信息安全周报-2019年第32周
颁布功夫 2019-08-19> 本周安全态势综述
2019年8月12日至18日共收录安全缝隙55个，，，，，， ，，值得关注的是Microsoft Windows Remote Desktop Services CVE-2019-1181内存粉碎代码执行缝隙；； ；；；； ；；Microsoft Bluetooth Driver BR/EDR密钥协商缝隙；； ；；；； ；；Adobe Photoshop CC多个堆溢露马脚；； ；；；； ；；SAS Web Infrastructure Platform反序列化远程代码执行缝隙；； ；；；； ；；Apache httpd mod_http2内存谬误利用回绝服务缝隙。。。。。。。。
本周值得关注的网络安全事务是微软多个供给商的40多个驱动法式存在提权缝隙；； ；；；； ；；Sweet Chat意表泄露近1000万用户的照片及谈天内容；； ；；；； ；；微软建复RDP服务中的新蠕虫级缝隙；； ；；；； ；；HTTP/2曝出8个新缝隙，，，，，， ，，可用于提议DoS攻击；； ；；；； ；；卡巴斯基杀软中的缝隙可允许跨站点跟踪用户。。。。。。。。
> 沉要安全缝隙列表
1. Microsoft Windows Remote Desktop Services CVE-2019-1181内存粉碎代码执行缝隙
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-1181
2. Microsoft Bluetooth Driver BR/EDR密钥协商缝隙
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-9506
3. Adobe Photoshop CC多个堆溢露马脚
https://helpx.adobe.com/security/products/photoshop/apsb19-44.html
4. SAS Web Infrastructure Platform反序列化远程代码执行缝隙
http://support.sas.com/kb/63/391.html
5. Apache httpd mod_http2内存谬误利用回绝服务缝隙
http://httpd.apache.org/security/vulnerabilities_24.html
> 沉要安全事务综述
原文链接：https://www.bleepingcomputer.com/news/security/over-40-windows-hardware-drivers-vulnerable-to-privilege-escalation/
2、Sweet Chat意表泄露近1000万用户的照片及谈天内容
安全钻研员Darryl Burke发现谈天利用Sweet Chat的一个不安全的服务器露出了超过1000万用户的敏感信息，，，，，， ，，这些信息蕴含实时谈天内容以及个人照片等。。。。。。。。Burke暗示任何占有MQTT攻击工具的人都能够在线查看这些信息。。。。。。。。钻研人员于7月21日通知了该公司，，，，，， ，，但该公司直至8月12日才对该服务器进行了一时建复。。。。。。。。
原文链接：https://blog.burke-consulting.net/sweet-chat/
3、微软建复RDP服务中的新蠕虫级缝隙
微软在8月份的Windows安全更新中建复了94个缝隙，，，，，， ，，其中蕴含4个新的RDP远程代码执行缝隙（CVE-2019-1181、CVE-2019-1182、CVE-2019-1222、CVE-2019-1226）。。。。。。。。其中CVE-2019-1181和CVE-2019-1182与5月份曝出的BlueKeep缝隙（CVE-2019-0708）类似，，，，，， ，，可实现蠕虫化攻击，，，，，， ，，受影响的系统版本蕴含win 7 SP1、win 8.1、win 10以及windows server 2008 R2 SP1、2012、2012 R2、2016及2019等。。。。。。。。XP、windows server 2003及2008不受影响。。。。。。。。目前尚未发现这些缝隙在野表被利用，，，，，， ，，但微软强烈建议用户尽快更新建复补丁。。。。。。。。
原文链接：https://www.bleepingcomputer.com/news/security/microsoft-fixes-critical-windows-10-wormable-remote-desktop-flaws/
4、HTTP/2曝出8个新缝隙，，，，，， ，，可用于提议DoS攻击
钻研人员披露HTTP/2和谈实现中的8个新缝隙，，，，，， ，，攻击者可利用这些缝隙向未建补的服务器提议回绝服务攻击。。。。。。。。这些缝隙（CVE-2019-9511~CVE-2019-9518）是由Netflix钻研员Jonathan Looney以及Google钻研员Piotr Sikora发现的，，，，，， ，，可用于触发服务器的资源耗尽，，，，，， ，，但不能用于入侵服务器。。。。。。。。凭据CERT颁布的布告，，，，，， ，，受影响的厂商蕴含NGINX、Apache、H2O、Nghttp2、Microsoft(IIS)、Cloudflare、Akamai、Apple(SwiftNIO)、Amazon、Facebook(Proxygen)、Node.js以及Envoy proxy，，，，，， ，，大无数厂商都已经颁布了建复补丁。。。。。。。。
原文链接：https://thehackernews.com/2019/08/http2-dos-vulnerability.html
5、卡巴斯基杀软中的缝隙可允许跨站点跟踪用户
原文链接：https://thehackernews.com/2019/08/kaspersky-antivirus-online-tracking.html
京公网安备11010802024551号