信息安全周报-2020年第39周

颁布功夫 2020-09-28

> 本周安全态势综述


2020年09月21日至09月27日共收录安全缝隙60个，值得关注的是Chrome storage越界读代码执行缝隙；Chrome Extensions战术绕过代码执行缝隙；Chrome V8代码执行缝隙；Chrome media数据验证代码执行缝隙；IBM Data Risk Manager FasterXML jackson-databind代码执行缝隙。


本周值得关注的网络安全事务是德国Tutanota遭到DDoS攻击导致服务临时中断；Pradeo颁布《手机银行：律例、威胁和诓骗预防》白皮书；NSA颁布针对远程工作者和系统治理员的网络安全指南；2020年Q2 DDoS攻击的次数比去年同比增长570％；微软称已检测到利用Zerologon缝隙提议的自动攻击。


凭据以上综述，本周安全威胁为中。


> 沉要安全缝隙列表


1.Chrome storage越界读代码执行缝隙


Chrome storage存在越界读缝隙，允许远程攻击者利用缝隙提交特殊的WEB要求，诱使用户解析，可使利用法式崩�；蚰芄焕梅ㄊ礁叩臀闹葱兴烈獯�。

https://chromereleases.googleblog.com/2020/09/stable-channel-update-for-desktop_21.html


2. Chrome Extensions战术绕过代码执行缝隙


Chrome Extensions存在战术绕过缝隙，允许远程攻击者利用缝隙提交特殊的WEB要求，诱使用户解析，可使利用法式崩�；蚰芄焕梅ㄊ礁叩臀闹葱兴烈獯�。

https://chromereleases.googleblog.com/2020/09/stable-channel-update-for-desktop_21.html


3.Chrome V8代码执行缝隙


Chrome V8引擎存在越界写缝隙，允许远程攻击者利用缝隙提交特殊的WEB要求，诱使用户解析，可使利用法式崩�；蚰芄焕梅ㄊ礁叩臀闹葱兴烈獯�。

https://chromereleases.googleblog.com/2020/09/stable-channel-update-for-desktop_21.html


4. Chrome media数据验证代码执行缝隙


Chrome media存在数据验证缝隙，允许远程攻击者利用缝隙提交特殊的WEB要求，诱使用户解析，可使利用法式崩�；蚰芄焕梅ㄊ礁叩臀闹葱兴烈獯�。

https://chromereleases.googleblog.com/2020/09/stable-channel-update-for-desktop_21.html


5.IBM Data Risk Manager FasterXML jackson-databind代码执行缝隙


IBM Data Risk Manager FasterXML jackson-databind存在反序列化缝隙，允许远程攻击者利用缝隙提交特殊的要求，能够利用法式高低文执行肆意代码。


https://www.ibm.com/support/pages/node/6335281


> 沉要安全事务综述


1、德国Tutanota遭到DDoS攻击导致服务临时中断


1.jpg


德国端到端加密电子邮件服务提供商Tutanota遭到DDoS攻击，导致服务临时中断数幼时。初次直接针对Tutanota的DDoS攻击产生在9月14日之前的那个周末，导致数百名用户无法接见服务，但该问题很快得到相识决。之后在Tutanota的服务器关关后，黑客攻击了托管Tutanota纪录的DNS提供法式，这使数百万用户无法接见其Tutanota帐户。目前，该公司在尝试更新其DNS纪录，并将它们托管在另一个提供商处。


原文链接：

https://www.bleepingcomputer.com/news/security/tutanota-encrypted-email-service-suffers-ddos-cyberattacks/


2、Pradeo颁布《手机银行：律例、威胁和诓骗预防》白皮书


2.jpg


Pradeo颁布了《手机银行：律例、威胁和诓骗预防》白皮书，介绍了有关移动银行的使用、司法框架、风险以及�；ひ贫欣梅ㄊ桨踩慕饩龉婊ù涌⒌街葱校┑木咛逍畔�。其中写路，移动银行服务迅速受到消费者的喜欢，到2019年底，74%的英国人和75%的美国人使用移动设备来治理其财政。但是钻研批注，手机银行利用往往没有预期的那么安全，据RSA的诓骗微风险谍报团队最近网络的数据分析显示，与手机利用有关的诓骗行为在2020年第一季度翻了一番。


原文链接：

https://www.helpnetsecurity.com/2020/09/21/whitepaper-mobile-banking-regulations-threats-and-fraud-prevention


3、NSA颁布针对远程工作者和系统治理员的网络安全指南


3.jpg


美国国度安全局(NSA)颁布了两份网络安全信息表(CSIs)，为国度安整系统(NSS)和国防部(DoD)工作人员和系统治理员提供了关于在家工作期间�；ね绨踩陀Χ允挛竦慕ㄒ�。第一份名为受损幼我网络指标缓和解措施，旨在提供有关远程工作者若何鉴别和减轻其幼我网络风险的具体信息。第二份名为执行带表网络治理，其向系统治理员提供了若何隔离治理流量和运营流量的信息。


原文链接：

https://www.securityweek.com/nsa-issues-cybersecurity-guidance-remote-workers-system-admins


4、2020年Q2 DDoS攻击的次数比去年同比增长570％


4.png


凭据Nexusguard汇报，DDoS攻击的次数与去年同期相比增长了570％。攻击者选取了更精密的攻击方式，以发起各类放大和基于UDP的攻击，用流量覆没指标网络，这使CSP很难通过传统的基于阈值的步骤进行检测缓和解。Nexusguard还发现了一种新的趋向，即攻击者选取混合攻击媒介来提议更宽泛的基于UDP的攻击，主张是提高CSP检测和分辨恶意流量与合法流量的难度。


原文链接：

https://www.helpnetsecurity.com/2020/09/23/bit-and-piece-ddos-attacks-increased-570-in-q2-2020/


5、微软称已检测到利用Zerologon缝隙提议的自动攻击


5.png


微软安全谍报团队暗示，其已检测到利用Zerologon缝隙（CVE-2020-1472 ）提议的自动攻击。自荷兰安全公司Secura BV在9月14日披露了有关Zerologon缝隙的具体信息后，已有多个兵器化的PoC开发代码在网上公开。微软并没有颁布有关这次攻击的细节，但是颁布了用于攻击的文件散列。因而安全专家就建议，那些域名节造器露出的公司应尽快让系统离线，以便对其进行补丁。


原文链接：

https://www.zdnet.com/article/microsoft-says-it-detected-active-attacks-leveraging-zerologon-vulnerability/