| 安全资讯导视 |
|---|
• 《关键信息基础设施安全测评要求》公安行业标准发布 |
• 哈尔滨亚冬会赛事信息系统遭境外网络攻击超27万次，攻击源大部来自美国 |
• 俄乌黑客展开铁路大战，运营系统瘫痪殃及百万民众 |
1.Zabbix groupBy SQL注入漏洞安全风险通告
4月3日，奇安信CERT监测到官方修复Zabbix groupBy SQL注入漏洞(CVE-2024-36465)，该漏洞源于include/classes/api/CApiService.php文件对参数校验不当，导致具有API访问权限的Zabbix用户可以通过groupBy参数执行任意SQL命令。奇安信鹰图资产测绘平台数据显示，该漏洞关联的国内风险资产总数为21139个，关联IP总数为6156个。目前奇安信威胁情报中心安全研究员已成功复现，鉴于此漏洞影响范围较大，建议客户尽快做好自查及防护。
2.Vite任意文件读取漏洞安全风险通告
3.CrushFTP身份验证绕过漏洞安全风险通告
3月31日，奇安信CERT监测到官方修复CrushFTP身份验证绕过漏洞(CVE-2025-2825)，该漏洞源于处理身份验证标头不当，攻击者可绕过认证机制获取管理员权限，进而可能获取敏感信息、篡改数据或执行其他恶意操作。奇安信鹰图资产测绘平台数据显示，该漏洞关联的全球风险资产总数为19882个，关联IP总数为6101个。目前该漏洞技术细节与POC已在互联网上公开，奇安信威胁情报中心安全研究员已成功复现，鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。
1.Ivanti 多款产品堆缓冲区溢出漏洞(CVE-2025-22457)
参考链接：
https://www.bleepingcomputer.com/news/security/ivanti-patches-connect-secure-zero-day-exploited-since-mid-march/
2.Apache Tomcat 远程代码执行漏洞(CVE-2025-24813)
参考链接：
https://cybersecuritynews.com/apache-tomcat-vulnerability-exploited/3.Cisco Smart License Utility 静态凭证漏洞(CVE-2024-20439)&Cisco Smart License Utility 信息泄露漏洞(CVE-2024-20440)
参考链接：
https://thehackernews.com/2025/03/ongoing-cyber-attacks-exploit-critical.html1.哈尔滨亚冬会赛事信息系统遭境外网络攻击超27万次，攻击源大部来自美国
4月3日央视新闻消息，国家计算机病毒应急处理中心发布“2025年哈尔滨第九届亚冬会”赛事信息系统及黑龙江省内关键信息基础设施遭境外网络攻击情况监测分析报告，全面总结了网络安全保障团队监测处置的本届赛事各类网络安全威胁情况。相关统计数据表明，赛事期间，各赛事信息系统、黑龙江省域范围内的关键信息基础设施遭到来自境外的大量网络攻击。攻击源大部分来自美国、荷兰等国家和地区。在赛事网络安全保障团队的共同努力下，这些网络攻击未能对赛事造成严重影响，但却进一步凸显了我国网络频繁遭受境外攻击的严峻形势。
原文链接：
https://news.cctv.com/2025/04/03/ARTIBoBzJBBJdGTMr2y2j5j9250403.shtml
2.英国皇家邮政144GB数据泄露，供应商Spectos疑似“罪魁祸首”
4月2日Hackread消息，英国皇家邮政集团日前遭遇了一起严重的数据泄露事件，144GB的敏感数据被黑客公开，包括客户个人信息、内部通讯记录、运营数据以及营销基础设施数据等。一位名为GHNA的黑客在地下论坛Breach Forum上发布了相关数据，并声称是通过皇家邮政的供应商Spectos获取的这些信息。泄露的数据包包含293个文件夹和16,549个文件，涉及客户个人身份信息、内部通讯记录、运营数据、营销基础设施数据等，Spectos的名字多次出现在泄露材料中，包括内部文件和录制的视频通话。皇家邮政已承认此事，并表示正在与Spectos合作调查。
原文链接：
