.com/articles/67871
1、RADIUS网络身份验证协议存在漏洞，可导致中间人攻击
安全人员发现RADIUS网络身份验证协议中存在一个名为BlastRADIUS的安全漏洞，攻击者可以利用该漏洞发起中间人(MitM)攻击并在某些情况下绕过完整性检查。RADIUS是远程身份验证拨入用户服务的缩写，是一种客户端/服务器协议，为连接和使用网络服务的用户提供集中身份验证、授权和记帐(AAA)管理。目前，该漏洞的编号为CVE-2024-3596，CVSS评分为9.0，影响通过互联网发送RADIUS/UDP流量的网络，漏洞原因是在验证来自RADIUS服务器的身份验证响应时，加密数据的完整性检查不够安全。
https://thehackernews.com/2024/07/radius-protocol-vulnerability-exposes.html
2、GitLab漏洞CVE-2024-6385可致攻击者以其他用户身份运行管道
GitLab警告称，其产品GitLab社区版和企业版中存在一个严重漏洞，允许攻击者像任何其他用户一样运行管道作业。目前，该攻击的漏洞编号为CVE-2024-6385，其CVSS评分为9.6。该漏洞影响GitLab CE/EE的所有版本，从15.8到16.11.6、17.0到17.0.4以及17.1到17.1.2。
https://www.bleepingcomputer.com/news/security/gitlab-warns-of-critical-bug-that-lets-attackers-run-pipelines-as-an-arbitrary-user/
3、ServiceNow多个高危漏洞安全风险通告
ServiceNow UI Jelly模板注入漏洞(CVE-2024-4879) 和 ServiceNow Glide表达式注入漏洞(CVE-2024-5217)。ServiceNow的Jelly模板和Glide表达式由于输入验证不严格，存在注入漏洞。这些漏洞可以被未经身份验证的攻击者通过构造恶意请求利用，在ServiceNow中远程执行代码。
https://www.assetnote.io/resources/research/chaining-three-bugs-to-access-all-your-servicenow-data
1、《互联网信息服务算法推荐合规自律公约》发布仪式在2024年7月11日（第二十三届）中国互联网大会闭幕式上举行。
据介绍，为进一步贯彻落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《互联网信息服务管理办法》《电信和互联网个人信息保护规定》《互联网信息服务算法推荐管理规定》等相关法律法规，保障用户合法权益，促进互联网信息服务行业健康发展，在工业和信息化部信息通信管理局的指导下，中国互联网协会联合中国信息通信研究院研究起草《互联网信息服务算法推荐合规自律公约》，得到相关单位的积极响应。
https://www.isc.org.cn/article/21391127816433664.html
1、贵州省大数据局公开征求《贵州省公共数据授权运营管理办法（试行）》（征求意见稿）的意见。
为贯彻落实党中央、国务院关于构建数据基础制度、公共数据资源开发利用等决策部署，规范公共数据授权运营，有效挖掘数据资源价值，促进数字经济发展，贵州省大数据发展管理局牵头起草了《贵州省公共数据授权运营管理办法（试行）》（征求意见稿）。为广泛听取意见建议，深化我省公共数据授权运营体系建设，现向社会公开征求意见。
https://dsj.guizhou.gov.cn/xwzx/tzgg/202407/t20240705_85071350.html
