ACSC颁布CMS系统安全指南；Netgear建复其路由器产品中的多个缝隙
颁布功夫 2020-03-061.澳大利亚ACSC颁布CMS系统安全指南
澳大利亚网络安全中心（ACSC）颁布一份用于�；MS系统的网络安全指南，该指南概述了若何在web服务器上鉴别和最幼化潜在风险的战术，其指标受多是掌管使用CMS开发和�；ね净騑eb利用法式的人 。攻击者能够使用自动化工具扫描Internet上的安全缝隙 。一旦CMS被入侵，攻击者能够利用其权限来：获得Web利用法式的验证区域和特权区域的接见权限；上传恶意软件来获得远程接见，例如上传Web Shell或RAT；在合法网页上注入恶意内容 。攻击者还能够将受习染的Web服务器用作“水坑”攻击的一部门，或用作C&C的基础设施 。ACSC建议采取的缓解措施蕴含：使用CMS托管服务；优良的补丁治理；缝隙评估；账户治理；加强CMS装置的安全性节造措施；监控CMS装置上对托管内容的未授权更改等 。
原文链接：
https://www.cyber.gov.au/publications/securing-content-management-systems
2.钻研人员忠告微软有600多个子域易遭劫持
钻研人员忠告称微软有600多个合法的子域名易遭劫持和滥用 。子域名劫持是指该子域的DNS纪录指向不再存在的域名，而创建该不存在域名的攻击者即可利用谬误配置的DNS纪录劫持该子域 。攻击者能够将被劫持子域的接见者导向垂钓网站、分发恶意软件或进行诓骗攻击 。安全公司Vullnerability扫描了微软部门沉要域名的所有子域名，发现有670多个子域易遭攻击，蕴含identityhelp.microsoft.com，mybrowser.microsoft.com，webeditor.visualstudio.com，data.teams.microsoft.com和sxt.cdn.skype.com等 。微软讲话人暗示已经相识了该汇报，并在凭据必要采取适当的措施来�；の⑷淼姆窈涂突� 。
原文链接：
https://www.securityweek.com/over-600-microsoft-subdomains-can-be-hijacked-researchers
3.Netgear建复其路由器产品中的多个缝隙
Netgear建复其无线AC路由器Nighthawk（R7800）中的一个RCE缝隙，该缝隙被Netgear追踪为PSV-2019-0076，可允许未经身份验证的攻击者节造路由器，受影响的版本为1.0.2.68之前的固件版本 。Netgear并未披露与该缝隙有关的具体信息，仅督促客户接见在线支持页面以下载该缝隙的补丁 。R7800路由器还受到验证后号令注入缝隙（跟踪为PSV-2018-0352）的影响，受影响的固件版本为1.0.2.60之前的版本 。该缝隙还影响了D6000、R6000、R7000、R8000、R9000和XR500系列的其它29个型号的路由器 。此表，另一个号令注入缝隙（PSV-2019-0051）影响了R6400、R6700、R6900和R7900 SKU中的5个型号的路由器 。
原文链接：
https://threatpost.com/critical-netgear-bug-impacts-nighthawk-router/153445/
4.思科建复Webex Player中的两个RCE缝隙
思科颁布产品安全更新，建复多个缝隙，其中蕴含Webex Player中的两个RCE缝隙（CVE-2020-3127和CVE-2020-3128） 。这两个缝隙是由于未对存储为ARF（高级纪录体式）或WRF（Webex纪录体式）的Webex纪录中的元素进行充分验证而导致的，攻击者能够通过链接或电子邮件附件向用户发送恶意的ARF或WRF文件，诱使用户打开该文件并以当前用户权限执行肆意代码 。受影响的产品蕴含WebEx Network Recording Player和Webex Player 。此表，思科还建复了Intelligent Proximity中的SSL证书不足验证缝隙（CVE-2020-3155）和Prime Network Registrar中的跨站点要求伪造缝隙（CVE-2020-3148） 。齐全缝隙列表请参考以下链接 。
原文链接：
https://securityaffairs.co/wordpress/98973/security/cisco-rce-webex-player.html
5.服装零售商J.Crew遭撞库攻击，客户信息泄露
美国服装零售商J.Crew颁发在2019年4月前后遭到撞库攻击，该攻击导致其部门客户的帐户和信息被黑客接见 �？赡苄孤兜男畔⒃毯突д嘶е写娲⒌男庞ê藕笏奈皇帧⒌狡谌掌凇⒖ɡ嘈秃陀泄卣说ビ始牡刂贰⒍┑ズ拧⒖斓萑啡系ズ藕头⒒踝刺� 。J.Crew已禁用了所有受影响客户的帐户，并要求他们通过privacy@jcrew.com或800-205-7956与J.Crew客户服务中心联系和沉置其密码 。
原文链接：
https://www.bleepingcomputer.com/news/security/jcrew-disables-user-accounts-after-credential-stuffing-attack/
6.有线电视运营商Virgin Media 90万客户信息泄露
Virgin Media是英国和爱尔兰的有线电视运营商，该公司在2020年2月28日发显熹数据库至少从2019年4月19日起可公开接见 。该数据库蕴含约莫90万人的联系方式，例如姓名、家庭地址和电子邮件地址、电话号码，但不蕴含任何密码或财政信息，例如信誉卡号码或银行账户 。凭据在进行的调查，该数据库至少在近期遭到一次未授权接见，Virgin Media并不明显其接见的领域以及是否现实使用了数据库中的任何信息 。
原文链接：
https://www.bleepingcomputer.com/news/security/virgin-media-data-breach-exposes-info-of-900-000-customers/
京公网安备11010802024551号