#每日学术论文推荐# 2022年为大家推荐的第170篇论文是zk-creds: Flexible Anonymous Credentials from zkSNARKs and Existing Identity Infrastructure[送花花]在zk-creds中，中心数据库采用Merkle Forest（多棵Merkle Tree）的数据结构，用来管理匿名证书[并不简单]若机构想要给某个用户发证书，只需要在Merkle Forest中添加一个节点，并把该节点的证明路径发送给用户[并不简单]这样一来，当用户需要使用该匿名证书时，只需要向资源的所有者证明该证书存在于Merkle Forest中，就等价于证明了该匿名证书的合法性[并不简单]

论文下载：https://t.cn/A6oBlpd0

在ABB Totalflow流量计算机和控制器中发现了一个路径遍历漏洞，该漏洞可能导致代码注入和任意代码执行(ACE)。

该高风险漏洞(跟踪CVE-2022-0902)的CVSS v3为8.1，并影响多个ABB G5产品。它是由Claroty的研究机构Team82的安全专家发现的。

该公司在周二发布的一份报告中写道:“攻击者可以利用这个漏洞获得ABB流计算机的根访问权限，读写文件，并远程执行代码。”

特别是攻击者可以通过创建一个专门制作的消息并将其发送到受影响的系统节点来试图利用该漏洞。

该过程要求攻击者可以直接访问系统网络，或者通过配置错误或被破坏的防火墙。他们还可以在系统节点上安装恶意软件，或者用恶意软件感染网络本身。

Team82表示，它向ABB披露了该漏洞，ABB立即发布了一个固件更新，在多个产品版本中解决了该漏洞。

ABB解释说:“这次更新通过修改Totalflow协议验证消息和验证输入数据的方式来消除漏洞。”

该报告还建议将网络分割作为一种缓解策略。

ABB的技术报告写道:“为了减少这个漏洞，ABB设备应该只连接到限制授权用户访问的网段。只有当攻击者能够访问ABB设备运行Totalflow TCP协议的网络时，该漏洞才会暴露出来。”

进一步的缓解策略包括安装物理控制，这样没有未经授权的人员可以访问设备和网络，并在使用之前扫描所有导入到环境中的数据，以检测潜在的恶意软件感染。#恶意软件# #网络安全# #网络攻击#

开封市生态环境局开展环评会商 助力重大项目建设

为深入落实稳经济重要项目集中攻坚行动要求，11月8日，开封市生态环境局行政审批科以视频会议方式，组织召开环评会商及工作推进会，对近期攻坚交办任务及政策性开发性工具、“三个一批”等12类重大项目开展集中会商，进行“点对点”指导和“一对一”帮扶，助力重大项目推进建设。市生态环境局及各县区分局环评审批工作人员、项目建设单位相关人员参加会议。

会商中，市、县生态环境部门和项目建设单位对各个项目环评办理情况进行全面研判和深入分析，对事项办理中遇到的取水水源、材料变更等难点、堵点问题提出建设性的意见和解决路径建议。

挂图作战，跟踪服务。根据会商情况，会议明确环评办理节点，要求相关生态环境部门建立台账、倒排工期，开展日调度周点评，做好企业全流程跟踪服务，做到审批事项应批尽批、能批快批，推动重大项目早日落地建设，切实服务全市经济发展大局。

会议还对近期环评要素保障、排污许可核发、园区规划环评等工作进行安排部署。 https://t.cn/R2WxHAA