信息安全周报-2018年第26周
颁布功夫 2018-07-02一、本周安全态势综述
2018年06月25日至29日共收录安全缝隙55个， ，，，，，，，值得关注的是Schneider Electric U.motion Builder栈缓冲区溢露马脚；；；；；Delta Industrial Automation COMMGR AHSIM_5x0 Simulator栈缓冲区溢露马脚；；；；；Adobe Reader DC越界读肆意代码执行缝隙；；；；；Microsoft OneDrive DLL处置肆意代码执行缝隙；；；；；Apache HBase安全限度绕过缝隙。。。。。。。。
本周值得关注的网络安全事务是钻研人员忠告称使用TLS认证网站的Netflix垂钓活动不休增长；；；；；英国税务机关HMRC涉嫌违法网络约510万用户的语音纪录；；；；；Wi-Fi联盟正式颁布新一代安全尺度WPA3， ，，，，，，，可进一步提高网络安全性；；；；；FastBooking遭黑客入侵， ，，，，，，，数百家酒店的用户数据泄露；；；；；Facebook第三方利用导致约1.2亿用户的数据面对泄露风险。。。。。。。。
凭据以上综述， ，，，，，，，本周安全威胁为钟祝。。。。。。。
二、沉要安全缝隙列表
1、Schneider Electric U.motion Builder栈缓冲区溢露马脚
Schneider Electric U.motion Builder存在栈的缓冲区溢露马脚， ，，，，，，，允许远程攻击者利用缝隙提交特殊的要求， ，，，，，，，以利用法式高低文执行肆意代码。。。。。。。。
用户可参考如下厂商提供的安全补丁以建复该缝隙：https://www.schneiderelectric.com/en/download/document/Umotion_Server_update/
2、Delta Industrial Automation COMMGR AHSIM_5x0 Simulator栈缓冲区溢露马脚
Delta Industrial Automation COMMGR AHSIM_5x0 Simulator处置TCP报文存在栈溢露马脚， ，，，，，，，允许远程攻击者利用缝隙提交特殊的要求， ，，，，，，，能够COMMGR过程高低文执行肆意代码。。。。。。。。
用户可参考如下厂商提供的安全补丁以建复该缝隙：http://www.deltaww.com/Products/PluginWebUserControl/downloadCenterCounter.aspx?DID=2093&DocPath=1&hl=en-US
3、Adobe Reader DC越界读肆意代码执行缝隙
Adobe Reader DC存在越界读缝隙， ，，，，，，，允许远程攻击者利用缝隙提交特殊的PDF文件， ，，，，，，，诱使用户解析， ，，，，，，，可执行肆意代码。。。。。。。。
用户可参考如下厂商提供的安全补丁以建复该缝隙：https://helpx.adobe.com/security/products/acrobat/apsb18-02.html
4、Microsoft OneDrive DLL处置肆意代码执行缝隙
Microsoft OneDrive处置搜索蹊径存在安全缝隙， ，，，，，，，允许远程攻击者能够利用缝隙提交特殊的DLL， ，，，，，，，诱使用户解析， ，，，，，，，可执行肆意代码。。。。。。。。
用户可参考如下厂商提供的安全补丁以建复该缝隙：https://blogs.technet.microsoft.com/srd/2018/04/04/triaging-a-dll-planting-vulnerability/
5、Apache HBase安全限度绕过缝隙
Apache HBase存在安全缝隙， ，，，，，，，允许远程攻击者能够利用缝隙提交特殊的要求， ，，，，，，，绕过安全限度， ，，，，，，，执行未授权的操作。。。。。。。。
用户可参考如下厂商提供的安全补丁以建复该缝隙：https://lists.apache.org/thread.html/a919e38f587c714c386a01d40fc8f45bd4219a65aaf2dc0bb4eccc96@%3Cdev.hbase.apache.org%3E
三、沉要安全事务综述
1、钻研人员忠告称使用TLS认证网站的Netflix垂钓活动不休增长
