试用App卸载后直接扣费，全球近6亿Android用户中招；微软颁布1月Office安全更新，建复3个RCE缝隙
颁布功夫 2020-01-17
1.试用App卸载后直接扣费，全球近6亿Android用户中招
Sophos安全钻研人员发现了一组新的fleeceware APP，这些APP已经被超过6亿Android用户下载装置。fleeceware是指谷歌Play商店中存在的一种新型金融诓骗行为，这些APP滥用Android利用的试用期职能向用户收费。默认情况下Android用户在注册使器拥有试用期的APP时必须手动取缔试用，然而大无数用户只是在不喜欢的时辰卸载APP，绝大无数开发者将这种卸载行为视为取缔试用，但一些开发者在用户卸载后没有取缔试用并且持续收费。Sophos最初发现的24个APP蕴含二维码扫描器、推算器等，它们以这种方式向用户收取每年100美元到240美元的订阅用度。在近日颁布的一份汇报中，Sophos发现了另表25个此类APP，其总装置量超过6亿，齐全的APP列表请参考以下链接。
原文链接：
https://www.zdnet.com/article/more-than-600-million-users-installed-android-fleeceware-apps-from-the-play-store/
2.微软颁布1月Office安全更新，建复3个RCE缝隙
微软在1月Office安全更新中为5个分歧的产品颁布了总共7个安全更新和3个累计更新，其中6个更新与远程代码执行缝隙有关。这些RCE缝隙被跟踪为CVE-2020-0650、CVE-2020-0651和CVE-2020-0652，受影响的产品蕴含Office 2016、Office 2013、Office 2010、Excel 2016、Excel 2013和Excel 2010。此表被跟踪为CVE-2020-0647的另一个缝隙是影响Office Online Server的糊弄缝隙，它是由跨域通讯中的原始验证不正确引起的，成功利用此缝隙的攻击者能够在受影响的系统上进行跨域攻击。
原文链接：
https://www.bleepingcomputer.com/news/security/microsoft-office-january-security-updates-fix-code-execution-bugs/
3.VMware颁布VMware Tools 11，建复10版本中的LPE缝隙
VMware已颁布VMware Tools 11.0.0，建复了版本10.xy中的本地提权缝隙（CVE-2020-3941）。该缝隙被归类为竞争前提缝隙，攻击者可能利用此缝隙在虚构机中提升特权。该缝隙的CVSS评分为7.8分。此表，VMware还建复了Workspace ONE SDK中的信息泄露缝隙（CVE-2020-3940），该缝隙影响了有关的iOS和Android APP，蕴含Workspace ONE Boxer、Content、Intelligent Hub、Notebook、People、PIV-D、Web以及合用于Apache Cordova和Xamarin的SDK插件。凭据安全布告，若是启用了SSL Pinning，则在受影响的移动APP和Workspace ONE UEM设备服务之间的中央人（MITM）攻击者可能捕获传输中的敏感数据。
原文链接：
https://securityaffairs.co/wordpress/96446/security/vmware-tools-and-workspace-one-sdk-flaws.html
4.Peekaboo Moments意表泄露80万用户的邮箱信息
安全钻研员Dan Ehrlich发现Peekaboo Moments APP的Elasticsearch数据库露出了数千个婴儿的照片和视频以及至少80万个电子邮件地址。该数据库属于Peekaboo Moments的开发商Bithouse，数据库中存有7000万个日志文件。除了婴儿的视频和照片表，该数据库还蕴含婴儿的诞生日期、身长和体沉以及经度和纬度地位数据。此表，泄露的数据疑为Peekaboo Moments的Facebook API密钥，父母可使用该密钥将照片等颁布到Facebook。凭据Ehrlich的说法，攻击者可能会利用这些密钥来接见用户Facebook页面上的内容。Bithouse在接到汇报后迅速对服务器进行了�；�。
原文链接：
https://hotforsecurity.bitdefender.com/blog/peekaboo-moments-app-left-baby-videos-photos-and-800000-users-email-addresses-exposed-on-the-internet-22067.html
5.加拿大网上药店PlanetDrugsDirect泄露部门客户支付信息
加拿大网上药店PlanetDrugsDirect在通过电子邮件通知客户其幼我和财政信息受到数据泄露事务的影响。PlanetDrugsDirect称自己为客户提供获得处方药和非处方药的机遇，其客户数量约为40万。凭据该药店的通知，可能泄露的数据蕴含客户的姓名、住址、电子邮件地址、电话号码以及处方的医疗信息和付款信息，但没有证据批注用户的密码受到侵害。PlanetDrugsDirect还指出该事务目前在调查中，将尽快提供更多具体信息。
原文链接：
https://www.bleepingcomputer.com/news/security/online-pharmacy-planetdrugsdirect-discloses-security-breach/
6.数百个医学成像系统在网上露出了数百万患者的数据
德国安全厂商Greenbone称数百个可公开接见的医学成像系统在互联网上露出了全球数百万患者的数据。该项钻研沉点分析在网上露出的医学图片存档和通讯系统（PACS），在所有受分析的PACS服务器中，有将近1/4的系统将数据露出在互联网上。具体来说，在2019年7月至2019年9月之间分析的2300个系统中，有590个可从Internet接见并且未设密码，共有超过2450万条患者数据露出，在11月份的钻研中，该公司泄漏有3500万条患者纪录可公开接见。在9月至11月之间，蕴含医疗图像的露出患者纪录数量已从440万增长了一倍，达到900万。
原文链接：
https://www.securityweek.com/unprotected-medical-systems-expose-data-millions-patients
京公网安备11010802024551号