信息安全周报-2021年第47周

颁布功夫 2021-11-22

>本周安全态势综述


本周共收录安全缝隙67个，，，， ，值得关注的是Advantech WebAccess HMI Designer CVE-2021-33000项目文件堆溢露马脚；；；；；；； ；Google Chrome media内存谬误引用代码执行缝隙；；；；；；； ；Lantronix PremierWave 2050 CVE-2021-21888号令注入缝隙；；；；；；； ；Adobe Media Encoder M4A缓冲区溢露马脚；；；；；；； ；Apache ShenYu未授权接见缝隙。 。。 。。 。


本周值得关注的网络安全事务是FBI邮件系统遭到入侵发送数十万条虚伪的攻击警报；；；；；；； ；网信办颁布《网络数据安全治理条例（征求定见稿）》；；；；；；； ；Facebook发现SideCopy伪造Android利用商店的攻击；；；；；；； ；Google颁布11月更新，，，， ，建复Chrome中的多个缝隙；；；；；；； ；Cloudflare颁发其招架了高达2 Tbps的DDoS攻击。 。。 。。 。


凭据以上综述，，，， ，本周安全威胁为中。 。。 。。 。


>沉要安全缝隙列表


1. Advantech WebAccess HMI Designer CVE-2021-33000项目文件堆溢露马脚


Advantech WebAccess HMI Designer项目文件处置存在堆溢露马脚，，，， ，允许远程攻击者能够利用缝隙提交特殊的文件要求，，，， ，诱使用户解析，，，， ，可使利用法式崩溃�；；；；；； ；蚰芄焕梅ㄊ礁叩臀闹葱兴烈獯�。 。。 。。 。


https://us-cert.cisa.gov/ics/advisories/icsa-21-173-01


2. Google Chrome media内存谬误引用代码执行缝隙


Google Chrome media存在开释后使用缝隙，，，， ，允许远程攻击者能够利用缝隙提交特殊的WEB页要求，，，， ，诱使用户解析，，，， ，可使利用法式崩溃�；；；；；； ；蚰芄焕梅ㄊ礁叩臀闹葱兴烈獯�。 。。 。。 。


https://chromereleases.googleblog.com/2021/11/stable-channel-update-for-desktop.html


3. Lantronix PremierWave 2050 CVE-2021-21888号令注入缝隙


Lantronix PremierWave 2050处置HTTP要求验证存在安全缝隙，，，， ，允许远程攻击者能够利用缝隙提交特殊的要求，，，， ，能够利用法式高低文执行肆意号令。 。。 。。 。


https://talosintelligence.com/vulnerability_reports/TALOS-2021-1332


4. Adobe Media Encoder M4A缓冲区溢露马脚


Adobe Media Encoder M4A存在缓冲区溢露马脚，，，， ，允许远程攻击者能够利用缝隙提交特殊的文件要求，，，， ，诱使用户解析，，，， ，可使利用法式崩溃�；；；；；； ；蛞岳梅ㄊ礁叩臀闹葱兴烈獯�。 。。 。。 。


https://helpx.adobe.com/security/products/media-encoder/apsb21-70.html


5. Apache ShenYu未授权接见缝隙


Apache ShenYu Admin ShenyuAdminBootstrap存在安全缝隙，，，， ，允许远程攻击者能够利用缝隙提交特殊的要求，，，， ，可绕过安全限度未授权接见。 。。 。。 。


https://lists.apache.org/thread/o15j25qwtpcw62k48xw1tnv48skh3zgb


>沉要安全事务综述


1、FBI邮件系统遭到入侵发送数十万条虚伪的攻击警报


FBI邮件系统在11月13日遭到入侵，，，， ，被用来发送数十万条虚伪的攻击警报。 。。 。。 。这些邮件假意河山安全数 (DHS)，，，， ，宣称收件人遭到了来自Vinny Troia的链式攻击。 。。 。。 。但此人是安全公司NightLion和Shadowbyte的掌管人，，，， ，钻研人员揣度这次活动旨在诽谤安全人员Troia。 。。 。。 。Spamhaus公司暗示，，，， ，这些邮件都来自FBI法律企业门户（LEEP）的合法地址eims@ic.fbi.gov，，，， ，IP地址为153.31.119.142(mx-east-ic.fbi.gov)。 。。 。。 。FBI称由于软件按配置谬误，，，， ，使得攻击者能够利用LEEP发送伪造的邮件。 。。 。。 。