SANS技术钻研院院长Johannes Ullrich称使用TLS认证网站的Netflix垂钓活动不休增长。。。。。。。。攻击者首先入侵WordPress或Drupal等CMS构建的网站， ，，，，，，，而后创建Netflix垂钓网站并获取与Netflix名称有关的TLS证书， ，，，，，，，如netflix.domain.com或netflix.login.domain.com， ，，，，，，，这使其看起来越发可信。。。。。。。。固然Netflix账户价值并不高， ，，，，，，，但这种攻击易于实现自动化且难以让受害者发现。。。。。。。。
原文链接：https://threatpost.com/new-phishing-scam-reels-in-netflix-users-to-tls-certified-sites/132976/
2、英国税务机关HMRC涉嫌违法网络约510万用户的语音纪录
隐衷�；；；；；ぷ橹疊ig Brother Watch发现英国的税务机关HMRC涉嫌违法网络约510万英国公民的语音纪录。。。。。。。。HMRC通过2017年1月推出的一项语音鉴别服务网络了这些纪录， ，，，，，，，该服务允许用户在呼叫HMRC时通过语音进行身份验证。。。。。。。。但Big Brother Watch发现用户无法选择不使用该服务， ，，，，，，，所有拨打HMRC热线的用户都被迫录造了语音纪录， ，，，，，，，并且用户无法选择从HMRC的数据库中删除其语音纪录。。。。。。。。该组织以为HMRC此举显著违反了GDPR， ，，，，，，，英国信息专员办公室（ICO）已对此事发展正式的调查。。。。。。。。
原文链接：https://www.bleepingcomputer.com/news/government/uk-tax-agency-recorded-the-voices-of-51-million-brits/
3、Wi-Fi联盟正式颁布新一代安全尺度WPA3， ，，，，，，，可进一步提高网络安全性
本周一Wi-Fi联盟正式颁布新一代安全尺度WPA3， ，，，，，，，WPA3是用于Wi-Fi衔接的用户身份验证技术的最新版本。。。。。。。。WPA3有两种安全模式， ，，，，，，，WPA3-Personal和WPA3-Enterprise， ，，，，，，，这两种安全模式的重要区别在于身份验证阶段。。。。。。。。对于企业、当局和金融网络中使用的设备， ，，，，，，，建议使用WPA3-Enterprise安全模式， ，，，，，，，WPA3-Personal则是面向通常幼我用户。。。。。。。。Wi-Fi联盟暗示WPA3的SAE算法可能招架暴力攻击， ，，，，，，，WPA3将在屡次失败尝试后阻止认证要求。。。。。。。。
原文链接：https://www.bleepingcomputer.com/news/security/new-wpa3-wi-fi-standard-released/
4、FastBooking遭黑客入侵， ，，，，，，，数百家酒店的用户数据泄露
巴黎酒店预约公司FastBooking遭黑客入侵， ，，，，，，，数百家酒店的用户数据泄露。。。。。。。。FastBooking称攻击者在6月14日利用其服务器上一个软件的缝隙装置了恶意软件， ，，，，，，，并窃取了酒店用户的姓名、国籍、地址、电子邮件地址和酒店预约有关信息（酒店名称、入住和退房）等数据， ，，，，，，，窃取的数据还蕴含部门用户的银行卡信息， ，，，，，，，如卡号、过期日期等。。。。。。。。FastBooking称该事务影响了日本的380家酒店， ，，，，，，，Bleeping Computer以为这一数字在全球领域内可能超过了1000。。。。。。。。
原文链接：https://www.bleepingcomputer.com/news/security/hundreds-of-hotels-affected-by-data-breach-at-hotel-booking-software-provider/
5、Facebook第三方利用导致约1.2亿用户的数据面对泄露风险
钻研人员Inti De Ceukelaire发现第三方智力较量利用Nametests.com使约1.2亿Facebook用户的数据面对泄露风险。。。。。。。。只有Facebook用户在NameTests网站上注册， ，，，，，，，该公司将能够获取用户的幼我数据。。。。。。。。但钻研人员发现NameTests网站谬误地将其“Access-Control-Allow-Origin”战术配置成通配符*， ，，，，，，，这允许任何网站接见其资源， ，，，，，，，蕴含这些用户的幼我数据。。。。。。。。NameTests已经建复了该问题。。。。。。。。
原文链接：https://thehackernews.com/2018/06/facebook-users-data-leak.html
©ADLab 8827太阳集团积极防御尝试室 2016
京公网安备11010802024551号