信息安全周报-2021年第36周

颁布功夫 2021-09-06

>本周安全态势综述

2021年08月30日至09月05日共收录安全缝隙62个，值得关注的是Aruba Networks ArubaOS OS CVE-2021-37716 PAPI和谈缓冲区溢露马脚；Google Chrome Blink内存谬误代码执行缝隙；Nature Easy Soft Network Technology ZenTao号令执行缝隙；ZOHO ManageEngine ADSelfService Plus OS号令注入缝隙；Advantech WebAccess CVE-2021-38408缓冲区谬误缝隙。


本周值得关注的网络安全事务是Microsoft颁布近期旨在窃取痛处的垂钓活动的警报；NFIB称2021年H1英国因网络犯罪损失高达13亿英镑；CNNIC颁布第48次《中国互联网络发展情况统计汇报》；因Google利用bug，部门安卓用户无法拨打和接听电话；钻研人员称16个蓝牙缝隙BrakTooth影响数十亿设备。


凭据以上综述，本周安全威胁为中。


>沉要安全缝隙列表


1.Aruba Networks ArubaOS OS CVE-2021-37716 PAPI和谈缓冲区溢露马脚


Aruba Networks ArubaOS OS PAPI和谈存在缓冲区溢露马脚，允许远程攻击者能够利用缝隙提交特殊的要求，可使利用法式崩�；蛞岳梅ㄊ礁叩臀闹葱兴烈獯�。


https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2021-016.txt



2.Google Chrome Blink内存谬误代码执行缝隙


Google Chrome Blink存在开释后使用缝隙，允许远程攻击者能够利用缝隙提交特殊的WEB要求，诱使用户解析，可使利用法式崩�；蚰芄焕梅ㄊ礁叩臀闹葱兴烈獯�。


https://chromereleases.googleblog.com/2021/08/stable-channel-update-for-desktop_31.html


3.Nature Easy Soft Network Technology ZenTao号令执行缝隙


Nature Easy Soft Network Technology ZenTao Cron job 选项卡存在输入验证缝隙，允许远程攻击者能够利用缝隙提交特殊的要求，能够利用法式高低文执行肆意代码。


https://privasec.com/blog/zentao-cms-a-monkeys-journey-to-priv-esc-remote-code-execution/


4.ZOHO ManageEngine ADSelfService Plus OS号令注入缝隙


ZOHO ManageEngine ADSelfService Plus存在输入验证缝隙，允许远程攻击者利用缝隙提交特殊的要求，能够利用法式高低文执行肆意号令。


https://blog.stmcyber.com/vulns/cve-2021-33055/


5.Advantech WebAccess CVE-2021-38408缓冲区谬误缝隙


Advantech WebAccess存在缓冲区溢露马脚，允许远程攻击者能够利用缝隙提交特殊的要求，可使利用法式崩�；蛞岳梅ㄊ礁叩臀闹葱兴烈獯�。


https://www.advantech.com/support/details/installation?id=1-MS9MJV


>沉要安全事务综述


1、Microsoft颁布近期旨在窃取痛处的垂钓活动的警报


Microsoft 365 Defender威胁谍报团队在8月26日颁布近期旨在窃取痛处的垂钓活动的警报。钻研人员称，该活动利用电子邮件通讯中的盛开沉定向链接作为载体，诱使用户接见恶意网站，同时绕过安全检测软件。微软暗示它已经发现了至少350个网络垂钓URL，并且它们均使用了令人折服的钓饵和精心设计的检测绕过技术。这不仅显示了这次攻击的规模，还讲了然攻击者巨大的投入。


Microsoft颁布近期旨在窃取痛处的垂钓活动的警报.jpg


原文链接：

https://thehackernews.com/2021/08/microsoft-warns-of-widespread-phishing.html



2、NFIB称2021年H1英国因网络犯罪损失高达13亿英镑


网络犯罪.png


来自英国国度诓骗谍报局(NFIB)的数据批注，2021年H1英国因网络犯罪损失高达13亿英镑。幼我和组织在今年上半年因网络犯罪和诓骗而损失的资金是2020上半年（4.147亿英镑）的三倍。2020年H1只有39160案件，而2021年H1多达289437起。钻研人员称，当局应采取更多措施来教育幼我有关网络垂钓的风险和网络安全的沉要性，而组织应该全力降低远程工作的风险。


原文链接：

https://www.infosecurity-magazine.com/news/cybercrime-losses-triple-to-13bn/



3、CNNIC颁布第48次《中国互联网络发展情况统计汇报》


CNNIC颁布第48次《中国互联网络发展情况统计汇报》.jpg


中国互联网络信息中心（CNNIC）于8月27日在京颁布第48次《中国互联网络发展情况统计汇报》。汇报显示，截至今年6月，中国网民规模达10.11亿，较2020年12月增长2175万，互联网遍及率达71.6%；互联网基础资源加快建设，截至6月，中国IPv6地址数量达62023块/32；中国村落网民规模为2.97亿，村落地域互联网遍及率为59.2%，较2020年12月，城乡互联网遍及率差距缩幼4.8%。


原文链接：

http://finance.people.com.cn/n1/2021/0828/c1004-32210949.html



4、因Google利用bug，部门安卓用户无法拨打和接听电话


因Google利用bug，部门安卓用户无法拨打和接听电话.jpg


Google暗示，部门Android手机型号的用户受到Google利用中bug的影响，无法拨打和接听电话。目前Google没有公开受影响手机的型号，但本周末受影响用户提到了LG的设备，如LG G7、LG G7 ThinQ、LG V40 ThinQ和LG Q70等。Google称其在调查此事，并已颁布了最新更新来建复该bug，建议用户手动装置最新更新。


原文链接：

https://www.bleepingcomputer.com/news/google/google-app-bug-blocks-android-users-from-receiving-making-calls/


5、钻研人员称16个蓝牙缝隙BrakTooth影响数十亿设备


钻研人员称16个蓝牙缝隙BrakTooth影响数十亿设备.jpg


钻研人员检测了来自11个供给商的13个片上系统 (SoC) 的蓝牙软件库，发现了16个影响蓝牙软件仓库的缝隙并统称它们为BrakTooth。攻击者能够利用这些缝隙使设备崩溃，甚至是执行恶意代码并收受整个系统。这些缝隙中最严沉的为CVE-2021-28139，利用该缝隙远程攻击者能够通过蓝牙LMP数据包在指标设备上运行恶意代码。并非所有所有供给商都实时颁布了补丁，到目前为止，只有乐鑫、英飞凌和Bluetrum颁布了补丁，而新乡仪器则暗示回绝建复缝隙。


原文链接：

https://therecord.media/billions-of-devices-impacted-by-new-braktooth-bluetooth-vulnerabilities