一、业界动态

1.中美博弈对网络空间的影响：美国扩大进攻性网络行动作用范围

美国总统国家安全顾问约翰·博尔顿在正式场合发言时表示，美国正开始采取进攻性网络措施以应对商业间谍等经济攻击。

https://mp.weixin.qq.com/s/VHBKPVdTGkVNMTkf9gvuSQ

2.个人信息保护法等纳入明年立法规划

备受关注的个人信息保护法明年将正式进入立法进程。12月20日，在全国人大常委会法工委举行第三次记者会上，新闻发言人、全国人大常委会法制工作委员会立法规划室主任岳仲明介绍，2020年的立法工作计划已经全国人大常委会第四十四次委员长会议原则通过，个人信息保护法明年将制定。

http://www.stdaily.com/index/kejixinwen/2019-12/20/content_845493.shtml

3.2019年勒索软件攻击情况分析及未来安全态势展望

2019年，尽管全球勒索病毒的总量有所下降，但是有组织有目的针对企业的勒索病毒攻击越来越多，给全球造成了巨大的经济损失，勒索软件仍然是网络安全最大的威胁，成为作案范围最广、造成经济损失最严重的网络犯罪形式。

https://www.secrss.com/articles/16257

二、工业安全

1.Citrix所有产品存在代码执行漏洞（CVE-2019-19781）

安全专家Mikhail Klyuchnikov在Citrix Application Delivery Controller和Citrix Gateway产品中发现一个严重的代码执行漏洞，该漏洞（CVE-2019-19781）使158个国家的超过8万家公司面临风险。由于利用该漏洞的攻击者无需身份验证即可访问公司的内部网络，因此该漏洞尤其危险。成功利用该漏洞可导致任意代码执行。根据Citrix，该漏洞影响了所有受支持的产品版本和平台，尽管Citrix尚未发布新固件来解决该问题，但该公司已发布了一套针对独立系统和集群的缓解措施，并强烈建议受影响的客户采用它们。

https://www.bleepingcomputer.com/news/security/critical-citrix-flaw-may-expose-thousands-of-firms-to-attacks/

 

三、安全事件

1.RavnAir航空公司遭网络攻击被迫取消6次航班

RavnAir航空公司在遭到网络攻击之后于周六被迫取消至少6次阿拉斯加航班，影响了大约260名乘客。该公司表示，网络攻击迫使其断开了Dash 8飞机的维护系统和后备系统的连接，该地区被迫取消了所有涉及Dash 8飞机的航班。当天下午其航班时间表已恢复正常。该公司已向FBI和其它调查当局报告了这一事件，并雇用了一家网络安全公司来恢复系统。

https://securityaffairs.co/wordpress/95530/cyber-crime/ravnair-alaska-airline-cyberattack.html

2.谷歌警告印度用户：Chrome 79 可能存在泄漏网站密码 bug漏洞事件

据外媒报道，作为浏览器的升级版，Chrome 79有望降低CPU使用率并提高安全性。然而，它还为用户们带来了一些意想不到的东西。实际上，谷歌已经对印度Chrome用户发出相关警告，即Chrome 79被发现有存在泄露密码的情况并要求他们立即更改密码。

https://www.t00ls.net/articles-54418.html

3.Facebook再曝数据泄露事故 波及全球2.67亿用户

Facebook一个数据库泄露，里面包括用户手机号、姓名、ID，任何人都可以通过网络进入数据库，受影响的用户高达2.67亿。因为数据大规模泄露，Facebook用户可能会遭到垃圾邮件、网络钓鱼的侵扰。在Facebook用户ID中包含特殊数据，通过数字可以确定用户名及其它个人信息。

https://www.t00ls.net/articles-54401.html

4.外媒警告地理位置数据可被轻易用于身份识别和个人追踪

纽约时报获得的一份文件指出，在 2016~2017 年的几个月里，有超过 1200 万部智能机被精确定位。尽管相关数据在技术上是匿名的，但报告详细说明了关联特定数据的难易程度。比如结合家庭住址之类的公开信息，就能够轻松地识别和追踪某个特定的用户。对于注重隐私和机密的执法人员、律师、技术人员来说，需要特别提高警惕。

https://www.t00ls.net/articles-54399.html

5.虚假的星球大战网站窃取粉丝信用卡信息

攻击者正利用这波星球大战的热潮，以《星球大战：天行者的崛起》之名诱骗受害者并且窃取其信用卡数据。鉴于这部电影将于12月20日在各大影院上映，钓鱼攻击的黑客们利用想要尽早了解《星球大战》新电影的影迷的心里实行钓鱼

https://www.t00ls.net/articles-54384.html

6.阿联酋社交应用ToTok被发现监视其用户，已被下架

与WhatsApp和Skype相似，阿联酋的用户消息传递应用程序ToTok对外宣称旨在缩短人们之间的距离。但是，美国官员却发现该应用程序的不纯目的。阿拉伯联合酋长国政府一直在利用这款名为ToTok的消息应用跟踪用户，包括但不限于数据挖掘文本对话，通过定位服务收集物理位置以及记录设备使用时的音频

https://www.cnbeta.com/articles/tech/924397.htm

 

四、漏洞事件

1.CNNVD 关于roels、req-tools和dark-magic三个Python第三方恶意库情况的通报

近日，国家信息安全漏洞库（CNNVD）收到关于roels、req-tools和dark-magic三个Python第三方恶意库情况的报送。这三个库分别部署在Python官方的第三方库下载网站（https://pypi.org）上，当用户安装使用上述Python第三方库时可能被安装恶意程序。

http://cnnvd.org.cn/web/bulletin/bulletinById.tag?mkid=172

2.CVE-2019-11484：Ubuntu Whoopsie整数溢出漏洞分析

这是导致堆缓冲区溢出的整数溢出。为了成功利用此漏洞，以获得whoopsie的ASLR偏移量。通过链接这两个漏洞，可以以whoopsie用户身份获得一个shell https://securitylab.github.com/research/ubuntu-whoopsie-CVE-2019-11484