原文链接：

https://securityaffairs.co/wordpress/124570/cyber-crime/fbi-hacked-email-server.html


2、网信办颁布《网络数据安全治理条例（征求定见稿）》


国度网信办于11月14日颁布了《网络数据安全治理条例（征求定见稿）》的公开征求定见通知。 。。 。。 。截至今年6月，，，， ，我国网民规模达10.11亿，，，， ，由此产生的网络数据量更是天文数字。 。。 。。 。该条例规范网络数据处置活动，，，， ，保�；；；；；； ；び孜摇⒆橹谕缈占涞暮戏ㄈɡ� ，守护国度安全和公共利益。 。。 。。 。中国互联网协会法工委副秘书长胡钢指出，，，， ，这是新时期规范互联网平台企业，，，， ，强化反垄断和本钱无序扩张的应有之义，，，， ，也是守护国度安全、保�；；；；；； ；ど缁峁怖娴谋匾�。 。。 。。 。


原文链接：

http://www.cac.gov.cn/2021-11/14/c_1638501991577898.htm


3、Facebook发现SideCopy伪造Android利用商店的攻击


Facebook的安全团队在11月16日披露了巴基斯坦黑客团伙SideCopy新一轮的垂钓活动。 。。 。。 。这次活动在今年4月至8月之间，，，， ，成立并运营了一个伪造的Android利用商店。 。。 。。 。攻击者重要通常�；；；；；； ；峒僖饽昵崤岳纯拷副辏� ，诱使其打开用来用来网络信息的垂钓网站或者伪造的Android利用商店。 。。 。。 。而后通过假装成谈天利用的恶意软件，，，， ，分发PJobRAT和Mayhem等。 。。 。。 。


原文链接：

https://therecord.media/pakistani-hackers-operated-a-fake-app-store-to-target-former-afghan-officials/


4、Google颁布11月更新，，，， ，建复Chrome中的多个缝隙


11月16日，，，， ，Google颁布了本月Chrome的安全更新，，，， ，总计建复了25个缝隙。 。。 。。 。其中，，，， ，较为严沉的是在媒体中的开释后使用缝隙（CVE-2021-38008）、V8中的类型混合缝隙（CVE-2021-38007）和加载器中开释后使用缝隙（CVE-2021-38005）等。 。。 。。 。此表，，，， ，还建复了指纹鉴别中的堆缓冲区溢露马脚（CVE-2021-38013）和Swiftshader中的越界写入（CVE-2021-38014）等缝隙。 。。 。。 。


原文链接：

https://chromereleases.googleblog.com/2021/11/stable-channel-update-for-desktop.html


5、Cloudflare颁发其招架了高达2 Tbps的DDoS攻击


美国网络安全公司Cloudflare在11月15日颁发其招架了迄今为止遇到的最大攻击DDoS攻击，，，， ，峰值略低于2 Tbps。 。。 。。 。这次攻击活动是结合了DNS放大攻击和UDP泛洪的多向量攻击，，，， ，整个过程只持续了一分钟，，，， ，来自约15000个机械人组成的僵尸网络Mirai变种。 。。 。。 。Cloudflare汇报称第三季度网络层DDoS攻击活动比上一季度增长了44%，，，， ，该公司在8月招架了每秒1720万次要求的DDoS攻击，，，， ，微软在10月称其云服务Azure招架了2.4 Tbps的DDoS攻击。 。。 。。 。


原文链接：

https://securityaffairs.co/wordpress/124634/security/cloudflare-mitigated-ddos-2-tbps.html