信息安全周报-2020年第13周
颁布功夫 2020-03-31> 本周安全态势综述
2020年03月23日至29日共收录安全缝隙62个，，，，，值得关注的是Microsoft Windows Adobe Type Manager Library字体处置代码执行缝隙; Apple Safari Webkit CVE-2020-3901内存谬误引用代码执行缝隙 ；；；；；；；；Apache Shiro Spring dynamic controllers验证绕过缝隙 ；；；；；；；；rConfig lib/crud/search.crud.php号令注入缝隙 ；；；；；；；；3S-Smart Software Solutions CODESYS V3 web server缓冲区溢露马脚。 。。。。。。
本周值得关注的网络安全事务是Keepnet Labs ES事俘泄露超过50亿笔纪录，，，，，均为以前泄露 ；；；；；；；；微软忠告Adobe Type Manager库中的两个RCE 0day ；；；；；；；；惠普再次忠告部门SSD将在运行4万幼时后出现故障 ；；；；；；；；开源路由器刊行版OPENWRT/LEDE RCE缝隙（CVE-2020-7982） ；；；；；；；；Github和京东等网站遭到中央人攻击，，，，，多个省市区受影响。 。。。。。。
凭据以上综述，，，，，本周安全威胁为钟祝 。。。。。。
>沉要安全缝隙列表
1. Microsoft Windows Adobe Type Manager Library字体处置代码执行缝隙
Microsoft Windows Adobe Type Manager Library处置Adobe Type 1 PostScript体式字体存在内存粉碎缝隙，，，，，允许远程攻击者利用缝隙构建恶意文件，，，，，诱使用户解析，，，，，可使利用法式崩� ；；；；；；；；蛑葱兴烈獯搿� 。。。。。。
https://portal.msrc.microsoft.com/zh-cn/security-guidance/advisory/ADV200006
2. Apple Safari Webkit CVE-2020-3901内存谬误引用代码执行缝隙
Apple Safari Webkit存在内存粉碎缝隙，，，，，允许远程攻击者利用缝隙提交特殊的WEB要求，，，，，诱使用户接见，，，，，可使利用法式崩� ；；；；；；；；蚰芄焕梅ㄊ礁叩臀闹葱兴烈獯搿� 。。。。。。
https://support.apple.com/en-us/HT211104
3. Apache Shiro Spring dynamic controllers验证绕过缝隙
Apache Shiro Spring dynamic controllers存在验证绕过缝隙，，，，，允许远程攻击者利用缝隙提交特殊的要求，，，，，可绕过验证未授权接见利用。 。。。。。。
https://lists.apache.org/thread.html/r17f371fc89d34df2d0c8131473fbc68154290e1be238895648f5a1e6%40%3Cdev.shiro.apache.org%3E
4. rConfig lib/crud/search.crud.php号令注入缝隙
rConfig lib/crud/search.crud.php处置nodeId存在输入验证缝隙，，，，，允许远程攻击者利用缝隙提交特殊的要求，，，，，可注入肆意号令并执杏祝 。。。。。。
https://github.com/rconfig/rconfig/commit/3385f906427d228c48b914625136bf620f4ca0a9
5. 3S-Smart Software Solutions CODESYS V3 web server缓冲区溢露马脚
3S-Smart Software Solutions CODESYS V3 web server CmpWebServerHandlerV3.dll存在堆溢露马脚，，，，，允许远程攻击者能够利用缝隙提交特殊的要求，，，，，可使服务法式崩� ；；；；；；；；蛑葱兴烈獯搿� 。。。。。。
https://zh-cn.tenable.com/security/research/tra-2020-16?tns_redirect=true
> 沉要安全事务综述
1、Keepnet Labs ES事俘泄露超过50亿笔纪录，，，，，均为以前泄露
英国安全厂商Keepnet Labs的一个Elasticsearch事俘泄露了超过50亿条数据纪录，，，，，这些纪录是2012年至2019年之间产生的泄露事务中的纪录。 。。。。。。该数据库由两个集中组成，，，，，一个蕴含50.88亿笔纪录，，，，，而另一个实时更新的集中则蕴含超过1500万笔纪录。 。。。。。。泄露的纪录蕴含哈希类型、泄露年份、密码（哈希、加密或明文体式）、电子邮件、电子邮件域名以及泄露源（蕴含Adobe、Last.fm、Twitter、LinkedIn、Tumblr和VK等）。 。。。。。。Keepnet Labs暗示数据库是在其供给商将索引迁徙至另一台ES服务器时露出的，，，，，在迁徙过程中防火墙一时禁用了约10分钟，，，，，使得搜索引擎可以为数据库成立索引。 。。。。。。
