信息安全周报-2020年第16周
颁布功夫 2020-04-20> 本周安全态势综述
2020年04月13日至19日共收录安全缝隙72个，值得关注的是Google Chrome speech recognizer代码执行缝隙; VeeamOne Agent PerformHandshake代码执行缝隙 ；Apache Heron反序列化代码执行缝隙 ；Cisco UCS Director ApplianceStorageUtil unzip目录遍历代码执行缝隙 ；Triangle MicroWorks SCADA Data Gateway DNP3 GET_FILE_INFO栈溢露马脚。
本周值得关注的网络安全事务是巴基斯坦1.15亿移动用户数据在暗网销售 ；丹麦水泵造作商DESMI遭网络攻击，系统仍未复原 ；Oracle颁布4月沉要补丁更新，建复397个缝隙 ；英特尔颁布4月安全更新，建复多款产品中的9个缝隙 ；EA Sports遭大规模DDoS攻击，全球服务中断。
凭据以上综述，本周安全威胁为中。
>沉要安全缝隙列表
1. Google Chrome speech recognizer代码执行缝隙
Google Chrome speech recognizer存在开释后使用缝隙，允许远程攻击者能够利用缝隙提交特殊的WEB要求，诱使用户解析，可使利用法式崩� ；蛑葱兴烈獯�。
https://chromereleases.googleblog.com/2020/04/stable-channel-update-for-desktop_15.html
2. Veeam One Agent PerformHandshake代码执行缝隙
Veeam One Agent PerformHandshake步骤存在反序列化缝隙，允许远程攻击者能够利用缝隙提交特殊的要求，可使利用法式崩� ；蛑葱兴烈獯�。
https://www.zerodayinitiative.com/advisories/ZDI-20-545/
3. Apache Heron反序列化代码执行缝隙
Apache Heron存在反序列化缝隙，允许通过验证的治理员用户利用缝隙提交特殊的要求，能够利用法式高低文执行肆意代码。
https://lists.apache.org/thread.html/r16dd39f4180e4443ef4ca774a3a5a3d7ac69f91812c183ed2a99e959%40%3Cdev.heron.apache.org%3E
4. Cisco UCS Director ApplianceStorageUtil unzip目录遍历代码执行缝隙
Cisco UCS Director ApplianceStorageUtil unzip处置文件操作存在目录遍历缝隙，允许远程攻击者利用缝隙提交特殊的要求，能够root账户高低文执行肆意代码。
https://www.zerodayinitiative.com/advisories/ZDI-20-539/
5. Triangle MicroWorks SCADA Data Gateway DNP3 GET_FILE_INFO栈溢露马脚
Triangle MicroWorks SCADA Data Gateway处置DNP3 GET_FILE_INFO存在栈溢露马脚，允许远程攻击者利用缝隙提交特殊的要求，可使利用法式崩� ；蛑葱兴烈獯�。
https://www.zerodayinitiative.com/advisories/ZDI-20-547
> 沉要安全事务综述
1、巴基斯坦1.15亿移动用户数据在暗网销售
巴基斯坦安全厂商Rewterz发现，目前有1.15亿巴基斯坦移动用户的数据在暗网论坛销售，价值为300 BTC（约合210万美元）。这些数据蕴含用户的具体幼我信息，例如姓名、齐全地址、手机号码以及NIC号和税务号码。Rewterz威胁谍报专家以为这些数据可能是一次或屡次泄露的了局，目前还不明显是否有任何特定的电信运营商或是所有电信运营商成为这次攻击的受害者。该泄露数据的规模引发了对电信公司数据安全性和隐衷性的忧郁。
原文链接：
http://www.rewterz.com/articles/115-million-pakistani-mobile-users-data-go-on-sale-on-dark-web
2、丹麦水泵造作商DESMI遭网络攻击，系统仍未复原
丹麦水泵造作商DESMI遭到网络攻击，该攻击事务产生在上周四的晚上，遭到攻击后公司的所有系统均被关关。凭据该公司在官网上颁布的忠告，公司的所有系统均被关关，并且在还原过程中，首批部门系统将在几天内启动并运行，其余的系统将在几周之内运行。目前调查仍在进行之中，尚不明显攻击的水平，DESMI已将事务汇报给丹麦当局和警员。
原文链接：
https://securityaffairs.co/wordpress/101495/hacking/desmi-discloses-cyber-attack.html
3、Oracle颁布4月沉要补丁更新，建复397个缝隙
Oracle在其4月沉要补丁更新中建复了397个缝隙，其中Oracle Database Server产品中建复了8个缝隙 ；电子商务套件中建复了74个缝隙，蕴含70个无需身份验证即可远程利用的缝隙 ；Oracle融合中央件中建复了51个缝隙，其中44个无需身份验证即可远程利用 ；Java SE中建复了15个缝隙，所有缝隙均能够在不进行身份验证的情况下进行远程利用 ；MySQL中建复了45个缝隙，其中9个缝隙无需身份验证即可远程利用。齐全缝隙列表请参考以下官方链接，建议用户尽快利用更新。
原文链接：
https://www.oracle.com/security-alerts/cpuapr2020.html
4、英特尔颁布4月安全更新，建复多款产品中的9个缝隙
英特尔在4月补丁更新中建复了9个缝隙，这些缝隙均为中高危缝隙，影响多个软件、固件及平台。英特尔建复了PROSet/无线WiFi产品在Windows 10上的两个缝隙-经过身份验证的攻击者由于不安全的继承权限而可能通过本地接见进行特权升级（CVE-2020-0557） ；由于内核驱动法式中的缓冲区限度不当，无特权的攻击者可能通过相邻网络接见来导致回绝服务（CVE-2020-0558）。英特尔还建复了NUC mini PC的系统固件中和�？榛衿鱉FS2600KISPP推算�？橹械牧礁龇煜�，蕴含不正确的缓冲区限度导致的LPE缝隙（CVE-2020-0600）和前提查抄不当导致的提权缝隙（CVE-2020-0578）。
原文链接：
https://www.bleepingcomputer.com/news/security/intel-april-platform-update-fixes-high-severity-security-issues/
5、EA Sports遭大规模DDoS攻击，全球服务中断
游戏公司EA Sports又一次遭到大规模的DDoS攻击，导致该公司的服务器在全球领域内脱机。这次攻击产生在4月14日下午4:19。凭据Down Detector的实时地图，这次攻击重要影响了欧洲地域的客户，但加拿大、埃及、南非等地的客户也受到了或多或少的影响。4月15日凌晨1点25分，EA Sports认可该公司“经历了一系列DDoS攻击”。在颁布本文时，EA Sports的客户仍在抱怨服务宕机，这批注该公司仍在遭逢攻击。值妥贴心的是，暴雪也在4月14日凌晨4点15分左右遭到一系列DDoS攻击，导致全球服务中断。
原文链接：
https://www.hackread.com/ea-sports-down-gaming-giant-hit-by-ddos-attacks/
京公网安备11010802024551号