教育网络安全动态

2021年8月第4期（2021.8.20-8.26）

一、政策要闻

1.《中华人民共和国个人信息保护法》审议通过

8月20日上午，十三届全国人大常委会第三十次会议表决通过《中华人民共和国个人信息保护法》，将于2021年11月1日起实施。

个人信息保护法共8章74条，明确了个人信息处理活动应遵循的原则，构建以“告知-同意”为核心的个人信息处理规则，保障个人在个人信息处理活动中的各项权利，强化个人信息处理者的义务，明确个人信息保护的监管职责，并设置严格的法律责任。全国人大常委会组成人员普遍表示，这部专门法律充分回应了社会关切，为破解个人信息保护中的热点难点问题提供了强有力的法律保障。

（来源：中国人大网）

2.国务院政策吹风会：加强关键信息基础设施安全保护

关键信息基础设施是经济社会运行的神经中枢，是网络安全的重中之重。保障关键信息基础设施的安全，对于维护国家网络安全、网络空间主权和国家安全、保障经济社会健康发展、维护公共利益和公民合法权益都具有十分重大的意义。《关键信息基础设施安全保护条例》（以下简称《条例》）于近日公布，8月24日国务院新闻办公室举行国务院政策例行吹风会，介绍《条例》有关情况。

（来源：人民日报）

3.网信办等五部门发布《汽车数据安全管理若干规定（试行）》

近日，国家互联网信息办公室、国家发展和改革委员会、工业和信息化部、公安部、交通运输部联合发布《汽车数据安全管理若干规定(试行)》(以下简称《规定》)，自2021年10月1日起施行。国家互联网信息办公室有关负责人表示，出台《规定》旨在规范汽车数据处理活动，保护个人、组织的合法权益，维护国家安全和社会公共利益，促进汽车数据合理开发利用。

（来源：网信中国）

4.关键信息基础设施安全保护联盟（筹）在京成立

2021年8月18日，为更好地支撑关键信息基础设施安全保护要求落地实施，由公安部第一研究所、公安部第三研究所、中国信息安全测评中心、国家工业信息安全发展研究中心、中国科学院软件研究所、中国科学院地理科学与资源研究所、路云天网络安全研究院单位共同发起成立的关键信息基础设施安全保护联盟（筹）成立大会在京举办。

来自国家市场监督管理总局、教育部教育管理信息中心和中央企业等五十余家关键信息基础设施安全保护重点单位和网络安全厂商代表，以及北京大学、中国科学技术大学、北京交通大学等高校代表参加本次成立大会。

（来源：安全牛）

5.国家网信办：企业上市须确保国家网络安全

近日，《关键信息基础设施安全保护条例》印发。8月24日下午，在国务院政策例行吹风会上，国家网信办副主任盛荣华表示，积极支持网信企业依法依规融资发展，企业上市必须符合国家的法律法规；必须确保国家的网络安全、关键信息基础设施的安全、个人信息保护的安全等。他还表示，条例出台不是针对外贸以及企业境外上市，而是为了保障关键信息基础设施安全，维护网络安全。

（来源：北京青年报）

6.中方发起“中非携手构建网络空间命运共同体倡议”

8月24日，以“共谋发展，共享安全，携手构建网络空间命运共同体”为主题的中非互联网发展与合作论坛以视频连线方式举办。论坛由中国国家互联网信息办公室主办，来自14个非洲国家及非盟委员会的代表出席论坛。中国国家互联网信息办公室主任庄荣文在论坛开幕式致辞中提出中方发起“中非携手构建网络空间命运共同体倡议”。

（来源：网信中国）

二、技术资讯

7.微软和Google发布浏览器紧急安全更新，应对风险等级为4级高危漏洞

微软和Google已经发布了对其基于Chromium的浏览器中的浏览器漏洞的紧急修复，根据BSI的评估，该漏洞可以通过访问网页或点击链接就可以被利用。这些漏洞被判定为4级风险，意味着它们影响大，容易被利用。微软已经将他们的Edge浏览器更新到92.0.902.78版本，并列出更新后修复的6个漏洞：

