本期摘要

政策法规方面，工信部印发《“十四五”大数据产业发展规划》，提出，到2025年大数据产业测算规模突破3万亿元。英国政府出台了新的《产品安全和电信基础设施法案》，禁止联网智能设备设置默认密码，不遵守规定的企业将面临巨额罚款。美国运输安全管理局发布铁路行业网络安全指令，要求铁路和轨道交通集团采取措施加强该部门的网络安全。CISA任命首批23名网络安全咨询委员会委员，包括网络安全、技术、风险管理、隐私和弹性方面的一些领先专家。
漏洞态势方面，Mozilla修复网络安全服务加密库中的严重漏洞，依赖NSS进行签名验证的应用程序受到影响。150款HP打印机均存在严重漏洞，包括可被利用来自我传播并感染其他MFP的可蠕虫漏洞。0patch发布针对Windows 10零日漏洞的非官方补丁，这是由于微软发布的补丁不完整而再次出现的第三个Windows零日漏洞。视频会议软件Zoom存在2个漏洞，为缓冲区溢出漏洞以及内存损坏漏洞。最近修复的Apache HTTP服务器漏洞正被积极利用，可将请求转发到任意源服务器。
安全事件方面，Sabbath勒索软件运营商针对美国和加拿大的关键基础设施，包括美国和加拿大的教育、卫生和自然资源。家电巨头松下公司遭遇网络入侵数据被窃，正在调查泄漏的程度。宜家遭受网络攻击，攻击者利用窃取的回复链邮件对宜家员工进行内部钓鱼攻击。
融资并购方面，漏洞优先级厂商零零信安获奇安基金千万级天使轮融资，将用于继续加大研发投入。火线安全宣布接连完成Pre-A轮、Pre-A+轮融资，将持续进行平台的建设。Karamba Security融资1000万美元用于保护联网设备，加速产品开发。Armis完成3亿美元融资，将继续扩展到医疗保健、联邦、SLED和OT领域。
1. 1、工信部印发《“十四五”大数据产业发展规划》

11月30号，工业和信息化部发布《“十四五”大数据产业发展规划》。《规划》提出，到2025年，大数据产业保持高速增长，价值体系初步形成，产业基础持续夯实，产业链稳定高效，产业生态良性发展，创新力强、附加值高、自主可控的现代化大数据产业体系基本形成。其中，大数据产业测算规模突破3万亿元，年均复合增长率保持在25%左右。
资料来源：https://mp.weixin.qq.com/s/cUz-0si9t-TJqeEMFXnbVQ

2. 2、英国颁布《产品安全和电信基础设施法案》

英国政府出台了新的《产品安全和电信基础设施法案》，制定了三条新规则，其中一条为禁止在设备上预装易于猜测的默认密码，所有产品都需要唯一密码，且无法重置为出厂默认密码。新法规覆盖范围包括几乎所有的智能家居产品和大多数联网消费电子产品。据悉，新法规将由英国市场监管机构监督实施，违法企业最高将被处以 1000 万英镑或其全球营业额 4% 的罚款。
href=”https://www.gov.uk/government/collections/the-product-security-and-telecommunications-infrastructure-psti-bill-factsheets”>https://www.gov.uk/government/collections/the-product-security-and-telecommunications-infrastructure-psti-bill-factsheets

2. 3、美国运输安全管理局发布铁路行业网络安全指令

美国运输安全管理局12月2日发布了两项安全指令，要求铁路和轨道交通集团采取措施加强该部门的网络安全，包括向联邦政府报告网络事件。安全指令要求高风险的货运铁路、客运铁路和轨道交通集团在发现网络安全事件后24小时内向网络安全与基础设施安全局(CISA)报告，并指定一名网络安全协调员。这些指令将覆盖大约80%的货运铁路和90%的客运铁路。指令将于12月31日生效。
资料来源：https://thehill.com/policy/cybersecurity/584041-tsa-issues-directives-to-rail-sector-to-strengthen-cybersecurity

2. 4、CISA任命首批23名网络安全咨询委员会委员

12月1日，美国网络安全和基础设施安全局宣布任命该局新成立的网络安全咨询委员会的前23名成员，该委员会将就政策、计划、规划、和培训以加强国家的网络防御。作为一个独立的咨询机构，该委员会就一系列网络安全问题、议题和挑战向CISA局长提供战略和可操作的建议。本次任命的委员是美国网络安全、技术、风险管理、隐私和弹性方面的一些领先专家。
资料来源：https://www.darkreading.com/vulnerabilities-threats/cisa-names-23-members-to-new-cybersecurity-advisory-committee