https://hackread.com/hacker-leaks-royal-mail-group-data-supplier-spectos/
3.俄乌黑客展开铁路大战，运营系统瘫痪殃及百万民众
4月1日综合消息，俄乌数字战争近期在交通行业升级，导致数以百万计的民众出行受阻。3月下旬，乌克兰国有铁路运营商Ukrzaliznytsia遭遇了一场“系统性、复杂且多层次”的网络攻击。这次攻击直接导致在线售票系统宕机，网站和移动应用瘫痪。虽然火车运行时间表未受影响，但乘客不得不涌向车站窗口排队购票，场面-度混乱。为了应对危机，ukrzaliznytsia紧急加倍增开售票窗口，并在89小时的不懈努力后恢复了在线服务。3月31日，莫斯科地铁系统的网站和应用突然宕机。根据俄罗斯用户在 Downdetector上的反馈，这次故障不仅让在线服务中断，连数字交通卡都无法正常使用，数百万民众出行受到影响。更戏剧性的是，在莫斯科地铁网站被重新定向到了乌克兰国有铁路运营商Ukrzaliznvtsia的网站(下图)，页面上赫然出现了一条ukrzaliznytsia网站被攻击后黑客留下的消息:"你们打我们的铁路，我们就瘫痪你们的地铁。”
原文链接：
https://www.secrss.com/articles/77287
4.疑似NSA网攻行动曝光：神秘零日漏洞利用链 目标针对俄媒体科研机构
3月27日The Record消息，卡巴斯基披露了一起尖端网络攻击行动，受害者点击定向钓鱼邮件中的链接，该页面暗藏了零日漏洞（CVE-2025-2783）利用代码，可远程绕过Chrome浏览器的沙盒保护机制，结合另一个未知漏洞即可实现远程代码执行，控制受害者的设备。根据该行动非常隐蔽和技艺高超的特征，卡巴斯基认为攻击者具有国家背景，参考此前披露的三角行动，这起事件也很可能是NSA的网络间谍活动。
原文链接：
https://therecord.media/russian-media-academia-targeted-in-espionage-campaign1.《中华人民共和国卫星导航条例》公开征求意见
原文链接：
https://yyglxxbs.ndrc.gov.cn/file-submission/20250403173857128265.pdf
2.《工业和信息化部关于开展号码保护服务业务试点的通知》公开征求意见
4月3日，工业和信息化部信息通信管理局编制了《工业和信息化部关于开展号码保护服务业务试点的通知（征求意见稿）》，现公开征求意见。该文件指出，号码保护服务是互联网平台等企业为保护用户的个人电话号码信息而提供的一项服务，也称“中间号”或“隐私号”。该文件明确了业务定义和业务参与方，明晰了应用平台提供方、基础电信业务经营者、业务使用方等三方参与主体的责任边界和相关要求，强化合规经营、防范治理电信网络诈骗、加强商业营销电话和商业营销信息防控等业务管理要求，限制应用平台提供方“转租转售”。该文件规划了15位长的700专用号码，并开展为期两年半的试点行动，试点过渡阶段结束后，将全部使用700专用号码开展号码保护服务业务。
原文链接：
https://www.miit.gov.cn/cms_files/filemanager/1226211233/attach/20253/600fd4907ba04a57ab3d05b64b6c7bc1.pdf
3.《网络安全标准实践指南——移动互联网未成年人模式技术要求》发布
4月3日，全国网络安全标准化技术委员会秘书处组织编制了《网络安全标准实践指南——移动互联网未成年人模式技术要求》。该文件规定了移动互联网未成年人模式的技术要求，适用于移动互联网应用程序提供者、移动智能终端制造商和移动互联网应用程序分发平台提供者开展未成年人模式的研发和应用，也可为监管部门、第三方评估机构对未成年人网络保护的监督、管理、评估提供参考。
原文链接：
https://www.tc260.org.cn/upload/2025-04-02/1743581174222099189.pdf
4.英国政府发布《网络安全与弹性法案》政策声明
4月1日，英国政府发布网络安全与弹性政策声明，详细介绍了将于今年提交议会的《网络安全与弹性法案》的内容。该政策声明显示，《网络安全与弹性法案》主要内容包括：对接欧盟NIS2指令要求，扩大关基行业覆盖范围，提高关基网络安全事件上报标准；将约一千家托管服务商纳入管控范围，要求遵循必要的网络安全标准，以提高IT基础设施的安全性；加强供应链安全，可对基础服务运营商、相关数字服务提供商及监管机构单独给出的指定关键供应商，设置更严格的供应链安全责任。
