安全热点周报（2023.7.24-2023.7.30）

安全资讯导视

01 武汉地震监测中心遭网络攻击，黑手疑来自美国

02 美国证交会通过新规，上市公司重大网络安全事件需在4天内披露

03 TikTok未修漏洞节省数千万美元，一年后在海外大选期间遭利用

政策法规解读

国家金融监管总局发布《银行保险机构操作风险管理办法（征求意见稿）》

7月28日国家金融监督管理总局官网消息，国家金融监督管理总局发布《银行保险机构操作风险管理办法（征求意见稿）》（以下简称《办法》），公开征求意见。《办法》共六章五十条及附录，包括总则、风险治理和管理责任、风险管理基本要求、风险管理流程和方法、监督管理、附则。《办法》所称操作风险，是指由于内部程序、员工、信息科技系统存在问题以及外部事件造成损失的风险。《办法》提出，规模较大的银行保险机构，应统筹协调业务连续性、外包风险管理、网络安全、数据安全管理和突发事件应对等机制，结合恢复与处置计划工作，提升运营韧性，具备在发生重大风险和外部事件时持续提供关键业务和服务的能力。

原文链接：

http://www.cbirc.gov.cn/chinese/docfile/2023/80806d6d4aeb4385bcc689d3f56ce6a8.doc

美国证交会通过新规，上市公司重大网络安全事件需在4天内披露

7月26日SEC官网，美国证券交易委员会（SEC，以下简称证交会）通过了新规则，要求上市公司发生网络安全事件确认属于重大级别后，在4天内进行信息披露。如果立即披露会带来严重危及国家安全或公共安全，可由司法部致函证交会延迟披露。证券交易委员会主席Gary Gensler表示：“不论是公司失火导致工厂损失，还是网络安全事件造成数百万份文件丢失，都可能对投资者产生重大影响，新规将让信息披露更具有一致性，并令投资者、上市公司和交易市场受益。”新规还要求，上市公司每年披露网络安全风险管理、战略和治理的重大信息。

原文链接：

https://www.sec.gov/news/press-release/2023-139

中国人民银行发布《中国人民银行业务领域数据安全管理办法（征求意见稿）》

7月24日中国人民银行官网消息，中国人民银行发布《中国人民银行业务领域数据安全管理办法（征求意见稿）》（以下简称《办法》），公开征求意见。《办法》共八章五十七条，包括总则、数据分类分级、数据安全保护总体要求、数据安全保护管理措施、数据安全保护技术措施、风险监测评估审计与事件处置措施、法律责任、附则。《办法》约束的数据处理活动主要包括：货币政策业务、跨境人民币业务、银行间各类市场交易业务、金融业综合统计业务、支付清算业务、货币管理和数字人民币业务、经理国库业务、征信业务、反洗钱业务等领域。《办法》首次提出，数据安全工作遵循“谁管业务，谁管业务数据，谁管数据安全”基本原则。

原文链接：

http://www.pbc.gov.cn/tiaofasi/144941/144979/3941920/4993510/2023071815593395156.pdf

本周安全大事件

武汉地震监测中心遭网络攻击，黑手疑来自美国

7月26日环球网公众号消息，武汉市应急管理局24日发布声明称，该局所属武汉市地震监测中心遭受境外组织的网络攻击，已封存报案处理。据专家组发现，武汉市地震监测中心部分地震速报数据前端台站采集点网络设备遭受网络攻击，初步证据显示网络攻击来自美国。武汉市公安局江汉分局随即发布警情通报，证实在武汉市地震监测中心发现了源于境外的木马程序，该木马程序能非法控制并窃取地震速报前端台站采集的地震烈度数据。该行为对国家安全构成严重威胁。江汉分局已对此案立案侦查，并对提取到的木马样本进一步开展技术分析。

这是继2022年6月西北工业大学遭受境外网络攻击后又一具体案例。有专业人士表示，地震烈度数据指地震的烈度和震级，这是衡量地震破坏力的两个重要指标，尤其是地震烈度代表对地质的破坏程度，烈度越大、破坏性越大，“地震烈度数据与国家安全息息相关，比如一些军事防御设施就需要考虑到烈度等因素。”

