信息安全周报-2020年第47周

颁布功夫 2020-11-23

> 本周安全态势综述


2020年11月16日至11月22日共收录安全缝隙61个，值得关注的是Aviatrix Systems Controller API肆意文件执行缝隙；Google Go CVE-2020-28366代码注入缝隙；Paradox IP150 CVE-2020-25189缓冲区溢露马脚；QNAP QTS CVE-2020-2492号令注入缝隙；Real Time Automation 499ES EtherNet/IP栈缓冲区溢露马脚。


本周值得关注的网络安全事务是黑客在暗网公开320万个Pluto TV用户的信息；Snow Software颁布2021年有关IT治理的分析汇报；Intel 471颁布暗网中25种重要RaaS产品的分析汇报；Google Nest服务中断导致欧美用户智能家居失灵；钻研人员发现数十个AWS API可被用来窃守信息。


凭据以上综述，本周安全威胁为中。


> 沉要安全缝隙列表


1.Aviatrix Systems Controller API肆意文件执行缝隙


Aviatrix Systems Controller API实现的可执行文件存在未授权缝隙，允许远程攻击者利用缝隙提交特殊的要求，能够利用法式高低文执行代码。

https://www.criticalstart.com/multiple-vulnerabilities-discovered-in-aviatrix/


2.Google Go CVE-2020-28366代码注入缝隙


Google Go存在安全缝隙，允许远程攻击者利用缝隙提交特殊的要求，可注入代码并以利用法式高低文执行。

https://www.vuxml.org/freebsd/db4b2f27-252a-11eb-865c-00155d646400.html



3.Paradox IP150 CVE-2020-25189缓冲区溢露马脚


Paradox IP150存在栈缓冲区溢露马脚，允许远程攻击者利用缝隙提交特殊的要求，能够利用法式高低文执行肆意代码或使利用法式崩溃。

https://us-cert.cisa.gov/ics/advisories/icsa-20-324-02


4.QNAP QTS CVE-2020-2492号令注入缝隙


QNAP QTS存在输入验证缝隙，允许远程攻击者利用缝隙提交特殊的要求，能够利用法式高低文执行肆意号令。

https://www.qnap.com/en/security-advisory/qsa-20-09


5.Real Time Automation 499ES EtherNet/IP栈缓冲区溢露马脚


Real Time Automation 499ES EtherNet/IP存在栈缓冲区溢露马脚，允许远程攻击者利用缝隙提交特殊的要求，能够利用法式高低文执行肆意代码或使利用法式崩溃。

https://us-cert.cisa.gov/ics/advisories/icsa-20-324-03


> 沉要安全事务综述


1、黑客在暗网公开320万个Pluto TV用户的信息


1.png


上周三，黑客在暗网公开了蕴含320万个Pluto TV用户信息的数据库。通过数据库样本可知，泄露数据蕴含用户名、电子邮件地址、bcrypt哈希密码、生日、设备平台和IP地址。黑客宣称这次数据泄露是由ShinyHunters导致的，而该数据库可能是两年前泄露的，最新纪录是在2018年10月12日创建的。目前，Pluto TV尚未证实是否产生了数据泄露，仅暗示他们在调查中。


原文链接：

https://www.bleepingcomputer.com/news/security/hacker-shares-32-million-pluto-tv-accounts-for-free-on-forum/


2、Snow Software颁布2021年有关IT治理的分析汇报


2.png


Snow Software颁布2021年有关IT治理的分析汇报。汇报显示，63％的受访者称技术治理变得越来越难题，企业在软件、硬件、SaaS和云上的技术支出全面增长。87％的IT辅导者暗示，从前一年中他们已经过Microsoft、IBM、Oracle、Adobe和SAP等软件供给商的审计，只有51％的人不安下一年的审计。此表，壮大的技术谍报使IT辅导者能更有效地解决他们的首要工作，但只有14%的IT辅导者达到了成熟技术智能的尺度。


原文链接：

https://www.snowsoftware.com/company/news/cios-face-competing-and-complex-priorities-2021-finds-new-snow-software-report


3、Intel 471颁布暗网中25种重要RaaS产品的分析汇报


3.png


Intel 471颁布了有关暗网中的25种重要RaaS产品的分析汇报。Intel 471暗示，它凭据RaaS的复杂水平、职能和汗青将这些勒索软件分为三个档次。第一层为当今最驰名的勒索软件，蕴含REvil、Netwalker、DopplePaymer、Egregor（Maze）和Ryuk。第二层为勒索软件世界的新兴代表，蕴含Avaddon、Conti、Clop、DarkSide、Mespinoza（Pysa）、RagnarLocker、Ranzy（Ako）、SunCrypt和Thanos。第三层为新颁布的RaaS产品，蕴含CVartek.u45、Exorcist、Gothmog、Lolkek、Muchlove、Nemty、Rush、Wally、Xinof、Zeoticus和ZagreuS。


原文链接：

https://public.intel471.com/blog/ransomware-as-a-service-2020-ryuk-maze-revil-egregor-doppelpaymer/


4、Google Nest服务中断导致欧美用户智能家居失灵


4.png


本周二Google Nest服务大规模中断，导致北美和欧洲用户智能家居失灵。周二凌晨，谷歌总部颁布新闻称，其发现一个问题会影响谷歌Nest设备和Nest利用。该问题导致智能家居用户无法登录其账户，无法使用智能手机旁观视频直播，无法调整恒温节造器，也无法与Nest的任何系列产品互动，其中北美和北欧的用户受到的影响最大。其实，该服务在2月也产生了类似的中断，持续了16个幼时。


原文链接：

https://www.theregister.com/2020/11/17/google_nest_outage/


5、钻研人员发现数十个AWS API可被用来窃守信息


5.png


Palo Alto Networks钻研人员发现了16个分歧Amazon Web Services（AWS）中的22个API，可被滥用来获守信息。该问题是由于AWS后端会自动验证附加到资源的所有基于资源的战术所导致的。若是战术中蕴含不存在的身份，则创建或更新战术的API挪用将失败，攻击者能够滥用此职能来查抄AWS账户中的现有身份。钻研人员称，该攻击可在aws、aws-us-gov和aws-cn分区上进行，易受攻击的AWS服务蕴含AWS S3、AWS KMS和AWS SQS。


原文链接：

https://www.securityweek.com/researchers-find-tens-aws-apis-leaking-sensitive-data