一周安全头条（20200914-0920）

从9月16日至10月7日，一年一度的美国网络安全峰会会议召开，共为期四个星期，今年主题是“捍卫今天，确保明天”。据悉，第三届美国网络安全峰会将汇聚来自世界各地的基础设施利益相关者，并提供一个论坛，就网络安全进行有意义的对话和合作。

据报道，根据《中华人民共和国对外贸易法》《中华人民共和国国家安全法》等法律法规的规定，《不可靠实体清单规定》已经完成立法程序。经国务院批准，《不可靠实体清单规定》已于19日在商务部网站公布。

9月17日，第三届数字中国建设峰会新闻发布会在京举行，宣布峰会将于10月12日至14日在福建省福州市举办。本届峰会主题为“创新驱动数字化转型，智能引领高质量发展”，由国家网信办、国家发展改革委、工业和信息化部、福建省人民政府共同主办。

9月17日，以“主动安全·共筑产业生态”为主题的2020 HCS合肥网络安全大会正式召开。本届大会由合肥市人民政府、中国科学技术大学、中国电信安徽公司联合主办，大会围绕新基建时代下的网络安全挑战，深入探讨安全产业“政、产、学、研、用”联合生态建设新模式。

TikTok19日发表声明说，其母公司字节跳动与美国甲骨文和沃尔玛两家公司达成原则性共识，三方将据此尽快达成符合中美两国法律规定的合作协议。声明说，这份原则性共识已作为提案交给美国政府，TikTok认为三方原则性共识将解决围绕公司未来在美国运营和发展的问题。美国总统特朗普当天表示他“原则上”同意TikTok与甲骨文、沃尔玛公司的合作方案。

Skills Platform和Zoe Amar Digital联合发布了“2020年慈善机构网络技能报告”，旨在揭示大流行期间慈善机构的数字化需求。2/3的员工（66%）正在远程交付所有工作，而61%的员工将提供更多的在线服务。同样令人鼓舞的是，几乎一半的受访者（47%）正在围绕数字技术相互协作或分享经验。

9月18日，苹果最新发布的移动操作系统iOS 14更新似乎出现了安全漏洞，当设备重置或重启时，该漏洞会清除自定义的默认浏览器和邮件设置。9月18日，苹果最新发布的移动操作系统iOS 14更新似乎出现了安全漏洞，当设备重置或重启时，该漏洞会清除自定义的默认浏览器和邮件设置。

安全研究人员发现一些主流的即时通讯应用，包括Whatsapp、Signal和Telegram都存在重大的隐私泄露问题。根源在于，这些应用的“联系人发现服务”使用户可以根据通讯录中的电话号码查找联系人，同时也为隐私泄露敞开了大门。研究人员还提出了许多其他缓解技术，包括一种新的联系人发现方法，可以采用该方法来进一步降低攻击效率，而不会对可用性造成负面影响。

9月09日，360CERT监测发现 Microsoft Exchange 发布了 Exchange 命令执行漏洞 的风险通告，该漏洞编号为 CVE-2020-16875 ，漏洞等级：严重 ，漏洞评分：9.1。远程攻击者通过构造特殊的cmdlet参数 ,可造成任意命令执行的影响。对此，360CERT建议广大用户及时将 Exchange 升级到最新版本。

近日，安全公司Secura针对一个刚修补不久的Windows漏洞（CVE-2020-1472）开发了一个概念验证利用程序——Zerologon，可以“三秒内”接管企业内网的司令部——Active Directory域控制器，“呵护”所有联网计算机。由于管理员们对安装可能影响网络组件（如域控制器）的补丁更新非常谨慎，因此CVE-2020-1472补丁未能及时安装产生的风险要更大一些。强烈建议存在该漏洞的企业高度重视并尽快安装补丁程序。

近日，微软表示，伊朗和俄罗斯政府资助的黑客试图攻破拜登和特朗普竞选团队相关人员的电子邮件账户。微软客户安全与信任部门副总裁汤姆•伯特(Tom Burt)表示，“大多数此类攻击”都被检测到并阻止了。伯特（Burt）在一篇综合性博客文章中透露了其他袭击事件，并证实了8月份DNI的一份报告，该报告称伊朗黑客正在攻击美国大选进程。

近日，游戏硬件制造商Razer（雷蛇）的在线商店数据库暴露后发生数据泄漏。8月19日左右，安全研究员Bob Diachenko发现了一个不安全的Elasticsearch数据库，该数据库暴露了大约10万个从Razer在线商店购买商品的用户信息。暴露的信息包括客户的姓名、电子邮件地址、电话号码、订单号、订单明细以及账单和送货地址。