信息安全周报-2019年第45周
颁布功夫 2019-11-18>本周安全态势综述
2019年11月11日至17日共收录安全缝隙48个，，，，，值得关注的是Microsoft Windows OpenType字体解析CVE-2019-1456远程执行代码缝隙; eQ-3 Homematic CCU3 testtcl.cgi代码执行缝隙 ；；；； ；；；；SAP Diagnostics Agent肆意OS号令注入缝隙 ；；；； ；；；；Istio回绝服务缝隙 ；；；； ；；；；Adobe Illustrator CVE-2019-8248内存粉碎肆意代码执行缝隙。。。。。。
本周值得关注的网络安全事务是托管服务商SmarterASP.NET遭勒索软件攻击 ；；；； ；；；；俄罗斯新法案强造手机和PC预装置本国软件 ；；；； ；；；；5G新缝隙可跟踪电话地位及广播虚伪警报 ；；；； ；；；；McAfee杀毒软件代码执行缝隙(CVE-2019-3648) ；；；； ；；；；高通芯片组QSEE缝隙可致Android设备数据泄露。。。。。。
>沉要安全缝隙列表
Microsoft Windows OpenType字体解析处置Opentype字体存在安全缝隙，，，，，允许远程攻击者能够利用缝隙提交特殊的文件要求，，，，，可使利用法式崩� ；；；； ；；；；蛑葱兴烈獯搿�。。。。。
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1456
2. eQ-3 Homematic CCU3 testtcl.cgi代码执行缝隙
eQ-3 Homematic CCU3 save.cgi剧本可用来上传剧本并被testtcl.cgi剧本执行，，，，，允许远程攻击者能够利用缝隙提交特殊的要求，，，，，可执行肆意代码。。。。。。
https://psytester.github.io/CVE-2019-18938/
3. SAP Diagnostics Agent肆意OS号令注入缝隙
SAP Diagnostic Agent存在未明安全缝隙，，，，，允许远程攻击者利用缝隙提交特殊的要求，，，，，可执行肆意OS号令。。。。。。
https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=528880390
4. Istio回绝服务缝隙
Istio存在安全缝隙，，，，，允许远程攻击者利用缝隙提交特殊的要求，，，，，可使利用法式崩溃。。。。。。
https://github.com/istio/istio/issues/18229
5. Adobe Illustrator CVE-2019-8248内存粉碎肆意代码执行缝隙
Adobe Illustrator处置文件存在内存粉碎缝隙，，，，，允许远程攻击者利用缝隙提交特殊的文件要求，，，，，可执行肆意代码或者进行回绝服务攻击。。。。。。
https://helpx.adobe.com/security/products/illustrator/apsb19-36.html
>沉要安全事务综述
SmarterASP.NET是一家占有超过44万个客户的ASP.NET托管服务商，，，，，该公司在周末遭到勒索软件攻击。。。。。。当前SmarterASP.NET暗示在致力复原客户的服务器，，，，，但不明显该公司是支付了赎金还是在从备份中复原。。。。。。这次攻击中不仅客户数据受到影响，，，，，并且SmarterASP.NET自身亦受影响。。。。。。该公司的网站在星期六全天都下线，，，，，直到星期天早上才沉新上线。。。。。。服务器复原工作进展缓慢，，，，，很多客户依然无法接见其账户和数据，，，，，蕴含网站文件和后端数据库。。。。。。凭据在Twitter上颁布的截图，，，，，被加密的客户文件后附加了“.kjhbx”扩大名，，，，，目前钻研人员仍在试图确认勒索软件的种类。。。。。。
原文链接：
https://www.zdnet.com/article/major-asp-net-hosting-provider-infected-by-ransomware/
2、俄罗斯新法案强造手机和PC预装置本国软件
俄罗斯议会在推动一项立法，，，，，该法案将强造要求所有在俄罗斯销售的电子设备（蕴含智能手机、PC和智能电视等）预装置本国科技公司的利用。。。。。。这可能会带来安全隐患。。。。。。立法者暗示该法案是为了� ；；；； ；；；；け镜氐募际跏谐∶馐鼙砉ǹ赡苁侵该拦┑木赫�。。。。。当局将针对每种设备类型颁布一份软件列表，，，，，设备供给商必要在俄罗斯销售的设备上预装置这些软件。。。。。。若是供给商不遵守划定，，，，，将被处以最高20万卢布（约合3100美元）的�？？？？？？睢�。。。。。该法案得到了所有重要政党的支持，，，，，这意味着它很有可能将在2020年7月1日生效。。。。。。
原文链接：
https://www.zdnet.com/article/phones-and-pcs-sold-in-russia-will-have-to-come-pre-installed-with-russian-apps/
3、5G新缝隙可跟踪电话地位及广播虚伪警报
普渡大学（Purdue University）和爱荷华大学（University of Iowa）的安全钻研人员发现将近12个5G安全缝隙，，，，，钻研人员暗示这些缝隙可允许攻击者获取指标用户电话的新/旧一时网络标识符，，，，，从而跟踪电话的地位，，，，，甚至劫持寻呼信路进行虚伪的垂危警报广播。。。。。。在某些情况下，，，，，这些缝隙可能被用来将蜂窝衔接降级为不太安全的尺度。。。。。。一些新的攻击也可能在现有的4G网络上被利用。。。。。。鉴于缝隙的性质，，，，，钻研人员暗示他们不筹算公开其PoC代码，，，，，但他们将这些发现通知了全球蜂窝网络GSM协会（GSMA）。。。。。。GSMA没有泄漏是否能够建复缝隙，，，，，也没有泄漏建复功夫。。。。。。
原文链接：
https://finance.yahoo.com/news/5g-flaws-track-phone-locations-163014364.html4、McAfee杀毒软件代码执行缝隙(CVE-2019-3648)
原文链接：
https://www.zdnet.com/article/mcafee-antivirus-software-impacted-by-code-execution-vulnerability/5、高通芯片组QSEE缝隙可致Android设备数据泄露
凭据安全厂商CheckPoint的一份汇报，，，，，高通芯片组中的安全执行环境（QSEE）中存在缝隙（CVE-2019-10574），，，，，可导致Android设备中的幼我数据泄露。。。。。。QSEE是基于ARM TrustZone技术的受信赖执行环境（TEE）的实现，，，，，是主处置器上的一个硬件隔离的安全区域，，，，，其中通常蕴含专用加密密钥、密码、信誉卡和借记卡痛处等敏感信息。。。。。。Check Point钻研人员逆向了该系统，，，，，并利用吞吐测试对三星、LG和摩托罗拉设备进行了测试。。。。。。总体而言，，，，，钻研人员发现三星的受信赖代码蕴含四个缝隙，，，，，摩托罗拉和LG别离蕴含一个缝隙，，，，，但所有代码均来自高通公司。。。。。。三星、高通和LG已针对这些QSEE缝隙颁布了补丁更新。。。。。。
原文链接：
https://thehackernews.com/2019/11/qualcomm-android-hacking.html
京公网安备11010802024551号