本期摘要

政策法规方面，全国信息安全标准化技术委员会发布《信息安全技术 网络安全众测服务要求》征求意见稿，确立了网络安全众测服务的角色及其职责。全国信息安全标准化技术委员会发布《信息安全技术 网络安全信息报送指南》征求意见稿，描述了网络安全信息报送的信息类型、要素、格式规范。美国参议院国土安全和政府事务委员会推进《保护开源软件法案》，旨在通过加强开源软件的安全性来保护联邦和关键基础设施系统。

漏洞态势方面，Sophos发布安全公告，修复了防火墙产品中的远程代码执行漏洞。Stacked VLAN存在4个安全漏洞，允许攻击者使用定制的数据包对目标执行拒绝服务或中间人攻击。Microsoft发布安全公告，称正在调查两个影响Microsoft Exchange Server 2013、2016和2019的零日漏洞。WhatsApp发布安全更新，用于修复Android和iOS消息应用程序中的两个安全漏洞。研究人员发现Java模板引擎Pebble存在安全漏洞，可允许攻击者绕过Pebble安全保护措施并对目标主机发起命令注入攻击。

安全事件方面,Securonix发现了针对多家军事/武器承包商公司的秘密攻击活动，其中可能包括F-35 Lightning II战斗机零件供应商。Elbit Systems of America已确认在6月8日发生了数据泄露事件，369名员工受到数据泄露事件的影响。

产品技术方面，GuidePoint Security推出ICS安全服务，旨在为组织提供其整个ICS安全状况的整体视图。IronNet推出IronRadar，旨在主动和自动更新客户的网络安全工具。

并购融资方面，Jamf完成对ZecOps的收购，以帮助IT和安全团队加强其组织的移动安全态势。
1、‍全国信安标委发布《信息安全技术 网络安全众测服务要求》征求意见稿
9月27日，全国信息安全标准化技术委员会发布了《信息安全技术 网络安全众测服务要求》征求意见稿，确立了网络安全众测服务的角色及其职责，描述了服务流程，规定了服务要求。
《众测要求》中的“网络安全众测服务”是指，以自愿的方式组织非特定的自然人或组织，在审计及监督下，对网络产品和系统等开展漏洞发现等安全测试的过程。“网络安全众测服务平台”是指，由众测组织方运营并通过在线方式提供网络安全众测服务的平台。
资料来源：https://www.tc260.org.cn/front/bzzqyjDetail.html?id=20220927144754&norm_id=20200112070012&recode_id=48743

2、全国信安标委发布《信息安全技术 网络安全信息报送指南》征求意见稿
9月28日，全国信息安全标准化技术委员会发布了《信息安全技术 网络安全信息报送指南》征求意见稿，描述了网络安全信息报送的信息类型、要素、格式规范，以及网络安全信息报送活动的参与角色、基本流程、报送方式。《报送指南》指出，报送的网络安全信息类型包括脆弱性信息、网络安全威胁信息、网络安全事态信息、网络安全事件信息、网络安全态势信息、网络安全资讯、其他信息等。
资料来源：https://www.tc260.org.cn/front/bzzqyjDetail.html?id=20220928171256&norm_id=20201104200045&recode_id=48793

3.美国参议院国土安全委员会推进《保护开源软件法案》
9月28日，美国参议院国土安全和政府事务委员会推进《保护开源软件法案》，旨在通过加强开源软件的安全性来保护联邦和关键基础设施系统。该法案指示美国网络安全和基础设施安全局（CISA）制定风险框架，以评估联邦政府如何使用开源代码。CISA还将评估关键基础设施所有者和运营商如何自愿使用相同的框架来确定降低开源系统风险的方法。
资料来源：https://g.yam.com/3haGj

4.Sophos修复防火墙产品中的远程代码执行漏洞
9月23日，Sophos发布安全公告，修复了防火墙产品中的远程代码执行漏洞。该漏洞追踪为CVE-2022-3236，CVSS评分为9.8，涉及用户门户和Web管理组件，可能导致远程代码执行。公告中指出，Sophos观察到此漏洞被用于针对一小部分特定组织，主要是在南亚地区。
资料来源：https://www.bleepingcomputer.com/news/security/sophos-warns-of-new-firewall-rce-bug-exploited-in-attacks/

