御话资讯 | 一周安全要闻（5.30 -6.06）
行业动态
【工信部通报84款存在侵害用户权益行为APP】
工业和信息化部信息通信管理局依据《个人信息保护法》《网络安全法》《电信条例》《电信和互联网用户个人信息保护规定》等法律法规组织第三方检测机构对群众关注的生活服务类、日常工具类等移动互联网应用程序（APP）进行检查，对发现存在侵害用户权益行为的368款APP提出整改要求。截至目前，对尚有84款APP未按要求完成整改，予以通报。
来源：中国信息安全
【《网络安全标准实践指南—Windows 7操作系统安全加固指引》正式发布】
近日，全国信息安全标准化技术委员会秘书处正式发布《网络安全标准实践指南—Windows 7操作系统安全加固指引》。该实践指南由中国网络安全产业联盟（CCIA）组织会员单位进行编制，从WIN7停服带来的安全风险分析出发，以操作系统加固体系为基础，参考国内外的相关技术指导文件，并重点结合多家网络安全厂商和用户在实际运维中的最佳实践，从安全防护加固和安全配置加固两方面提出了对Windows 7操作系统安全加固的实践建议。
来源：CCIA网安产业联盟
【中国信通院发布《信息无障碍动态——世界电信和信息社会日特辑】
日前，中国信息通信研究院信息无障碍研究团队发布了《信息无障碍动态》（2022.5）。《信息无障碍动态》聚焦中央部委和地方政府的信息无障碍推进工作的进展情况，汇集企业及社会团体等在信息无障碍领域的最新动态资讯，为推动信息无障碍发展提供重要参考。
来源：中国信通院CAICT
【信安标委发布《信息安全技术 互联网平台及产品服务隐私协议要求》（征求意见稿）】
近日，全国信息安全标准化技术委员会发布了《信息安全技术 互联网平台及产品服务隐私协议要求》（征求意见稿），规定了互联网平台及产品服务隐私协议编制程序、具体内容、发布形式，增加隐私协议的可读性、透明性，以及处理隐私协议相关的争议纠纷等方面的要求。
来源：FreeBuf
安全动态
【关于微软支持诊断工具MSDT存在远程代码执行漏洞的安全公告】
2022年5月31日，国家信息安全漏洞共享平台（CNVD）收录了微软支持诊断工具远程代码执行漏洞（CNVD-2022-42150，对应CVE-2022-30190）。攻击者利用该漏洞，可在未授权的情况下远程执行代码。目前，漏洞利用代码已公开，且已出现在野利用的情况。微软公司已发布漏洞缓解指南，CNVD建议受影响用户按照临时防范措施缓解漏洞攻击威胁。
来源：CNVD漏洞平台
【安卓预装APP被曝高危漏洞，影响数百万用户】
微软发现安卓系统预装APP中的多个安全漏洞，下载量超百万。微软在mce系统移动框架中发现多个高危安全漏洞，漏洞CVE编号分别为CVE-2021-42598、CVE-2021-42599、CVE-2021-42600和CVE-2021-42601，CVSS评分在7到8.9分之间。该框架被多个移动服务提供商用于预装的安卓系统APP中，攻击者利用这些漏洞可以实现本地或远程攻击。
来源：嘶吼专业版
【僵尸网络目标锁定Windows和Linux系统】
Sysrv僵尸网络背后的网络犯罪分子正在利用Spring Framework和WordPress插件中未修补的漏洞来瞄准Linux和Windows系统。据研究人员称，网络威胁者的目标是用加密恶意软件来感染系统。微软安全情报研究人员称该僵尸网络的变体为Sysrv-K，他们在推特上发布了一个帖子，揭示了僵尸网络变体的详细信息。
来源：嘶吼专业版
【超360万台MySQL服务器暴露于互联网，或使黑客有机可乘】
据悉，超过360万台MySQL服务器暴露于互联网并响应查询，成为黑客和勒索者的目标。在这些可访问的MySQL服务器中，有230万台通过IPv4连接，130万台设备通过IPv6连接。虽然Web服务和应用程序连接到远程数据库是很常见的，但这些实例应该被锁定，以便只有经过授权的设备才能连接。
来源：E安全
