信息安全周报-2020年第33周
颁布功夫 2020-08-17> 本周安全态势综述
2020年08月10日至08月16日共收录安全缝隙77个，，，， ，值得关注的是Apache Struts CVE-2019-0230代码执行缝隙；；；；；；；；Citrix Systems XenMobile Server CVE-2020-8211未明肆意代码执行缝隙；；；；；；；；Schneider Electric APC Easy UPS On-Line `FileUploadServlet`蹊径遍历缝隙；；；；；；；；SAP Business Objects Business Intelligence Platform Xvfb验证绕过缝隙; Shenzhen Hichip Vision Technology Firmware P2P服务代码执行缝隙。。。 。。。。。
本周值得关注的网络安全事务是FBI忠告伊朗黑客利用F5 BIG-IP缝隙攻击ADC设备；；；；；；；；Check Point发现高通的Snapdragon芯片存在400多个缝隙；；；；；；；；Nusenu发现未知组织劫持Tor近四分之一的出口节点；；；；；；；；Adobe颁布安全更新，，，， ，建复多款产品中的26个缝隙；；；；；；；；FBI和NSA结合披露俄罗斯针对Linux的恶意软件Drovorub。。。 。。。。。
凭据以上综述，，，， ，本周安全威胁为中。。。 。。。。。
> 沉要安全缝隙列表
1. Apache Struts CVE-2019-0230代码执行缝隙
Apache Struts框架在被强造使用时，，，， ，会对标签的属性进行二次求值缝隙，，，， ，允许远程攻击者利用缝隙提交特殊的要求，，，， ，可执行肆意代码。。。 。。。。。只有在Struts标签属性中强造使用OGNL表白式时，，，， ，能力触发缝隙。。。 。。。。。
https://cwiki.apache.org/confluence/display/ww/s2-059
2. Citrix Systems XenMobile Server CVE-2020-8211未明肆意代码执行缝隙
Citrix Systems XenMobile Server存在未明安全缝隙，，，， ，允许远程攻击者利用缝隙提交特殊的要求，，，， ，能够利用法式高低文执行肆意代码。。。 。。。。。
https://www.auscert.org.au/bulletins/ESB-2020.2780/
3. Schneider Electric APC Easy UPS On-Line `FileUploadServlet`蹊径遍历缝隙
Schneider Electric APC Easy UPS On-Line `FileUploadServlet`存在目录遍历缝隙，，，， ，允许远程攻击者能够利用缝隙提交特殊的要求，，，， ，可上传肆意文件到肆意目录。。。 。。。。。
https://us-cert.cisa.gov/ics/advisories/icsa-20-224-02
4. SAP Business Objects Business Intelligence Platform Xvfb验证绕过缝隙
SAP Business Objects Business Intelligence Platform Xvfb存在验证绕过缝隙，，，， ，允许远程攻击者利用缝隙提交特殊的要求，，，， ，可未授权接见利用。。。 。。。。。
https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=552603345
5. Shenzhen Hichip Vision Technology Firmware P2P服务代码执行缝隙
Shenzhen Hichip Vision Technology Firmware P2P服务存在安全缝隙，，，， ，允许远程攻击者利用缝隙提交特殊的要求，，，， ，能够利用法式高低文执行肆意代码。。。 。。。。。
https://redprocyon.com
> 沉要安全事务综述
1、FBI忠告伊朗黑客利用F5 BIG-IP缝隙攻击ADC设备
原文链接：
https://www.bleepingcomputer.com/news/security/fbi-iranian-hackers-trying-to-exploit-critical-f5-big-ip-flaw/
2、Check Point发现高通的Snapdragon芯片存在400多个缝隙
原文链接：
https://www.hackread.com/chip-flaws-turn-android-phones-into-spying-tool/
3、Nusenu发现未知组织劫持Tor近四分之一的出口节点
原文链接：
https://www.zdnet.com/article/a-mysterious-group-has-hijacked-tor-exit-nodes-to-perform-ssl-stripping-attacks/
4、Adobe颁布安全更新，，，， ，建复多款产品中的26个缝隙
原文链接：
https://www.bleepingcomputer.com/news/security/adobe-fixes-critical-code-execution-bugs-in-acrobat-and-reader/
5、FBI和NSA结合披露俄罗斯针对Linux的恶意软件Drovorub
原文链接：
https://www.zdnet.com/article/fbi-and-nsa-expose-new-linux-malware-drovorub-used-by-russian-state-hackers/
京公网安备11010802024551号