2. 5、Mozilla修复网络安全服务加密库中的严重漏洞

Mozilla已推出修复程序以解决其跨平台网络安全服务(NSS)加密库中的一个严重漏洞，攻击者可能会利用该漏洞使易受攻击的应用程序崩溃，甚至执行任意代码。该漏洞被跟踪为CVE-2021-43527，影响3.73或3.68.1 ESR之前的NSS版本，并且在验证使用DER二进制格式编码的DSA和RSA-PSS算法等数字签名时涉及堆溢出漏洞。依赖NSS进行签名验证的应用程序，例如RedHat、Thunderbird、LibreOffice、Evolution和Evince，被认为容易受到攻击。
资料来源：https://thehackernews.com/2021/12/critical-bug-in-mozillas-nss-crypto.html

2. 6、150款HP打印机均存在严重漏洞

F-Secure实验室的研究人员11月30日披露了影响惠普公司150种不同多功能打印机(MFP)8年的安全漏洞，攻击者可能会滥用这些漏洞来控制易受攻击的设备、窃取敏感信息并渗透企业网络以发起其他攻击。漏洞在于MFP的通讯板和字体解析器，攻击者可以利用它们来获得代码执行权，前者需要物理访问，而后者可以远程完成。其中最严重的为缓冲区溢出漏洞CVE-2021-39238，CVSS评分9.3。该漏洞是可蠕虫的，这意味着它可以被利用来自我传播到受感染网络上的其他MFP。
资料来源：https://thehackernews.com/2021/11/critical-wormable-security-flaw-found.html

2. 7、0patch发布针对Windows 10零日漏洞的非官方补丁

0patch发布非官方补丁以修复未正确修补的Windows安全漏洞，该漏洞可能允许在易受攻击的系统上进行信息泄露和本地权限提升(LPE)。该漏洞被跟踪为CVE-2021-24084（CVSS评分5.5），与Windows Mobile设备管理组件中的信息泄露漏洞有关，该漏洞可能使攻击者能够获得未经授权的文件系统访问权限并读取任意文件。该漏洞也是由于微软发布的补丁不完整而再次出现的第三个零日Windows漏洞。
资料来源：https://thehackernews.com/2021/11/unpatched-unauthorized-file-read.html

2. 8、视频会议软件Zoom存在2个漏洞

来自Google Project Zero的安全研究人员在视频会议软件Zoom中发现了两个使用户容易受到攻击的漏洞。第一个漏洞被追踪为CVE-2021-34423，是一个高严重性的缓冲区溢出漏洞，其CVSS评分为7.3。这可能允许恶意行为者使服务或应用程序崩溃，或利用此漏洞执行任意代码。第二个漏洞是内存损坏问题，编号为CVE-2021-34424，其CVSS评分为7.3，该漏洞可能允许暴露进程内存的状态。
资料来源：https://securityaffairs.co/wordpress/125122/security/video-conferencing-software-zoom-flaws.html

2. 9、最近修复的Apache HTTP服务器漏洞正被积极利用

在针对CVE-2021-40438发布了多个概念验证(PoC)漏洞利用后，德国联邦信息安全办公室(BSI)和思科报告称发现了利用该漏洞的攻击。这是一种服务器端请求伪造(SSRF)漏洞，通过发送特制的请求，攻击者可以强制mod_proxy模块（如果启用）将连接路由到他们选择的源服务器，从而允许攻击者泄露机密（如基础设施元数据或密钥）或访问其他内部服务器。
资料来源：https://www.securityweek.com/recently-patched-apache-http-server-vulnerability-exploited-attacks?&web_view=true

2. 10、Sabbath勒索软件运营商瞄准关键基础设施

自2021年6月以来，一个名为Sabbath的新勒索软件组织一直针对美国和加拿大的关键基础设施，包括美国和加拿大的教育、卫生和自然资源。10月，该勒索软件团伙感染了美国一个学区的系统，并要求支付数百万美元的赎金。与大多数其他附属程序相比，勒索软件运营商两次向其附属程序提供预配置的Cobalt Strike BEACON后门有效载荷，它既给归因工作带来了挑战，同时也提供了额外的检测途径。
资料来源：https://securityaffairs.co/wordpress/125154/cyber-crime/sabbath-ransomware.html

