针对英特尔CPU的新LVI侧信路攻击；微软捣毁僵尸网络Necurs；罗克韦尔及江森自控建复多个缝隙
颁布功夫 2020-03-121.钻研人员发现针对英特尔CPU的新LVI侧信路攻击
钻研人员发现针对Intel CPU的新LVI（负载值注入）攻击，该攻击允许攻击者更改法式的正常执行和窃取SGX安全区域内的密码、证书私钥等敏感数据。该问题被追踪为CVE-2020-0551，由一组钻研团队在2019年4月4日汇报给Intel，Bitdefender钻研人员还独立发现了LVI类攻击的一种变体（LVI-LFB），并于2020年2月汇报给了Intel。只管该攻击仅被视为理论上的威胁，但Intel已颁布了相应的固件补丁以减轻对当前CPU的攻击，并将鄙人一代（硬件设计）中部署该建复法式。从技术上讲，LVI是Meltdown攻击的反向，它允许攻击者将代码注入CPU内并使其作为过渡的“一时”操作执行，从而使攻击者获得更好的节造权。在现实测试中只有英特尔CPU被确认受新的LVI攻击影响，但钻研人员并不排除AMD和ARM也可能受到影响。
原文链接：
https://www.bleepingcomputer.com/news/security/new-lvi-intel-cpu-data-theft-vulnerability-requires-hardware-fix/
2.微软捣毁僵尸网络Necurs，习染全球900万台电脑
微软颁发捣毁垃圾邮件僵尸网络Necurs，Necurs是当前全球最大的僵尸网络之一，据称它在全球习染了超过900万台推算机。3月5日美国纽约东区处所法院颁布了一项号令，允许微软收受Necurs在美国的基础设施。此表，微软通过度析和破解Necurs使用的域名天生算法（DGA），可能正确地预测在将来25个月内Necurs将创建并用作基础设施的超过600万个域名。微软将这些域名汇报给了世界列国的注册治理机构，从而阻止这些域名被注册和成为Necurs基础架构的一部门。通过节造其现有基础设施和抑造其将来注册新域名的能力，微软成功捣毁Necurs。
原文链接：
https://www.bleepingcomputer.com/news/security/microsoft-takes-control-of-necurs-us-based-infrastructure/
3.微软颁布3月Windows安全更新，建复115个缝隙
微软颁布的3月Windows安全更新建复了115个缝隙，这是该公司汗青上最大的一个周二补丁更新。其中Windows LNK快捷文件中的缝隙（CVE-2020-0684）必要关注，该缝隙可导致攻击者以用户权限远程执行代码。攻击者能够向用户提供蕴含恶意.LNK文件和有关恶意二进造文件的可移动驱动器或远程共享，当用户在Windows资源治理器或任何其他解析.LNK文件的利用法式中打开此驱动器（或远程共享）时，恶意二进造文件将在指标系统上执行攻击者的代码。齐全缝隙列表请参考以下链接。
原文链接：
https://www.zdnet.com/article/microsoft-march-2020-patch-tuesday-fixes-115-vulnerabilities/
4.罗克韦尔及江森自控建复ICS设备中的多个缝隙
罗克韦尔自动化（Rockwell Automation）和江森自控（Johnson Controls）建复其ICS设备中的多个缝隙。罗克韦尔自动化建复的多个关键缝隙影响了MicroLogix 1400节造器、MicroLogix 1100节造器和RSLogix 500软件，缝隙领域蕴含硬编码的加密密钥（CVE-2020-6990）、弱密码�；に惴ǎ–VE-2020-6984）、身份验证绕过（CVE-2020-6988）以及明文存储敏感信息（CVE-2020-6980）。江森自控则建复了Kantech EntraPass产品中的不正确输入验证缝隙（CVE-2019-7589）。这些缝隙的CVSS v3评分均为9.8分，建议用户尽快利用更新或缓解措施。
原文链接：
https://threatpost.com/critical-bugs-in-rockwell-johnson-controls-ics-gear/153602/
5.Intel颁布安全更新，建复多个产品中的27个缝隙
英特尔本周颁布安全更新，建复图形驱动法式、FPGA、处置器NUC、BlueZ等产品中的27个缝隙。Intel在图形驱动法式中建复了17个缝隙，其中最严沉的缝隙是缓冲区溢露马脚（CVE-2020-0504），该缝隙可能导致回绝服务，其CVSS评分为8.4。Intel在FPGA PAC N3000中建复了两个缝隙，蕴含特权升级缝隙（CVE-2019-14626）和回绝服务缝隙（CVE-2019-14625），这两个缝隙均为中危缝隙。此表，Intel还为NUC固件建复了不适当的缓冲区限度和输入验证缝隙，这两个缝隙别离被跟踪为CVE-2020-0530和CVE-2020-0526，其CVSS评分别离为7.8和7.7，都可能导致特权升级。
原文链接：
https://www.securityweek.com/intel-patches-27-vulnerabilities-across-product-portfolio
6.Whisper数据库可公开接见，泄露约9亿笔纪录
据《华盛顿邮报》报路，匿名奥秘共享利用Whisper由于数据库可公开接见，导致约9亿笔纪录泄露。钻研人员Matthew Porter和Dan Ehrlich发现了该数据库，数据库中存储的数据是从2012年该APP颁布一向到此刻的所罕见据。只管纪录中不蕴含用户名，但其中蕴含昵称、春秋、种族、性别、家乡、集体成员关系以及与发帖有关的地位数据。这些位相信息蕴含来自用户最近发帖的坐标，例如特定的学堂、工作场所和居民区。Whisper在接到通知后撤销了该数据库的接见权限，并通知了联国法律机构。
原文链接：
https://www.zdnet.com/article/whisper-an-anonymous-secret-sharing-app-failed-to-keep-messages-profiles-private/
京公网安备11010802024551号