要聞速覽

1、《網(wǎng)絡安全技術 統(tǒng)一威脅管理產(chǎn)品 (UTM) 技術規(guī)范》等15項國家標準公開征求意見

2、《網(wǎng)絡數(shù)據(jù)安全管理條例》發(fā)布，2025年1月1日正式施行

3、Linux曝出9.9分高危漏洞，影響幾乎所有發(fā)行版

4、以明文形式存儲數(shù)億個密碼，Meta被罰1億美元

5、英偉達容器工具包嚴重安全漏洞威脅主機系統(tǒng)安全

6、科威特衛(wèi)生部被黑，致使國內(nèi)多個醫(yī)療服務中斷

一周政策要聞

《網(wǎng)絡安全技術 統(tǒng)一威脅管理產(chǎn)品 (UTM) 技術規(guī)范》等15項國家標準公開征求意見

近日，全國網(wǎng)絡安全標準化技術委員會歸口的《網(wǎng)絡安全技術抗拒絕服務攻擊產(chǎn)品技術規(guī)范》等15項國家標準已形成標準征求意見稿。

根據(jù)《全國網(wǎng)絡安全標準化技術委員會標準制修訂工作程序》要求，現(xiàn)將該15項標準征求意見稿面向社會公開征求意見。標準相關材料已發(fā)布在網(wǎng)安標委網(wǎng)站(網(wǎng)址https://www.tc260.org.cn/front/bzzqyjList.html?start=0&length=10)，如有意見或建議請于2024年11月29日24:00前反饋秘書處。

信息來源：全國網(wǎng)絡安全標準化技術委員會https://www.tc260.org.cn/front/bzzqyjList.html?start=0&length=10

《網(wǎng)絡數(shù)據(jù)安全管理條例》發(fā)布，2025年1月1日正式施行

國務院總理李強日前簽署國務院令，公布《網(wǎng)絡數(shù)據(jù)安全管理條例》（以下簡稱《條例》），自2025年1月1日起施行。

《條例》旨在規(guī)范網(wǎng)絡數(shù)據(jù)處理活動，保障網(wǎng)絡數(shù)據(jù)安全，促進網(wǎng)絡數(shù)據(jù)依法合理有效利用，保護個人、組織的合法權益，維護國家安全和公共利益，《條例》共9章64條。

業(yè)內(nèi)新聞速覽

Linux曝出9.9分高危漏洞，影響幾乎所有發(fā)行版

近日，一個存在十多年的高危遠程代碼執(zhí)行漏洞（評分9.9）在Linux發(fā)行版的CUPS打印系統(tǒng)中被披露，涉及CVE編號CVE-2024-47176、CVE-2024-47076、CVE-2024-47175和CVE-2024-47177。

根據(jù)安全研究人員Simone Margaritelli的報告，CUPS系統(tǒng)中存在幾個關鍵問題，包括cups-browsed服務綁定到UDP端口631并信任來自任何來源的數(shù)據(jù)包，libcupsfilters庫不驗證或清理從IPP服務器返回的屬性，libppd庫在寫入臨時PPD文件時不驗證或清理屬性，以及cups-filters包允許通過FoomaticRIPCommandLine PPD參數(shù)執(zhí)行任意命令。攻擊者可以通過廣域網(wǎng)/公共互聯(lián)網(wǎng)向端口631發(fā)送UDP數(shù)據(jù)包，或通過局域網(wǎng)偽造zeroconf/mDNS/DNS-SD廣告來利用這些漏洞。

數(shù)據(jù)顯示，約7.3萬臺CUPS服務器暴露在互聯(lián)網(wǎng)上，接受來自任何不受信任來源的自定義數(shù)據(jù)包。這些漏洞影響大多數(shù)GNU/Linux發(fā)行版、一些BSD系統(tǒng)、Google Chromium/ChromeOS、Oracle Solaris，以及可能更多打包了CUPS和cups-browsed的系統(tǒng)。安全專家建議用戶采取以下措施：禁用并卸載cups-browsed服務；更新CUPS包以獲取安全更新；如無法更新，阻止UDP端口631；考慮阻止DNS-SD流量。

以明文形式存儲數(shù)億個密碼，Meta被罰1億美元

近日，愛爾蘭數(shù)據(jù)保護委員會（DPC）對Meta處以7.13億元（9100萬歐元）巨額罰款，原因是該公司違反數(shù)據(jù)保護法規(guī)，以明文形式存儲了數(shù)億用戶的密碼。

