要聞速覽

1、《公共安全視頻圖像信息系統(tǒng)管理條例》公布，4月1日起施行

2、國家標準《數(shù)據(jù)安全技術 機密計算通用框架》獲批發(fā)布

3、CNNVD關于Palo Alto Networks PAN-OS 安全漏洞的通報

4、微軟 Outlook 被曝高危漏洞，可繞過保護視圖遠程執(zhí)行任意代碼

5、Windows存儲系統(tǒng)0day漏洞，攻擊者可遠程刪除目標文件

6、美國知名報業(yè)集團被黑，近百家報紙印刷發(fā)行受影響

一周政策要聞

《公共安全視頻圖像信息系統(tǒng)管理條例》公布，4月1日起施行

國務院總理李強日前簽署國務院令，公布《公共安全視頻圖像信息系統(tǒng)管理條例》（以下簡稱《條例》），自2025年4月1日起施行。

《條例》旨在規(guī)范公共安全視頻系統(tǒng)管理，維護公共安全，保護個人隱私和個人信息權益，共34條，主要規(guī)定了以下內容：嚴格規(guī)范建設，嚴禁非法亂建；明確縣級以上地方人民政府加強統(tǒng)籌規(guī)劃，避免重復建設，政府有關部門、經營管理單位按照規(guī)劃、標準建設公共安全視頻系統(tǒng)；除負有經營管理責任、安全防范義務的部門、單位或者個人為維護公共安全所必需建設外，其他任何單位或者個人不得在公共場所安裝圖像采集設備設施；禁止在民宿、宿舍、更衣室等能夠拍攝、窺視、竊聽他人隱私的區(qū)域、部位安裝圖像采集設備設施；明確在軍事禁區(qū)、軍事管理區(qū)以及國家機關等涉密單位周邊安裝圖像采集設備設施的，應當事先征得相關涉密單位同意。

信息來源：中華人民共和國中央人民政府https://www.gov.cn/zhengce/zhengceku/202502/content_7003025.htm

國家標準《數(shù)據(jù)安全技術 機密計算通用框架》獲批發(fā)布

 根據(jù)2025年1月24日國家市場監(jiān)督管理總局、國家標準化管理委員會發(fā)布的中華人民共和國國家標準公告（2025年第2號），由全國網絡安全標準化技術委員會歸口的1項網絡安全國家標準——《數(shù)據(jù)安全技術 機密計算通用框架》正式發(fā)布。

消息來源：全國網絡安全標準化技術委員會 https://mp.weixin.qq.com/s/Q_p_uB_cr1_oilKsk6SAeg

業(yè)內新聞速覽

CNNVD關于Palo Alto Networks PAN-OS 安全漏洞的通報

近日，國家信息安全漏洞庫（CNNVD）收到關于Palo Alto Networks PAN-OS 安全漏洞（CNNVD-202502-1359、CVE-2025-0108）情況的報送。

一、漏洞介紹：

Palo Alto Networks PAN-OS是美國Palo Alto Networks公司的一套為其防火墻設備開發(fā)的操作系統(tǒng)。漏洞源于程序對路徑的處理不當導致，攻擊者可利用漏洞可以繞過身份驗證訪問Web管理界面，進而獲取管理員權限，控制目標設備。

二、危害影響：

PAN-OS 10.1-10.1.14-h6之前版本、PAN-OS 10.2-10.2.12-h2之前版本、PAN-OS 11.0-11.0.6-h1之前版本、PAN-OS 11.1-11.1.5-h1之前版本、PAN-OS 11.2-11.2.4-h1之前版本均受此漏洞影響。

三、修復建議：

目前，Palo Alto Networks官方已發(fā)布新版本修復了該漏洞，建議用戶及時確認產品版本，盡快采取修補措施。官方參考鏈接：

https://security.paloaltonetworks.com/CVE-2025-0108。

消息來源：國家信息安全漏洞庫https://mp.weixin.qq.com/s/sMbIJl9cxr2BTNoEQ0MptQ

黑客對入侵SEC的X賬戶致比特幣價值飆升認罪

IT之家2月11日消息，美國司法部當?shù)貢r間昨日宣布，一位名為 Eric Council Jr. 的阿拉巴馬州男子承認其參與2024年1月的美國證券交易委員會SEC官方X 平臺賬戶遭劫持事件，面臨最高5年監(jiān)禁。

