信息安全周报-2020年第47周

颁布功夫 2020-11-23

> 本周安全态势综述


2020年11月16日至11月22日共收录安全缝隙61个，，，，，值得关注的是Aviatrix Systems Controller API肆意文件执行缝隙； ；；；；Google Go CVE-2020-28366代码注入缝隙； ；；；；Paradox IP150 CVE-2020-25189缓冲区溢露马脚； ；；；；QNAP QTS CVE-2020-2492号令注入缝隙； ；；；；Real Time Automation 499ES EtherNet/IP栈缓冲区溢露马脚 。。。。。。


本周值得关注的网络安全事务是黑客在暗网公开320万个Pluto TV用户的信息； ；；；；Snow Software颁布2021年有关IT治理的分析汇报； ；；；；Intel 471颁布暗网中25种重要RaaS产品的分析汇报； ；；；；Google Nest服务中断导致欧美用户智能家居失灵； ；；；；钻研人员发现数十个AWS API可被用来窃守信息 。。。。。。


凭据以上综述，，，，，本周安全威胁为中 。。。。。。


> 沉要安全缝隙列表


1.Aviatrix Systems Controller API肆意文件执行缝隙


Aviatrix Systems Controller API实现的可执行文件存在未授权缝隙，，，，，允许远程攻击者利用缝隙提交特殊的要求，，，，，能够利用法式高低文执行代码 。。。。。。

https://www.criticalstart.com/multiple-vulnerabilities-discovered-in-aviatrix/


2.Google Go CVE-2020-28366代码注入缝隙


Google Go存在安全缝隙，，，，，允许远程攻击者利用缝隙提交特殊的要求，，，，，可注入代码并以利用法式高低文执行 。。。。。。

https://www.vuxml.org/freebsd/db4b2f27-252a-11eb-865c-00155d646400.html



3.Paradox IP150 CVE-2020-25189缓冲区溢露马脚


Paradox IP150存在栈缓冲区溢露马脚，，，，，允许远程攻击者利用缝隙提交特殊的要求，，，，，能够利用法式高低文执行肆意代码或使利用法式崩溃 。。。。。。

https://us-cert.cisa.gov/ics/advisories/icsa-20-324-02


4.QNAP QTS CVE-2020-2492号令注入缝隙


QNAP QTS存在输入验证缝隙，，，，，允许远程攻击者利用缝隙提交特殊的要求，，，，，能够利用法式高低文执行肆意号令 。。。。。。

https://www.qnap.com/en/security-advisory/qsa-20-09


5.Real Time Automation 499ES EtherNet/IP栈缓冲区溢露马脚


Real Time Automation 499ES EtherNet/IP存在栈缓冲区溢露马脚，，，，，允许远程攻击者利用缝隙提交特殊的要求，，，，，能够利用法式高低文执行肆意代码或使利用法式崩溃 。。。。。。

https://us-cert.cisa.gov/ics/advisories/icsa-20-324-03


> 沉要安全事务综述


1、黑客在暗网公开320万个Pluto TV用户的信息


1.png


上周三，，，，，黑客在暗网公开了蕴含320万个Pluto TV用户信息的数据库 。。。。。。通过数据库样本可知，，，，，泄露数据蕴含用户名、电子邮件地址、bcrypt哈希密码、生日、设备平台和IP地址 。。。。。。黑客宣称这次数据泄露是由ShinyHunters导致的，，，，，而该数据库可能是两年前泄露的，，，，，最新纪录是在2018年10月12日创建的 。。。。。。目前，，，，，Pluto TV尚未证实是否产生了数据泄露，，，，，仅暗示他们在调查中 。。。。。。


原文链接：

https://www.bleepingcomputer.com/news/security/hacker-shares-32-million-pluto-tv-accounts-for-free-on-forum/


2、Snow Software颁布2021年有关IT治理的分析汇报


2.png


Snow Software颁布2021年有关IT治理的分析汇报 。。。。。。汇报显示，，，，，63％的受访者称技术治理变得越来越难题，，，，，企业在软件、硬件、SaaS和云上的技术支出全面增长 。。。。。。87％的IT辅导者暗示，，，，，从前一年中他们已经过Microsoft、IBM、Oracle、Adobe和SAP等软件供给商的审计，，，，，只有51％的人不安下一年的审计 。。。。。。此表，，，，，壮大的技术谍报使IT辅导者能更有效地解决他们的首要工作，，，，，但只有14%的IT辅导者达到了成熟技术智能的尺度 。。。。。。


原文链接：

https://www.snowsoftware.com/company/news/cios-face-competing-and-complex-priorities-2021-finds-new-snow-software-report


3、Intel 471颁布暗网中25种重要RaaS产品的分析汇报


3.png


Intel 471颁布了有关暗网中的25种重要RaaS产品的分析汇报 。。。。。。Intel 471暗示，，，，，它凭据RaaS的复杂水平、职能和汗青将这些勒索软件分为三个档次 。。。。。。第一层为当今最驰名的勒索软件，，，，，蕴含REvil、Netwalker、DopplePaymer、Egregor（Maze）和Ryuk 。。。。。。第二层为勒索软件世界的新兴代表，，，，，蕴含Avaddon、Conti、Clop、DarkSide、Mespinoza（Pysa）、RagnarLocker、Ranzy（Ako）、SunCrypt和Thanos 。。。。。。第三层为新颁布的RaaS产品，，，，，蕴含CVartek.u45、Exorcist、Gothmog、Lolkek、Muchlove、Nemty、Rush、Wally、Xinof、Zeoticus和ZagreuS 。。。。。。


原文链接：

https://public.intel471.com/blog/ransomware-as-a-service-2020-ryuk-maze-revil-egregor-doppelpaymer/


4、Google Nest服务中断导致欧美用户智能家居失灵


4.png


本周二Google Nest服务大规模中断，，，，，导致北美和欧洲用户智能家居失灵 。。。。。。周二凌晨，，，，，谷歌总部颁布新闻称，，，，，其发现一个问题会影响谷歌Nest设备和Nest利用 。。。。。。该问题导致智能家居用户无法登录其账户，，，，，无法使用智能手机旁观视频直播，，，，，无法调整恒温节造器，，，，，也无法与Nest的任何系列产品互动，，，，，其中北美和北欧的用户受到的影响最大 。。。。。。其实，，，，，该服务在2月也产生了类似的中断，，，，，持续了16个幼时 。。。。。。


原文链接：

https://www.theregister.com/2020/11/17/google_nest_outage/


5、钻研人员发现数十个AWS API可被用来窃守信息


5.png


Palo Alto Networks钻研人员发现了16个分歧Amazon Web Services（AWS）中的22个API，，，，，可被滥用来获守信息 。。。。。。该问题是由于AWS后端会自动验证附加到资源的所有基于资源的战术所导致的 。。。。。。若是战术中蕴含不存在的身份，，，，，则创建或更新战术的API挪用将失败，，，，，攻击者能够滥用此职能来查抄AWS账户中的现有身份 。。。。。。钻研人员称，，，，，该攻击可在aws、aws-us-gov和aws-cn分区上进行，，，，，易受攻击的AWS服务蕴含AWS S3、AWS KMS和AWS SQS 。。。。。。


原文链接：

https://www.securityweek.com/researchers-find-tens-aws-apis-leaking-sensitive-data