原文链接：
https://assets.publishing.service.gov.uk/media/67ec11d053fa8521c3248b70/Cyber_Security_and_Resilience_Policy_Statement_Command_Paper.pdf5.《关键信息基础设施安全测评要求》公安行业标准发布
3月31日，公安部技术监督委员会2024年12月26日批准发布了公安部网络安全保卫局组织起草的《关键信息基础设施安全测评要求》（GA/T2182-2024）行业标准，自2025年5月1日起实施。该标准规定了针对关键信息基础设施开展安全测评的要求和方法，适用于规范关基运营者及网络安全服务机构开展关基安全测评工作。关基测评的目标是发现关基现存的或潜在的安全风险，为运营者开展建设整改、提升其关基安全保护水平及安全管控能力提供指导。关基测评由单元测评、关联测评和整体评估三部分组成。关基测评在开展整体评估时复用相关等级测评结果。该标准是推动关基安全保护、建立全面安全防护体系的重要手段，是各级公安机关推进关基安全保护工作的重要依托。
原文链接：
https://mp.weixin.qq.com/s/cfVXba0cu583OFkcbZoj0Q
6.中共中央办公厅、国务院办公厅印发《关于健全社会信用体系的意见》
3月31日，中共中央办公厅、国务院办公厅印发《关于健全社会信用体系的意见》。该文件专设单章加强信用信息安全保护。要求建立信用信息安全管理追溯和侵权责任追究机制，明确信息传输链条各环节安全责任。严格落实安全保护责任，规范信用信息处理程序。提高信用信息基础设施安全管理水平。建立健全信用信息安全应急处理机制。
原文链接：
https://www.gov.cn/zhengce/202503/content_7016535.htm
7.英国信息专员办公室发布匿名化指南
3月28日，英国信息专员办公室（ICO）发布了《匿名化指南》，旨在帮助组织有效实施匿名化技术，确保个人数据在共享、发布或再利用时，符合英国GDPR、2018年数据保护法等数据保护法规。该文件指出，将个人数据应用匿名化技术转化为匿名信息的行为，算作处理个人数据。虽然最终结果（匿名信息）不受数据保护法约束，但该过程（匿名化）是受约束的。该文件提出了“有动机的闯入者”测试作为评估匿名化有效性的方法，即模拟具备中等技术能力、资源支持且存在明确动机（如经济利益、社会关注或学术研究）的攻击者，通过综合运用公开数据源（如社交媒体、政府开放数据）、技术手段（如数据关联分析、算法攻击）及社会工程学方法，尝试破解匿名化数据集以重新识别个体身份。
原文链接：
https://ico.org.uk/media2/aahlfdke/anonymisation-all-1-0-21.pdf8.美国NIST发布《对抗性机器学习：攻击和缓解的分类和术语》
3月24日，美国国家标准与技术研究所（NIST）正式发布保护AI系统免受对抗性攻击的最新指南《对抗性机器学习：攻击和缓解的分类和术语》（NIST AI 100-2e2025）。该文件描述了对抗性机器学习的分类法和术语，介绍了预测性人工智能系统和生成式人工智能系统及与两类系统相关的攻击，有助于保护AI应用免受对抗性操纵和攻击。该文件分五个维度对攻击进行分类：一是人工智能系统类型；二是发起攻击的机器学习生命周期过程阶段；三是攻击者试图破坏的系统属性方面的目标和目的；四是攻击者的能力和访问权限；五是攻击者对学习过程及其他方面的了解。该文件还提供了在AI系统生命周期中缓解和管理相关攻击后果的相应方法，并概述了广泛使用的缓解技术的局限性，以提高认识并帮助提高AI风险缓解工作的有效性。
原文链接：
https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.100-2e2025.pdf本期周报内容由安全内参&虎符智库&奇安信CERT联合出品！
推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
还没有评论，来说两句吧...