教育网络安全动态

2022年5月第2期（2022.5.7-2022.5.12）

一、政策要闻

1.《北京市数字经济促进条例（征求意见稿）》公开征集意见

为促进数字经济高质量发展，助力打造全球数字经济标杆城市，落实市委市政府关于加快数字经济立法的指示精神，北京市经济和信息化局会同相关部门起草了《北京市数字经济促进条例(征求意见稿)》，现面向社会公开征求意见。

《北京市数字经济促进条例(征求意见稿)》中特设专章明确数字经济安全保护规定，明确市、区人民政府及有关部门应当建立健全数据安全工作协调机制，完善数据分类分级、安全风险评估和安全保障措施，强化监测预警和应急处置，提升全市数据安全保护水平，切实维护国家主权、安全和发展利益，保护个人信息权益。

（来源：北京市经济和信息化局）

2.涉疫未成年人名单遭泄露，检察机关通过公益诉讼程序落实个人信息保护

不久前，网上突然流传出一份名为“某某路某班人员信息表（家长一起转运）”的文档，文档中泄露了某学校一个班级包括新冠肺炎确诊病例在内的47名学生的姓名、身份证号、家庭住址、联系电话以及集中隔离的起止时间等详细信息。疫情防控常态化下，一些涉疫人员因个人信息被泄露而遭受网络暴力。面对这样的情况，成年人尚且不敌，更遑论未成年人了。未成年人的个人信息一旦遭到泄露，后果不堪设想。

《个人信息保护法》专门设立了公益诉讼条款，明确将个人信息保护纳入检察公益诉讼法定领域。随后辛集市法院对上述案件作出一审判决：法院以侵犯公民个人信息罪对涉案人员作出拘役四到五个月不等的处罚，并处罚金。同时要求涉案人员删除全部所掌握的受侵害的未成年人信息，并在国家级媒体上公开赔礼道歉。

（来源：检察日报）

3.公安部：2021年共侦办侵犯公民个人信息案9800余起

5月7日，公安部召开新闻发布会，公安部新闻发言人李国忠表示，一年来，维护网络空间安全和网上秩序成效显著，深入贯彻《数据安全法》《个人信息保护法》，共侦办侵犯公民个人信息案件9800余起，抓获犯罪嫌疑人1.7万名。

（来源：光明网）

二、技术资讯

4.Apache重大漏洞通报

Apache Struts2安全漏洞（CNNVD-202204-3223、CVE-2021-31805）：成功利用此漏洞的攻击者，可在目标服务器远程执行恶意代码,进而控制目标服务器。Apache Struts2.0.0至2.5.29版本均受漏洞影响。目前，Apache官方已发布新版本修复了漏洞，请用户及时确认是否受到漏洞影响，尽快采取修补措施。

（来源：CNNVD）

5.CNNVD关于F5 BIG-IP 访问控制错误漏洞的通报

近日，国家信息安全漏洞库（CNNVD）收到关于F5 BIG-IP 访问控制错误漏洞（CNNVD-202205-2141、 CVE-2022-1388）情况的报送。攻击者可在未授权的情况下远程执行命令、创建或删除文件、开启或关闭服务等。F5 BIG-IP 16.1.0-16.1.2版本、15.1.0-15.1.5版本、14.1.0-14.1.4版本、13.1.0-13.1.4版本、12.1.0 - 12.1.6版本、11.6.1-11.6.5版本等多个版本均受此漏洞影响。目前，F5官方已经发布了新版本修复了漏洞，建议用户及时确认是否受到漏洞影响，尽快采取修补措施。

（来源：CNNVD）

6.微软官方发布最新漏洞通告

微软官方发布了Microsoft Windows Network FileSystem代码注入漏洞（CNNVD-202204-3112、CVE-2022-24491）、Microsoft Windows Remote Procedure Call Runtime 代码注入漏洞（CNNVD-202204-3019、CVE-2022-26809）等多个漏洞：成功利用上述漏洞的攻击者可以在目标系统上执行任意代码、获取用户数据、提升权限等。微软多个产品和系统受漏洞影响。目前，微软官方已经发布了漏洞修复补丁，建议用户及时确认是否受到漏洞影响，尽快采取修补措施。

（来源：CNNVD）

7.正在进行的攻击中发现了新的隐身Nerbian RAT恶意软件

一种名为Nerbian RAT的新型远程访问木马已被发现，该木马具有丰富的功能，包括逃避研究人员检测和分析的能力。新的恶意软件变种是用Go编写的，这使其成为一种跨平台的64位威胁，目前它通过一个小型电子邮件分发活动进行分发，该活动使用带有宏的文档附件。

（来源：汇能云安全)

三、国际视野

8.FBI、CISA和NSA警告称黑客越来越多地以MSP为目标

五眼情报联盟（FVEY）成员近日警告管理服务提供商（MSP）及其客户，他们越来越成为供应链攻击的目标。来自FVEY国家的多个网络安全和执法机构（NCSC-UK、ACSC、CCCS、NCSC-NZ、CISA、NSA和FBI）为MSP提供了共同指导，以保护网络和敏感数据免受这些不断上升的网络威胁。联合顾问写道：“英国、澳大利亚、加拿大、新西兰和美国网络安全部门预计，恶意网络行为者，包括国家赞助的高级持续威胁（APT）组织，将加大针对MSP的力度，以利用供应商-客户-网络信任关系”。

（来源：汇能云安全）

9.拜登政府正在起草旨在收紧美中数据交易的行政命令

据了解相关情况的消息人士透露，拜登政府目前正在起草一份旨在收紧美中两国间数据交易的行政命令，以防止中国等对手的企业从与美国企业的商业数据交易中获取或访问美国公民敏感信息。这个新的行政命令若最终得到落实，也将赋予美国司法部审查并禁止“可能具有美国国家安全风险”之商业数据交易活动的新权力。目前美国联邦政府各相关部委正在为上述新行政命令的起草提供意见建议，如美国卫生与公众服务部（HHS）就正在编写有关“确保包括项目资助在内的美国政府援助资金不被用于支持向对手国拥有、控制或管辖下的实体输送美国公民健康及生物数据的研究项目”的规则。

（来源：汇能云安全）

10.英国公布《数据改革法案》：创建一个世界级的数据权利制度

近日，英国举行国家议会开幕式。按照惯例，英国君主在开幕式上宣读政府的施政纲要。鉴于英国女王伊丽莎白二世行动不便，英国王储查尔斯王子在议会开幕仪式上首次代替英女王发表演讲。演讲中，英国公布了一项新的《数据改革法案》（Data reform bill），旨在指导英国偏离欧盟隐私立法。该法案将用于改革英国现有的《通用数据保护条例》（GDPR）和《数据保护法案》（Data Protection Act）。行业代表认为英国可以从这一改革中受益，改革将有利于英国经济的发展，然而，也有人担心此举会提高英国与欧盟交换数据的成本，如果操作不当，最终会使经济损失大于收益，并且可能危及英国的“数据充分性地位”。这意味着企业在接收来自欧盟的数据时将面临更高的合规成本。

（来源：汇能云安全）

以上内容不代表本部门观点，如有侵权请及时联系我们。