公告表示，這位黑客在本案中首先利用同謀提供的受害者個人身份信息PII制作了一張偽造身份證，然后利用偽造身份證通過非法SIM卡交換竊取受害者手機號碼的控制權，此后進一步獲得SEC社交媒體賬號訪問權限。

最終該團伙其它人員以時任SEC主席的名義在X平臺上發(fā)布虛假信息，宣稱SEC已批準了比特幣ETF。這導致比特幣市場強烈震動：其價格當時迅速上漲了超1000美元，而在SEC澄清后又下跌了逾2000美元。這名黑客因此從同伙處獲得了一筆報酬。

Eric Council Jr. 承認共謀實施嚴重身份盜竊和訪問設備欺詐，美國聯(lián)邦地區(qū)法院法官將在今年5月16日作出判決，該黑客最高可被處以5年監(jiān)禁。

消息來源：IT之家 https://www.163.com/dy/article/JO437PT70511B8LM.html

超1.2萬臺KerioControl防火墻暴露于遠程代碼執(zhí)行漏洞威脅之下

近期，安全研究人員發(fā)現(xiàn)超過1.2萬個GFI KerioControl防火墻實例暴露于一個嚴重的遠程代碼執(zhí)行漏洞(CVE-2024-52875)的威脅之下。KerioControl是一款面向中小型企業(yè)的網絡安全套件,提供VPN、帶寬管理、報告和監(jiān)控、流量過濾、防病毒保護以及入侵防御等功能。CVE-2024-52875于2024年12月中旬被發(fā)現(xiàn),可能導致危險的一鍵遠程代碼執(zhí)行攻擊。GFI軟件于2024年12月19日發(fā)布了補丁版本的安全更新以修復此問題。盡管已經警告存在主動利用行為,但威脅監(jiān)控服務機構Shadowserver基金會最新報告稱,目前仍有12,229臺KerioControl防火墻暴露于利用CVE-2024-52875漏洞的攻擊之下。由于該漏洞的概念驗證代碼已公開，攻擊門檻較低，即使是低技術水平的黑客也可能加入惡意活動。該漏洞源于對用戶輸入的不當過濾，具體來說，應用程序沒有正確過濾/刪除換行符(LF)字符。這可被利用執(zhí)行HTTP響應拆分攻擊，進而可能導致反射型跨站腳本(XSS)甚至遠程代碼執(zhí)行(RCE)攻擊。安全專家強烈建議未應用安全更新的用戶立即安裝于2025年1月31日發(fā)布的KerioControl 9.4.5補丁2版本。

美國知名報業(yè)集團被黑，近百家報紙印刷發(fā)行受影響

安全內參2月12日消息，美國最大的報業(yè)集團之一Lee Enterprises表示，其系統(tǒng)在上周遭遇網絡攻擊，導致連續(xù)宕機多天，并對業(yè)務運營造成影響。

該公司在上周五提交給美國證券交易委員會（SEC）的文件中稱，2月3日發(fā)生的網絡攻擊引發(fā)系統(tǒng)宕機，影響了業(yè)務正常運營。

Lee Enterprises新聞編輯部表示，此次網絡攻擊迫使公司關閉多個網絡系統(tǒng)，導致數(shù)十家報紙的印刷和發(fā)行受到干擾。

BleepingComputer還了解到，宕機事件在整個報業(yè)集團引發(fā)混亂，不僅使用于安全連接網絡的VPN無法使用，記者和編輯們也無法訪問自己的文件。

自襲擊發(fā)生以來，Lee Enterprises旗下多個出版物在其網站頂部顯示維護橫幅，內容如下：“我們目前正在對部分服務進行維護，這可能會暫時影響訂閱賬號訪問及電子版報紙。對此造成的不便，我們深表歉意，并感謝您的耐心等待，我們正在努力解決問題?！?

消息來源：安全內參https://www.secrss.com/articles/75517

來源:本安全周報所推送內容由網絡收集整理而來，僅用于分享，并不意味著贊同其觀點或證實其內容的真實性，部分內容推送時未能與原作者取得聯(lián)系，若涉及版權問題，煩請原作者聯(lián)系我們，我們會盡快刪除處理，謝謝！