原文链接：
https://securityaffairs.co/wordpress/100198/data-breach/keepnet-labs-data-leak.html
2、微软忠告Adobe Type Manager库中的两个RCE 0day
微软颁布安全布告，，，，，忠告Windows Adobe Type Manager库中的两个RCE 0day，，，，，这两个缝隙影响了当前所有受支持的Windows和Windows Server版本。 。。。。。。缝隙存在于Adobe Type Manager库处置Adobe Type 1 PostScript字体体式的方式中，，，，，攻击者能够通过多种方式利用此缝隙，，，，，例如说服用户打开恶意文档或在Windows预览窗格中查看它。 。。。。。。微软已经发现利用此缝隙的有限针对性攻击。 。。。。。。建议在Windows资源治理器中禁用“预览窗格”和“具体信息窗格”，，，，，以减轻利用风险，，，，，另表两个缓解措施是禁用WebClient服务和沉定名“ATMFD.DLL”。 。。。。。。
原文链接：
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV200006
3、惠普再次忠告部门SSD将在运行4万幼时后出现故障
惠普再次忠告其客户，，，，，某些串行衔接的SCSI固态硬盘会在运行4万幼时（相当于4年206天16个幼时）后出现故障，，，，，数据和硬盘均无法复原。 。。。。。。该公司于2019年11月颁布了类似的布告，，，，，其时部门SSD在运行32768幼时后产生故障。 。。。。。。这一次受影响的SSD型号蕴含EK0800JVYPN、EO1600JVYPP、MK0800JVYPQ和MO1600JVYPR，，，，，受影响的产品蕴含多种HP服务器和存储产品，，，，，如HP ProLiant、Synergy、Apollo 4200等。 。。。。。。HPE估计，，，，，未打补丁的SSD最早将在2020年10月起头出现故障，，，，，建议用户尽快利用固件更新。 。。。。。。
原文链接：
https://www.bleepingcomputer.com/news/security/hpe-warns-of-new-bug-that-kills-ssd-drives-after-40-000-hours/
4、开源路由器刊行版OPENWRT/LEDE RCE缝隙（CVE-2020-7982）
钻研人员披露开源路由器刊行版OPENWRT/LEDE中的关键RCE缝隙（CVE-2020-7982）的技术细节和PoC。 。。。。。。该缝隙存在于OpenWrt的OPKG软件包治理器中，，，，，OPKG对下载的软件包执行齐全性查抄时，，，，，若是SHA-256校验和蕴含任何前导空格，，，，，OPKG会跳过齐全性查抄持续执行装置工作。 。。。。。。该缝隙可能使远程MitM攻击者可能诱骗系统装置未经验证的恶意软件包或软件更新，，，，，从而拦截指标设备的通讯和执行肆意代码。 。。。。。。OpenWrt版本18.06.0至18.06.6和19.07.0以及LEDE 17.01.0至17.01.7均受到影响。 。。。。。。建议受影响的用户将其设备固件升级到最新OpenWrt版本18.06.7和19.07.1。 。。。。。。
原文链接：
https://thehackernews.com/2020/03/openwrt-rce-vulnerability.html
5、Github和京东等网站遭到中央人攻击，，，，，多个省市区受影响
3月26日有攻击者针对Github和京东等网站提议大规模中央人攻击，，，，，目前受影响的重要是部门地域用户，，，，，但涉及所有运营商，，，，，例如中国移动、中国联通、中国电信以及教育网均可复现劫持问题，，，，，而国表网络接见这些站点并未出现异常情况。 。。。。。。从目前网上查问的信息能够看到这次攻击涉及最广的是GitHub.io，，，，，其次用户接见京东等国内驰名网站亦会报错。 。。。。。。查看证手札息能够发现这些网站的证书被攻击者使用的自署名证书包办，，，，，导致浏览器无法信赖从而阻止用户接见。 。。。。。。目前全网绝大无数网站都已经开启加密技术匹敌劫持，，，，，因而用户接见会被阻止而不会被疏导到垂钓网站上去。 。。。。。。这次攻击似乎是通过骨干网络劫持443端口，，，，，目前经测试DNS系统解析是齐全正常的。 。。。。。。
原文链接：
https://www.landiannews.com/archives/71707.html
京公网安备11010802024551号