原文链接：
https://mp.weixin.qq.com/s/4GZ0mo3DPpWlVLOAMaiONg

外包服务商遭网络攻击，致使英国部分地区救护车系统瘫痪

7月26日The Register消息，瑞典医疗软件公司Ortivus遭受网络攻击，导致托管数据中心环境中的客户系统受影响，多家英国国民健康服务（NHS）的救护车机构难以记录患者数据，或将数据传递给其他医疗服务提供商。受影响的英国西南救护车服务信托、中南救护车服务信托，为英格兰西南部1200万常住人口及2300万游客提供服务。据透露，事件发生后，中南救护车服务信托工作人员无法使用电脑，被迫用纸和笔工作。

原文链接：
https://www.theregister.com/2023/07/26/uk_ambulance_services_cyber_attack

因统一政务系统零日漏洞遭利用，挪威十余个政务平台敏感数据或泄露

7月24日Bleeping Computer消息，挪威政府警告称，黑客利用第三方软件的零日漏洞发动网络攻击，12个部委使用的信息通信技术平台受到影响。挪威政府安全和服务组织在发现网络攻击后通知了挪威国家安全局，并协同警方进行调查。挪威数据保护局已收到有关网络攻击的通报，表明黑客可能已经访问和/或窃取了信息通信技术系统中的敏感数据，导致数据泄露事件。尽管受到攻击的平台在政府的日常运作中扮演着关键角色，但这次网络攻击不会导致工作活动陷入停滞。据悉，此次曝出的零日漏洞（CVE-2023-35078），来自美国软件巨头Ivanti旗下Endpoint Manager Mobile（EPMM）。除总理办公室、国防部、司法与公共安全部、外交部外，挪威其他所有部委均使用该平台。

原文链接：
https://www.bleepingcomputer.com/news/security/norwegian-government-it-systems-hacked-using-zero-day-flaw/

TikTok未修漏洞节省数千万美元，一年后在海外大选期间遭利用

7月18日Forbes消息，土耳其总统埃尔多安险胜连任的几周前，TikTok代理安全主管Kim Albarella收到消息，超70万个土耳其TikTok账户遭到黑客攻击，攻击者能够访问用户个人信息并控制这些账户。TikTok公司承认，这次利用漏洞的黑客攻击是迄今为止规模最大的TikTok账户被攻击事件，已采取措施遏制并终止了相关活动。该漏洞源于所谓的“灰色路由”，即通过不安全的渠道发送短信。据悉，该公司早在一年前就知道这个漏洞。英国国家网络安全中心在2022年4月向TikTok通报了这一问题，警告称如使用灰色路由，攻击者可能会请求和拦截一次性密码，获取TikTok用户账户的访问权限。但TikTok最终未更换短信服务提供商予以修复，据分析，如修复灰色路由问题，公司每月将损失数百万美元。

原文链接：
https://www.forbes.com/sites/emilybaker-white/2023/07/18/turkey-tiktok-hack-presidential-election/

重点关注漏洞

Apache Shiro身份认证绕过漏洞安全风险通告

7月26日，奇安信CERT监测到Apache Shiro身份认证绕过漏洞(CVE-2023-34478)，当Shiro在API或基于非规范化路由请求的Web框架中使用时，攻击者可能利用此漏洞绕过身份验证。目前，奇安信CERT已复现此漏洞，鉴于此产品用量较大，建议客户做好自查及防护。

Metabase远程命令执行漏洞安全风险通告

7月25日，奇安信CERT监测到Metabase官方发布安全更新，修复了Metabase远程命令执行漏洞(CVE-2023-38646)。未经身份认证的远程攻击者利用该漏洞可以在服务器上以运行Metabase服务器的权限执行任意命令。目前，奇安信CERT已复现此漏洞，鉴于此漏洞利用简单，影响较大，建议客户尽快做好自查及防护。

Apple kernel安全特性绕过漏洞安全风险通告

7月25日，奇安信CERT监测到Apple官方发布安全更新，其中包括Apple kernel安全特性绕过漏洞(CVE-2023-38606)。攻击者使用恶意应用程序利用该漏洞能够修改敏感的内核状态，从而可能控制设备。鉴于此漏洞影响范围较大，且已发现在野利用，建议客户尽快做好自查及防护。

完

精彩推荐

本期周报内容由安全内参&虎符智库&奇安信CERT联合出品！