2. 11、家电巨头松下公司遭遇网络入侵数据被窃

日本消费电子巨头松下披露了一项安全事件，其中未经授权的第三方闯入其网络并可能从其文件服务器中访问数据。该公司在11月26日发布的声明中表示:“内部调查的结果是，在入侵期间，一个文件服务器上的一些数据被访问了。”松下没有透露被访问数据的确切性质，但据TechCrunch报道，黑客入侵从6月22日开始，一直持续到11月3日。松下指出，它目前正在与一个独立的“专家”组织合作，以调查泄漏的程度，并确定访问是否导致客户个人信息的暴露。
资料来源：https://www.bleepingcomputer.com/news/security/panasonic-discloses-data-breach-after-network-hack/

2. 12、宜家家居（IKEA）电子邮件系统遭受持续网络攻击

全球知名家具和家居零售商宜家家居（IKEA）正在与一场进行中的网络攻击作斗争，攻击者利用窃取的回复链邮件对宜家员工进行内部钓鱼攻击。回复链电子邮件攻击是指威胁者窃取合法的公司电子邮件，然后用嵌入恶意文件的链接回复邮件，这些文件会在收件人的设备上安装恶意软件。由于回复链电子邮件是来自公司的合法电子邮件，并且通常是从受感染的电子邮件帐户和内部服务器发送的，因此收件人会信任该电子邮件并更有可能打开恶意文档。
资料来源：https://www.bleepingcomputer.com/news/security/ikea-email-systems-hit-by-ongoing-cyberattack/

2. 13、漏洞优先级厂商零零信安获奇安基金千万级天使轮融资

2021年11月，北京零零信安科技有限公司成功完成千万级天使轮融资。零零信安专注于“弱点/漏洞优先级技术（VPT）”和“攻击面管理（ASM）”领域的安全产品研发及服务，是国内首批推出VPT产品和解决方案的提供商，已为国家部委、运营商、能源企业、银行、高校、研究院以及大型互联网企业等客户提供产品和服务支持。本轮融资后，零零信安将继续加大研发投入，打造能力更极致、更符合市场需求的产品及解决方案。
资料来源：https://www.ctoutiao.com/3015406.html

2. 14、火线安全宣布接连完成Pre-A轮、Pre-A+轮融资

火线安全宣布已连续完成Pre-A轮和Pre-A+轮融资。火线安全是国内知名的白帽子平台，其以安全众测业务为业内所熟知，主要通过旗下的火线安全平台联合国内白帽子安全专家，为企业信息系统提供从漏洞预防挖掘、检测防护和漏洞追踪的全生命周期风险管理解决方案。在本轮融资之后，火线安全将持续进行平台的建设，并推出更多社区原生的安全产品。另外，公司也会持续拓展客户，以期和更多行业头部客户共同打磨安全产品的新模式。
资料来源：http://www.kejilie.com/ikanchai/article/jYbAnu.html

2. 15、KarambaSecurity融资1000万美元用于保护联网设备

KarambaSecurity宣布已完成1000万美元融资，这是一家提供用于保护工业、汽车、企业和消费者物联网系统的产品和服务的公司。Karamba表示，这笔资金将用于加速产品开发，以满足客户对遵守与汽车和国家网络安全相关的新法规的需求。该公司表示，它可以在整个生命周期内保护连接的设备，而无需更改任何硬件。在开发阶段，Karamba帮助组织审查其产品的设计以发现安全漏洞，其二进制分析软件会自动扫描产品二进制文件中的漏洞。
资料来源：https://www.securityweek.com/karamba-security-raises-10-million-protect-connected-devices

2. 16、Armis完成3亿美元融资

Armis是一家提供旨在帮助企业发现和保护其设备的解决方案的公司，11月29日宣布完成3亿美元融资。Armis开发了一个无代理平台，可以帮助组织清点和保护所有设备，包括托管、非托管、物联网、工业和医疗设备，以及应用程序和云实例。Armis表示“除了我们传统的物联网、IT、医疗和企业服务和能力之外，Armis继续扩展到医疗保健、联邦、SLED和OT领域。”
资料来源：https://www.securityweek.com/armis-raises-300-million-34-billion-valuation