六方云安全态势周刊丨第243期

来自美国东北大学和鲁汶大学的学者披露了一组IEEE 802.11 Wi-Fi协议标准的一个基础设计漏洞，影响到运行Linux、FreeBSD、Android和iOS的各种设备。研究人员在本周发表的一篇论文中披露，利用这一漏洞可以劫持TCP连接、拦截客户端和web流量。主要手段是利用终端设备的电源节能机制，诱使接入点泄露数据帧，或使用全零密钥对其进行加密。

https://www.freebuf.com/news/362195.html

2、QNAP发布更新，修复其NAS设备中的Sudo提权漏洞

据3月29日报道，QNAP修复了基于Linux的网络附加存储(NAS)设备中的Sudo提权漏洞。该漏洞追踪为CVE-2023-22809，被描述为“在Sudo1.9.12p1版本中使用sudoedit时绕过sudoers策略”。成功利用该漏洞，攻击者可以通过将任意条目添加到要处理的文件列表后编辑未经授权的文件来提升权限。该公司已经解决了QTS和QuTS hero平台中的漏洞，并在努力提供QuTScloud和QVP安全更新。

https://redqueen.tj-un.com/InfoDetails.html?id=45952c1ccd934e76ae3816abdf4b5242

05.

政策监管

1、四部门联合发布《关于开展网络安全服务认证工作的实施意见》

为推进网络安全服务认证体系建设，提升网络安全服务机构能力水平和服务质量，根据《网络安全法》《认证认可条例》，市场监管总局、中央网信办、工业和信息化部、公安部就开展国家统一推行的网络安全服务认证工作提出意见。

意见中提到网络安全服务认证目录由市场监管总局会同中央网信办、工业和信息化部、公安部根据市场需求和产业发展状况确定并适时调整，现阶段包括检测评估、安全运维、安全咨询和等级保护测评等服务类别。认证规则和认证标志由市场监管总局征求中央网信办、工业和信息化部、公安部意见后另行制定发布。

http://www.cac.gov.cn/2023-03/29/c_1681731020460560.htm

2、市场监管总局公布《互联网广告管理办法》

为切实维护广告市场秩序，保护消费者合法权益，推动互联网广告业持续健康发展，近日，市场监管总局修订发布了《互联网广告管理办法》（以下简称《办法》），《办法》将于2023年5月1日起施行。

《办法》适应我国互联网广告业发展新特点、新趋势、新要求，对原《互联网广告管理暂行办法》进行修改完善，创新监管规则，进一步细化互联网广告相关经营主体责任，明确行为规范，强化监管措施，对新形势下维护互联网广告市场秩序，助力数字经济规范健康持续发展具有重要意义。

https://gkml.samr.gov.cn/nsjg/fgs/202303/t20230320_353974.html

06.

安全标准

1、《国家汽车芯片标准体系建设指南（2023版）》（征求意见稿）发布

为系统部署和科学规划汽车芯片标准化工作，引领和规范汽车芯片技术研发和匹配应用，推动汽车芯片产业的健康可持续发展，工业和信息化部科技司组织有关单位编制完成了《国家汽车芯片标准体系建设指南（2023版）》（征求意见稿）

意见稿中提到汽车芯片标准体系技术结构，根据标准内容分为基础通用、产品与技术应用和匹配试验三类标准：基础通用类标准包含汽车芯片的共性要求；产品与技术应用类标准基于各类汽车芯片产品技术和应用特点分为多个技术方向，结合我国汽车芯片产业成熟度和发展趋势确定标准制定需求，制定相应标准；匹配试验类标准包含芯片与系统和整车两个层级的匹配试验验证。三类标准共同实现不同应用场景下汽车关键芯片从器件-模块-系统-整车的技术标准全覆盖

https://www.miit.gov.cn/gzcy/yjzj/art/2023/art_51d111baad0d4bf8980f29bc2173b01d.html

2、《区块链和分布式记账技术标准体系建设指南（2023版）》（征求意见稿）发布

区块链和分布式记账技术标准体系结构包括A-基础、B-技术和平台、C-应用和服务、D-开发运营、E-安全保障五个部分，主要反映标准体系各部分的组成关系。

https://www.miit.gov.cn/gzcy/yjzj/art/2023/art_e0217500160748019de8590225400065.html

3、三部门颁布数据安全工程技术人员国家职业标准

根据《中华人民共和国劳动法》《中华人民共和国职业教育法》有关规定，人力资源社会保障部、中央网信办、工业和信息化部共同制定了数据安全工程技术人员国家职业标准。

该《标准》在充分考虑产业结构变化、市场需求的发展和科技进步对数据安全工程技术人员专业要求的基础上，以客观反映数据安全发展水平及从业人员的专业能力要求为目标，对数据安全工程从业者的专业活动内容进行规范细致描述，明确了各等级专业技术人员的工作领域、工作内容以及知识水平、专业能力和实践要求。《标准》提到依据有关规定将本职业分为初级、中级、高级三个等级，包括职业概况、基本要求、工作要求、权重表和附录五个方面内容。

http://www.mohrss.gov.cn/xxgk2020/fdzdgknr/qt/gztz/202303/t20230327_497436.html

4、两部门颁布密码工程技术人员国家职业标准

近日，人力资源社会保障部联合国家密码管理局发布《密码工程技术人员国家职业标准（2023年版）》 (以下简称《标准》)。该《标准》为首次制定, 依据有关规定将本职业分为初级、中级、高级三个等级, 包括职业概况、基本要求、工作要求、权重表四个方面的内容。

http://www.mohrss.gov.cn/xxgk2020/fdzdgknr/qt/gztz/202303/t20230327_497435.html

安全态势周刊

News information

六方云 安全态势周刊丨第243期

六方云安全态势周刊丨第243期