5.Stacked VLAN存在4个安全漏洞
9月27日，CERT Coordination Center发布安全公告，披露了Stacked VLAN以太网功能中的4个漏洞。漏洞分别为CVE-2021-27853、CVE-2021-27854、CVE-2021-27861和CVE-2021-2786，允许攻击者使用定制的数据包对目标执行拒绝服务（DoS）或中间人（MitM）攻击。Stacked VLAN是现代路由器和交换机中的一项功能，允许公司将多个VLAN ID封装到与上游提供商共享的单个VLAN连接中。
资料来源：https://www.bleepingcomputer.com/news/security/ethernet-vlan-stacking-flaws-let-hackers-launch-dos-mitm-attacks/

6.Microsoft Exchange Server存在零日漏洞
9月29日，Microsoft发布安全公告，称正在调查两个影响Microsoft Exchange Server 2013、2016和2019的零日漏洞。第一个漏洞被追踪为CVE-2022-41040，是服务器端请求伪造（SSRF）漏洞。第二个漏洞被追踪为CVE-2022-41082，当攻击者可以访问PowerShell时允许远程代码执行（RCE）。
资料来源：https://msrc-blog.microsoft.com/2022/09/29/customer-guidance-for-reported-zero-day-vulnerabilities-in-microsoft-exchange-server/

7.WhatsApp发布安全更新用于修复2个漏洞
WhatsApp发布安全更新，用于修复Android和iOS消息应用程序中的两个安全漏洞。其中一个漏洞追踪为CVE-2022-36934，CVSS评分为9.8，通过建立视频通话可导致执行任意代码。另一个漏洞追踪为CVE-2022-27492，CVSS评分为7.8，当接收到精心制作的视频文件时可能导致远程代码执行。
资料来源：https://thehackernews.com/2022/09/critical-whatsapp-bugs-could-have-let.html

8.Java模板框架Pebble存在安全漏洞
研究人员发现Java模板引擎Pebble存在安全漏洞，可允许攻击者绕过Pebble安全保护措施并对目标主机发起命令注入攻击。Pebble Templates主要用于生成HTML文本，并且具有阻止命令执行攻击的验证器。研究人员表示只要使用正确的代码和模板文件，Pebble的命令执行防御就可以轻松绕过。
资料来源：https://www.cysecurity.news/2022/09/critical-security-bug-detected-in-java.html

9.Securonix发现针对军事承包商的新一轮攻击活动
9月27日，Securonix发布安全公告，称发现了针对多家军事/武器承包商公司的秘密攻击活动，其中可能包括F-35 Lightning II战斗机零件供应商。Securonix表示活动始于2022年夏末，针对至少两家知名军事承包商公司，且与许多有针对性的活动一样，最初的攻击始于向目标发送包含恶意附件的网络电子邮件。
资料来源：https://www.securonix.com/blog/detecting-steepmaverick-new-covert-attack-campaign-targeting-military-contractors/

10.Elbit Systems证实遭遇数据泄露事件
以色列国防承包商Elbit的美国分公司Elbit Systems of America已确认在6月8日发生了数据泄露事件。该事件影响了369名员工，泄露数据涉及个人姓名、地址、社会安全号码、出生日期、直接存款信息和种族等信息。该公司已经通知受影响的人，并将为他们提供12个月的身份保护和信用监控服务。
资料来源：https://techcrunch.com/2022/09/26/elbit-systems-america-hacked/?&web_view=true

11.GuidePoint Security推出ICS安全服务
GuidePoint Security推出ICS（工业控制系统）安全服务，旨在为组织提供其整个ICS安全状况的整体视图。ICS安全服务包括安全计划审查（SPR）、ICS安全架构审查（SAR）和ICS渗透测试。ICS安全服务完善了以网络为中心的治理、风险和合规产品、安全架构审查以及威胁和攻击模拟服务的完整组合。
资料来源：https://www.securityweek.com/guidepoint-security-launches-icsot-security-services

12.IronNet推出IronRadar
IronNet推出IronRadar，旨在主动和自动更新客户的网络安全工具。IronRadar是一个为对抗C2（Command and Control）行为而开发的自动威胁情报源，其使用了一种创新的流程，可以在服务器启动时确定它是否是命令和控制（C2）服务器。
资料来源：https://www.cybersecurity-insiders.com/ironnet-launches-ironradar-to-automatically-block-adversary-infrastructure/?utm_source=rss

13.Jamf完成对ZecOps的收购
Jamf完成对ZecOps的收购，以帮助IT和安全团队加强其组织的移动安全态势，将移动安全调查从几周缩短到几分钟。ZecOps是移动检测和响应领域的领导者，其移动检测和响应平台为移动威胁追踪提供了一种可扩展的方法，支持自动发现0 day攻击和高级持续性威胁（APT）。
资料来源：https://g.yam.com/LchfU