亚马逊因滥用算法在英国面临集体诉讼：隐藏更优惠的交易来增加自家产品曝光率

• Ring 0级固件威胁：新型UEFI rootkit恶意软件BlackLotus曝光

最近引发广泛讨论的“BlackLotus”，属于一款相当全能的固件级 rootkit 恶意软件。特点是能够躲过各种删除操作，以及绕过先进的 Windows 防护措施。此前这类高级攻击能力，仅被拥有深厚背景的机构所拥有，比如情报威胁组织。然而据报道，一款更新、更强大的 UEFT rootkit，正被人挂到暗网论坛上叫卖。

• Ring摄像头被指用来控制和监视过度劳累的送货员工

根据数据与社会技术研究机构最近的一份报告，像亚马逊的Ring这样的网络门铃监控摄像头随处可见，并且通过让客户扮演老板的角色来监督、控制和管教员工来改变快递工作的性质。

• 亚马逊因滥用算法在英国面临集体诉讼：隐藏更优惠的交易来增加自家产品曝光率

据近日国外媒体报道，亚马逊在英国面临集体诉讼，被指控使用“秘密”算法滥用其在在线市场的主导地位。负责该案的律所 Hausfeld 宣称，亚马逊通过在 Buy Box 功能中使用一种“隐秘且自利的算法”，隐藏更优惠的交易来增加自己产品的曝光，从而让数百万客户支付更高的价格。

• 国家漏洞库CNNVD：关于Oracle多个安全漏洞的通报

近日，Oracle官方发布了多个安全漏洞的公告，其中Oracle产品本身漏洞85个，影响到Oracle产品的其他厂商漏洞221个。包括Oracle E-Business Suite 安全漏洞（CNNVD-202210-1279、CVE-2022-21587）、Oracle E-Business Suite 安全漏洞（CNNVD-202210-1220、CVE-2022-39428）等多个漏洞。成功利用上述漏洞的攻击者可以在目标系统上执行任意代码、获取用户数据，提升权限等。Oracle多个产品和系统受漏洞影响。目前，Oracle官方已经发布了漏洞修复补丁，建议用户及时确认是否受到漏洞影响，尽快采取修补措施。

• 微软数据泄露暴露全球111个国家超6.5万实体的客户个人信息

微软表示，由于一台服务器配置不当，导致某些客户的敏感信息遭暴露。微软在近日获悉该泄露事件后加固了服务器安全，“配置不当可导致对微软与客户之间的某些企业交易数据的未认证访问权限。经过调查未发现客户账号或系统受陷。我们已直接告知受影响客户。”微软表示，遭暴露的信息包括姓名、邮件地址、邮件内容、公司名称和电话号码，以及文件，而这些文件与受影响客户和微软或越权微软合作伙伴之间的业务相关联。

• IDC：2022上半年中国网络安全服务市场规模达12.3亿美元

据统计，上半年IT安全教育与培训市场增速最快，规模同比增长达到33%。其中，疫情之下，众多安全从业者/学生选择通过考证来提升其技能水平，这使得认证培训市场在上半年快速发展。除此之外，安全实训演练测试平台与服务在国家政策、大型活动、竞赛、科研等需求的推动下也实现了超高速增长。目前，该市场已经成为了推动企业级培训市场增长的主要推动力。

• 专家发现，包含我国在内的数百万的.git文件夹暴露在公众面前

Cybernews的研究人员对最常见的网络服务端口80和443进行了研究，发现有1,931,148个IP地址的实时服务器的.git文件夹结构可以被公众访问。"让公众访问.git文件夹可能会导致源代码的暴露。从.git文件夹中获取部分或全部源代码所需的工具是免费的，而且是众所周知的，这可能会导致更多的内部泄露，或者让恶意行为者更容易进入系统，"Cybernews的研究员Martynas Vareikis说。

• 微软Azure SFX漏洞可导致Service Fabric集群遭劫持

攻击者可利用Service Fabric Explorer 中的一个欺骗漏洞获得管理员权限并劫持 Azure Service Fabric 集群。该漏洞已修复。Service Fabric 是一款业务关键应用平台，托管超过100万款应用并支持很多课微软产品，包括但不限于Microsoft Intune、Dynamics 365、企业版Skype、Cortana、Microsoft Power BI 和多个核心Azure 服务。

• CISA：注意影响Advantech 和日立工业设备的多个严重漏洞

近日，美国网络安全和基础设施安全局 (CISA) 发布了两份工业控制系统 (ICS) 安全公告，提醒注意Advantech R-SeeNet 和日立能源APM Edge 设备中的严重漏洞。R-SeeNet监控系统中存在三个弱点，如遭成功利用，“可导致越权攻击者远程删除系统上的文件或导致远程代码执行后果。”

• 印度拟发布新的数据保护法草案，或放宽数据本地化要求

近日，印度电子信息技术与通信部长透露，新的数据保护法草案起草工作接近完成，预计将于明年2月的预算会议前将新草案提交议会审议。此前，印度政府于2022年8月3日撤回了2019年《个人数据保护法（草案）》。2019年草案引来了国内外的诸多批评，其中主要集中在赋予印度政府过大的权力和对跨境数据流动过严的限制上。此外，印度电子和技术国务部长也坦言道撤回法案的主要原因之一是“这将使初创公司难以合规。”

信息来源：人民网 国家计算机网络应急技术处理协调中心 国家信息安全漏洞库 今日头条 360威胁情报中心 中科汇能GT攻防实验室 安全牛 E安全 安全客 NOSEC安全讯息平台  火绒安全 亚信安全 奇安信威胁情报中心 卡巴斯基 MACFEE  Symantec 白帽汇安全研究院   安全帮