教育网络安全动态

2022年6月第1期（2022.5.27-2022.6.9）

一、政策要闻

1.国家市场监督管理总局、国家互联网信息办公室联合开展数据安全管理认证工作

根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国认证认可条例》有关规定，国家市场监督管理总局、国家互联网信息办公室决定开展数据安全管理认证工作，鼓励网络运营者通过认证方式规范网络数据处理活动，加强网络数据安全保护。从事数据安全管理认证活动的认证机构应当依法设立，并按照《数据安全管理认证实施规则》实施认证。

（来源：网信中国）

2.北京拟规定回收手机电脑应当面清理数据，维护用户隐私权

以为转卖出去的是二手手机，但是一个转眼，照片、通讯录、电话簿、短信等已经被删除的数据就完全被恢复，各种私人信息自此便流转于无数非法链条之中。而这并非偶然，在央视的报道中提到，有许多商家专门做这种生意，俨然已经形成了一条黑色产业链。近日，北京市市场监督管理局发布地方标准《废弃电器电子产品回收规范》（以下简称《规范》），其中第五条收集过程要求拟对上述担忧做出回应。《规范》拟规定，回收废旧手机、电脑等涉及个人隐私的电子产品时，应当面清理用户个人信息，维护客户隐私权，亦不得向第三方透露客户相关信息。有专家指出，在对手机进行恢复出厂设置时，要注意选择能删除所有存储数据的选项。

（来源：隐私护卫队）

3.关于Microsoft Windows Support Diagnostic Tool 安全漏洞的通报

近日，国家信息安全漏洞库（CNNVD）收到关于Microsoft Windows Support Diagnostic Tool安全漏洞（CNNVD-202205-4277、CVE-2022-30190）情况的报送。成功利用此漏洞的攻击者，可在目标主机执行恶意代码。Windows 11、Windows 10 、Windows 8、Windows 7、Windows Server 2022、Windows Server 2016、Windows Server 2012、Windows Server 2008、Windows Server version 20H2、Windows Server 2022等多个系统版本均受此漏洞影响。目前，微软官方发布了临时修补措施缓解漏洞带来的危害，请用户及时确认是否受到漏洞影响，尽快采取修补措施。

（来源：CNNVD）

二、技术资讯

4.F5 BIG-IP 访问控制错误漏洞通报

F5 BIG-IP 访问控制错误漏洞（CNNVD-202205-2141、CVE-2022-1388）：攻击者可在未授权的情况下远程执行命令、创建或删除文件、开启或关闭服务等。F5 BIG-IP多个版本受此漏洞影响。目前，F5官方已经发布了新版本修复了漏洞，建议用户及时确认是否受到漏洞影响，尽快采取修补措施。

（来源：CNNVD）

5.Microsoft Windows LDAP 输入验证错误漏洞通报

微软官方发布公告更新了Microsoft Windows LDAP 输入验证错误漏洞（CNNVD-202205-2869、CVE-2022-22012）、Microsoft Windows Network File System 输入验证错误漏洞（CNNVD-202205-2781、CVE-2022-26937）等多个漏洞：成功利用上述漏洞的攻击者可以在目标系统上执行任意代码、获取用户数据、提升权限等。微软多个产品和系统受漏洞影响。目前，微软官方已经发布了漏洞修复补丁，建议用户及时确认是否受到漏洞影响，尽快采取修补措施。

（来源：CNNVD）

三、国际视野

6.美国《数据隐私和保护法》首次公布草案全文

6月3日，《美国数据隐私和保护法》草案发布，该法案由美国众议院议员Frank Pallone、众议院能源与商业委员会主席Cathy McMorris Rodgers和参议院商业、科学和运输委员会副主席Roger Wicker共同起草，是首个获得两党、两院支持的全面的关于国家数据隐私和数据安全框架的立法草案。该法案旨在：从国家层面建立一个强有力的框架来保护消费者数据隐私和安全；为美国公民提供广泛的保护，防止数据的歧视性使用；要求相关实体在前端最小化个人数据的收集、处理和传输，从而保障消费者数据的使用仅限于特定产品和服务的合理必要和相称的范围；要求相关实体在特定场景下遵守忠诚义务，同时确保消费者不必为隐私支付对价；要求相关实体允许消费者关闭个性化广告； 为儿童和未成年人提供更大力度的数据保护，包括他们经或未经父母批准可以同意的事项；在整个互联网生态系统中建立平等的监管；促进创新，保障初创企业和小企业成长和竞争的机会。

（来源：App个人信息举报）

7.泰国《个人数据保护法》正式生效，违规泄露隐私或可罚500万泰铢

近日，泰国全国新闻委员会发布公告称，泰国《个人数据保护法》（Personal Data Protection Act B.E.2562，简称PDPA）将于2022年6月1日正式生效。

PDPA最初于2019年5月在泰国皇家公报上颁布，留有一年的宽限期。但由于新冠肺炎疫情的爆发和当地企业对此缺乏准备，泰国政府发布了皇家法令将合规期限延长至2022年6月1日。作为泰国数字经济转型路线中12项数字相关法律之一，泰国数字经济和社会部部长Chaiwut Thanakamanusorn认为，新法律将在促进数字经济发展方面发挥关键作用。在PDPA实施的第一年，政府将只专注于向违规者发出警告并敦促他们遵守法律。第一年的核心任务是保护人民的数据保护权利，同时加大力度提高相关方对法律的认识。

（来源：21世纪经济报道）

8.意大利第五大城市遭网络攻击全城断网

意大利南部巴勒莫市上周末遭受网络攻击，导致全城断网，IT系统瘫痪，给当地旅游业和城市运营带来灾难性影响。巴勒莫拥有约130万人口，是意大利人口第五大城市。该地区每年还有230万游客到访。尽管过去三天中当地IT专家一直在尝试恢复系统，但截至发稿该市所有网络服务，包括公共网站和在线门户都处于离线状态。如果针对巴勒莫市的网络攻击确实是勒索软件，那么发动攻击的组织很可能已经设法窃取了该市的敏感数据以便进行“加密、泄露”双重勒索，这是几年来勒索软件攻击常见的手法。这意味着，巴勒莫市政府可能面临大规模个人隐私数据泄露的风险，并可能因违反GDPR而遭受重罚。

（来源：GoUpSec）

9.美国BIS发布网络安全漏洞出口禁令，全球漏洞共享机制遭严峻挑战

微软表示，Sysrv僵尸网络目前正在利用Spring框架和WordPress中的漏洞，在易受攻击的Windows和Linux服务器上诱捕并部署加密挖掘恶意软件。Redmond发现了一个新的变种（追踪为Sysrv-K），该变种已升级为更多功能，包括扫描未修补的WordPress和Spring部署。微软安全情报团队在Twitter的一条帖子中说，“我们称之为Sysrv-K的新变种具有额外的漏洞利用，可以通过利用各种漏洞获得对web服务器的控制”。

（来源：汇能云安全）

以上内容不代表本部门观点，如有侵权请及时联系我们。