一周安全头条(20191222-1228)
作者:星期六, 十二月 28, 20190

行业动态 政策法规 个人信息保护近日,备受关注的个人信息保护法明年将正式进入立法进程。12月20日,在全国人大常委会法工委举行第三次记者会上,新闻发言人、全国人大常委会法制工作委员会规划室主任岳仲明介绍,2020年的立法工作计划已经全国人大常委会第四十四次委员长会议原则通过,个人信息保护法明年将制定。

行业动态 区块链 扩大试点范围本周二,国家外汇管理局副局长陆磊表示,2020年的一个工作重点是逐步扩大试点范围,拓展区块链技术在跨境融资、宏观审慎管理的应用场景等。外汇局搭建的跨境金融区块链平台,是目前唯一一个中央国家机关在国家互联网信息办公室进行备案的区块链平台。下一步,外汇局将逐步扩大试点范围,拓展区块链技术在跨境融资、宏观审慎管理的应用场景。同时,要推进外汇领域改革开放,进行应对数字货币的前瞻性研究,探索新形势下的外汇监管科技体系建设。

行业动态 5G12月23日,全国工业和信息化工作会议在京召开。会议指出,今年我国面对国内外风险挑战明显上升的复杂局面,较好地完成全年目标任务。网络强国建设取得扎实进展,正式启动5G商用,全国开通5G基站12.6万个。今年,我国网络提速降费年度任务超额完成,“携号转网”全国实行,IPv6基础设施全面就绪。

产品更新 微软 任务管理器 近日,微软被曝计划在“任务管理器”中添加一个新的“架构”列。架构列将显示进程的架构,例如x86,x64或Arm32。微软可能在明年下半年的Windows 10更新当中加入这项新功能。微软也准备在Windows 10 2004(2020年春季更新)任务管理器的“性能”选项卡中增加磁盘类型功能。微软也准备向任务管理器添加了GPU温度监控功能、更新的图形驱动程序应支持WDDM 2.4+版本等。据有关人士介绍,微软有望在4月或5月开始向消费者发布Windows 10 2004(2020年春季更新),其它重大功能更新包括Cloud Recovery,Cortana全新体验,改进的Optional Update体验等。

安全产品 NIST 生物识别 数据库美国国家标准技术研究院 (NIST) 最近发布了三个新的生物识别数据库SD 300,SD 301和SD 302,以加速该领域可重复研究,并为更安全,准确的生物识别系统的开发铺平道路。新增数据库包含不同时间段收集多种类型的生物识别数据文件,包括指纹、面部照片和虹膜扫描等,这些数据主要用于访问授权时进行个人身份认证。根据NIST的说法,这些数据集已删除所有敏感的可识别隐私信息,并且已经获得所有数据提供者授权。

安全产品 后渗透测试 Empire 3.0版本 近日,后渗透测试神器Empire宣布迎来多项重大功能升级的3.0版本。Empire是一款类似Metasploit的PowerShell可视化后期渗透测试框架,建立在密码安全通信和灵活的架构上。Empire实现了无需powershell.exe就可运行PowerShell代理的功能,可快速部署后期漏洞利用模块,从键盘记录器到Mimikatz并且能够适应通信躲避网络检测,所有的这些功能都封装在一个以实用性为重点的框架中。根据BC-security的官方博客,Empire3.0相比之前的2.5版本有了以下重大升级:移植到Python3x、增加大量新的Powershell功能模块、增强的Windows入侵功能、Mimikatz升级到2.2.0版本,以及JA3/S签名随机化。

行业动态 间谍软件 ToTok近日,在中东地区流行的消息应用ToTok被纽约时报认定为阿联酋政府用作间谍工具。报道称,阿联酋政府尝试利用该应用监视用户的每一次通话、动向、关系、声音和图像。据悉,ToTok 的受欢迎程度已超出阿联酋航空。根据最近的Google Play排名,它是沙特阿拉伯、英国、印度、瑞典和其他国家/地区排名前50位的免费应用程序之一。目前,Google已经以违反政策为由将ToTok从应用商店下架,苹果也已在App Store中移除了该应用。已下载的用户如果没有卸载仍然可以使用。目前尚不清楚美国情报部门何时首次确定ToTok是阿联酋情报工具,但一位知情人士说,美国官员已警告一些盟国注意其危险。