事件源于2019年1月，Meta在例行安全審查中發(fā)現(xiàn)部分用戶密碼以明文形式存儲在內(nèi)部數(shù)據(jù)存儲系統(tǒng)中。這一發(fā)現(xiàn)引起了公司的高度重視，因為正常情況下，登錄系統(tǒng)應使用特殊技術使密碼不可讀。Meta隨即采取措施修復問題，并承諾通知所有受影響用戶。據(jù)Meta估計，此事件影響數(shù)億Facebook Lite用戶、數(shù)千萬其他Facebook用戶，以及數(shù)萬Instagram用戶。

盡管Meta聲稱這些密碼僅對內(nèi)部人員可見，且未發(fā)現(xiàn)濫用或不當訪問的證據(jù)，但此事仍引發(fā)了嚴重的數(shù)據(jù)安全擔憂。2019年4月，Meta向DPC報告了這一事件，隨后DPC展開了全面調(diào)查。DPC于2024年9月26日做出處罰決定，并表示將在后續(xù)發(fā)布完整決定和更多細節(jié)。

消息來源：FREEBUF  https://www.freebuf.com/articles/412005.html

英偉達容器工具包嚴重安全漏洞威脅主機系統(tǒng)安全

近日，研究人員在英偉達容器工具包中發(fā)現(xiàn)一個嚴重安全漏洞，可能允許攻擊者突破容器限制，獲得對底層主機的完全訪問權限。該漏洞被追蹤為CVE-2024-0132，CVSS評分高達9.0。云安全公司W(wǎng)iz的研究人員介紹，攻擊者可能通過創(chuàng)建惡意容器鏡像來利用這一缺陷。當該鏡像在目標平臺上運行時，攻擊者將獲得對文件系統(tǒng)的完全訪問權限。這種攻擊可能以供應鏈攻擊的形式實現(xiàn)，受害者被欺騙運行惡意鏡像，或通過允許共享GPU資源的服務實現(xiàn)。一旦獲得訪問權限，攻擊者可以訪問容器運行時的Unix套接字，進而以root權限在主機系統(tǒng)上執(zhí)行任意命令，有效控制整個機器。該漏洞對編排的多租戶環(huán)境構成嚴重風險，可能導致攻擊者逃逸容器并獲取同一節(jié)點或同一集群中其他應用程序的敏感數(shù)據(jù)。根據(jù)Wiz Research的數(shù)據(jù)，超過35%的云環(huán)境有可能面臨被該漏洞利用的風險。

該漏洞影響英偉達容器工具包v1.16.1及之前版本，以及英偉達GPU操作員24.6.1及之前版本。英偉達已在容器工具包v1.16.2和GPU操作員24.6.2版本中修復了該問題，并強烈建議用戶及時應用補丁。

消息來源：GoUpSec  https://mp.weixin.qq.com/s/lVeB2gmgIJReur__ghz2yg

科威特衛(wèi)生部被黑，致使國內(nèi)多個醫(yī)療服務中斷

中東國家科威特的衛(wèi)生部日前遭遇網(wǎng)絡攻擊，導致該國多家醫(yī)院的系統(tǒng)癱瘓，國家醫(yī)療應用Sahel也因此下線。該國衛(wèi)生部正在積極從攻擊中恢復。

有關官員表示，調(diào)查揭示了黑客入侵系統(tǒng)的手段，但他們也強調(diào)：“我們已采取所有必要措施，確保初級醫(yī)療中心和公立醫(yī)院的基本和重要醫(yī)療服務正常運行，并保障數(shù)據(jù)安全?！?

聲明中進一步指出：“衛(wèi)生部正與相關政府安全部門緊密合作，控制問題并防止其擴散至其他系統(tǒng)，同時加固和升級安全系統(tǒng)，以更高效地應對潛在漏洞?！?

聲明還提到，黑客未能攻入“核心數(shù)據(jù)庫”，但為進行必要的安全更新，衛(wèi)生部不得不暫時關閉部分系統(tǒng)。

目前尚無任何勒索軟件組織對這次攻擊事件宣稱負責。

https://mp.weixin.qq.com/s/meOfBp8C7o6DVsczYgRz9w

https://www.freebuf.com/news/411878.html

來源:本安全周報所推送內(nèi)容由網(wǎng)絡收集整理而來，僅用于分享，并不意味著贊同其觀點或證實其內(nèi)容的真實性，部分內(nèi)容推送時未能與原作者取得聯(lián)系，若涉及版權問題，煩請原作者聯(lián)系我們，我們會盡快刪除處理，謝謝！