资讯中心

2025年1月15日，国家安全部部长陈一新签署第5号部令，公布《涉及国家安全事项的建设项目许可管理规定》(以下简称《规定》)，自2025年3月1日起施行。

随着2025年的到来，网络安全领域将面临更加复杂的挑战。这些挑战由高级的网络威胁、日益严格的监管以及快速发展的技术共同推动。企业不仅需要保护客户的敏感信息，还需确保用户体验的流畅和便捷。以下是十个即将在来年显现的重要网络安全趋势和威胁。

FortiOS 和 FortiProxy 中存在一个身份认证绕过漏洞。未经身份验证的远程攻击者可以通过向 Node.js websocket 模块发送特制请求，成功利用此漏洞可使攻击者获得超级管理员权限。

从1月7日开始，这个冬天的“三九天”来临，这是一年里最冷的一段时间。前几天，一场主题为“冬天有多长”的网络安全行业市场年会举行。显然，这场年会不是探讨天气，而是剖析网络安全行业的长期困境。

没有网络安全就没有国家安全。互联网既是人们生活的新空间，也是国家和社会治理的新领域。

该漏洞产生的原因是Windows LDAP客户端在处理Netlogon Remote Protocol (NRPC)和LDAP客户端交互时，未能正确处理特制的LDAP响应。攻击者通过向目标服务器发送恶意RPC请求诱骗目标服务器向攻击者发送LDAP查询，从而导致信息泄露和服务器崩溃等危害。

中国国家网络与信息安全信息通报中心发现一批境外恶意网址和恶意IP，境外黑客组织利用这些网址和IP持续对中国和其他国家发起网络攻击。

该漏洞允许攻击者在特定条件下绕过Tomcat的大小写检查，上传恶意文件并执行远程代码，可能导致服务器被完全控制，数据泄露或服务中断。

我国境内再次捕获发现针对我国用户的“银狐”木马病毒的最新变种。在本次传播过程中，攻击者继续通过构造财务、税务违规稽查通知等主题的钓鱼信息和收藏链接，通过微信群直接传播包含该木马病毒的加密压缩包文件，如图1所示。

攻击者可以操纵文件上传参数来启用路径遍历，在某些情况下，这可能导致上传可用于执行远程代码执行的恶意文件。

为进一步加强网络信息安全管理，提高网络信息安全防护能力，提升网络安全工作水平。我司决定于12月23 日开展针对网络信息安全专项技术培训，现将有关事项通知如下：

在数字化时代，网络安全已成为我们不可忽视的重要议题。今天，我们要和大家聊聊一个隐蔽而危险的存在一一网站暗链。

明知存在“两高一弱”风险却放任漏洞存在不处理，最终导致黑客利用漏洞进入系统进行破坏，众所周知黑客可恶，但企业是否真正履行了保护责任呢?

此漏洞是由于在受影响的版本中，如果用户没有任何明确分配的附加组，则会继承 GID 为 0(root)的附加组。这将允许攻击者获得对目标系统的 root 访问权限，最终可能会导致系统完全受损。

Zabbix的addRelatedObjects函数中的CUser类中存在SQL注入，此函数由 CUser.get 函数调用，具有API访问权限的用户可利用造成越权访问高权限用户敏感信息以及执行恶意SQL语句等危害。

该漏洞是由于 JavaScriptCore 组件对用户输入的验证不足而导致的。远程攻击者可以诱骗受害者访问特制的网页并在系统上执行任意代码。

近日，国家计算机病毒应急处理中心和计算机病毒防治技术国家工程实验室依托国家计算机病毒协同分析平台，在我国境内发现针对我国用户的“银狐”（又名：“游蛇”“谷堕大盗”等）木马病毒最新变种。

CVE-2024-44307和CVE-2024-44306是一个缓冲区溢出问题，通过改进的内存处理得到了解决。这个问题在macOS Sonoma 14.6中被修复，应用程序可能能够利用内核权限执行任意代码。

未经身份验证的远程攻击者可以通过网络访问管理Web 界面，从而进行后续活动，包括修改设备配置、访问其 他管理功能以及利用 Palo Alto Networks PAN-OS 权 限提升漏洞（CVE-2024-9474)获取root访问权限。

攻击者可以通过T3或IIOP协议在无需认证的情况下远程执行代码，从而完全控制受影响的服务器。