漏洞补丁 苹果 iOS13.3 tfp0漏洞 系统越狱在苹果最新的iOS 13.3固件更新中发现了tfp0漏洞,即“task for pid 0”(即内核任务端口)的简称,包括A13处理器在内的iPhone均受影响。据悉,这个漏洞同样存在于A12(X)设备中,通过uncOver可以对最高iOS 12.4.1。目前唯一适用于iOS 13的越狱漏洞是checkra1n,并且仅适用于iPhone X及以下的A7-A11设备。

漏洞补丁 撞库脱库 Twitter 用户数据据外媒报道,一名安全研究员日前表示,他通过利用Twitter Android应用中的一个漏洞将1700万个电话号码跟Twitter用户的账号户匹配了起来。这位名叫Ibrahim Balic的研究人员发现可以通过Twitter的联系人上传功能上传生成的完整的电话号码列表。换言之,如果用户在Twitter上上传了自己的电话号码那么平台就会获取用户数据。对此,Twitter方面表示正在努力确保不让这个漏洞再次遭到利用。据悉,Balic此前因在2013年发现影响苹果开发中心的安全漏洞而出名。

漏洞补丁 Google Chrome  Magellan 2.0漏洞近日,腾讯安全研究员披露了Google Chrome的新Magellan 2.0漏洞。研究人员共发现了 5个漏洞,位于 SQLite 中,统称为Magellan 2.0,这组漏洞允许攻击者在 Google Chrome 内远程运行恶意代码。Google与SQLite官方已确认并修复了漏洞。如果用户使用 2019 年 12月13日前的旧版本 SQLite 或运行低于Chrome 79.0.3945.79并启用了WebSQL的设备,那么可能会受到影响。和Magellan 1.0类似,这组新漏洞是因为SQLite数据库从第三方接受SQL命令输入验证不正确导致的。

漏洞补丁 Citrix 内网访问近日,Positive Technologies专家发现Citrix产品存在一重磅级安全漏洞(CVE-2019-19781),利用这个安全漏洞,攻击者不需要访问任何帐户,就能直接访问公司内网 。据悉,该漏洞会影响该产品的所有版本以及支持该产品的所有平台,包括Citrix ADC和Citrix Gateway 13.0,12.1,12.0,11.1和10.5。截止目前,据估计,158个国家/地区的80,000家公司面临潜在风险,其中大多数在美国 (38%),其次是英国,德国,荷兰和澳大利亚。

黑客攻击 航空安全 Ravn Air12月22日,黑客发起了一次针对Ravn Air航空公司的网络攻击,最终导致飞机维修等关键系统关闭,迫使Ravn Air航空公司取消了至少6个阿拉斯加的航班,影响了约260名乘客。该航空公司在一份书面声明中表示,因为网络攻击迫使其断开了Dash 8的维护系统和备份,因此公司在中午之前取消了所有涉及Dash 8飞机的航班。该航空公司为阿拉斯加的100多个社区提供服务,其中许多社区无法通过公路到达。目前,Ravn Air航空公司正在与美国联邦调查局和网络安全专家合作,以恢复系统并调查网络攻击。

数据泄露 facebook 用户信息近日,网络上曝出了一个包含了2.67亿“脸书”用户信息的数据库。据悉,该数据库包含了大量用户的姓名、用户名和电话号码等信息。据有关人士透露,该数据库上周被人放在一个在线黑客论坛供人下载,全程数据库处于裸露公开状态。随后,研究人员通报了当局,目前这个数据库已经下线。

数据泄露 Wawa 支付卡信息信息安全团队近日发现,700多家天然气和便利连锁店(Wawa)的数千名客户支付卡信息被泄露,泄露信息包括卡号、有效期和客户名称。据悉,黑客自2019年3月起,持续在Wawa商店的销售服务器上安装恶意软件,直到感染付款处理系统。截至目前,该恶意软件已被完全删除,专家建议用户及时查看支付卡对账单,一旦发现任何未经授权的费用,立即通知支付卡发行机构处理。

数据泄露 位置信息 美国居民近日,据Business Insider报道,纽约时报隐私项目接获一个匿名提供的超大隐私数据文件,可是迄今为止有史以来最大,最敏感的隐私文件。该文件包含超过500亿个手机信号 (ping) 精确位置信息(时间段为2016年和2017年),覆盖美国超过1200万人口几个主要城市,包括华盛顿,纽约,旧金山和洛杉矶。专家表示,被泄露的数据经过专业大数据分析人员处理,能够获得令人乍舌的机密信息:包括跟踪总统特朗普的行踪。

 

申明:本文系厂商投稿收录,所涉观点不代表安全牛立场!


相关文章