CVE-2021-30604、CVE-2021-30603、CVE-2021-30602、CVE-2021-30601、CVE-2021-30599、CVE-2021-30598

不幸的是，目前还没有关于这些漏洞的更多细节。Chrome浏览器也受到同样问题的影响，不过只需重新启动浏览器，就足以安装更新。

（来源：今日头条）

8.中国台湾芯片设计商Realtek的WiFiSDK漏洞影响数百万IOT设备

中国台湾芯片厂商Realtek 发布安全公告称在其软件开发套件和WiFi模块中发现了4个安全漏洞，影响超过65个厂商的200款IoT设备。这4个漏洞分别是：CVE-2021-35392、CVE-2021-35393、CVE-2021-35394、CVE-2021-35395，攻击者利用这些漏洞可以完全黑掉目标设备并以最高权限执行任意代码。

（来源：安全牛）

9.国家漏洞库CNNVD：关于SonicWall Analytics 配置错误漏洞的预警

近日，国家信息安全漏洞库（CNNVD）收到关于SonicWall Analytics 配置错误漏洞（CNNVD-202108-938、 CVE-2021-20032）情况的报送。成功利用漏洞的攻击者可以在未授权的情况下远程执行恶意代码，并最终控制目标设备。SonicWall Analytics 2.5.2518及其之前的版本均受漏洞影响。目前，SonicWall官方已发布版本更新修复了漏洞，建议用户及时确认是否受到漏洞影响，尽快采取修补措施。

（来源：国家漏洞库CNNVD ）

10.OpenSSL 出现严重漏洞，可被用于改变应用数据

OpenSSL Project本周正式推出了OpenSSL 1.1.1l，该版本修补了一个高严重性漏洞，该漏洞能够让攻击者改变应用程序的行为或导致应用程序崩溃。该漏洞的CVE ID 为 CVE-2021-3711，被描述为一个与 SM2 解密有关的缓冲区溢出漏洞。除了上述这个高严重性漏洞以外，OpenSSL还报告了一个CVE ID为CVE-2021-3712的中等程度漏洞，该漏洞可以被利用进行拒绝服务(DoS)攻击。这个问题也已经随着1.1.1l版本的发布得到了修复。

（来源：51CTO）

三、国际视野

11.诺基亚子公司遭遇勒索软件攻击

近日，诺基亚子公司SAC Wireless披露在遭遇勒索软件Conti攻击后发生了数据泄露事件。Conti勒索软件运营者成功入侵其网络、窃取数据(250GB)并加密了系统。

（来源：安全牛）

12.Razer Synapse零日漏洞曝光：插上鼠标即可获得SYSTEM账户权限

安全研究人员jonhat 刚刚在即插即用的Razer Synapse软件中发现了一个零日漏洞，可怕之处在于能够让用户在Windows设备上快速获得SYSTEM级别的管理员账户权限。作为一家知名的游戏外设制造商，Razer官方宣称该软件在全球超过1亿用户使用。

（来源：今日头条）

13.微软云平台暴露3800万条客户数据：因默认配置不当

微软低代码开发平台Power Apps默认配置不安全，导致上千款应用的3800万条记录在线暴露，记录中包括大量个人敏感信息，美国航空、福特、多个州政府机构等众多组织受影响。虽然情况已经得到控制，但事件再次表明，流行技术平台中的一项错误设置很可能引发深远的影响。

（来源：安全内参）

14.日本加密货币交易所Liquid遭网络攻击，9400万美元失窃

总部位于东京的加密货币交易所Liquid表示，有黑客入侵其服务器，并窃取了按当前汇率估算至少价值9400万美元的加密资产。这是该交易所近一年来第二次遭到大型网络攻击，上一次攻击者通过劫持其DNS基础设施窃取了部分用户数据。

（来源：安全内参）

以上内容不代表本部门观点，如有侵权请及时联系我们。