信息安全周报-2018年第49周
颁布功夫 2018-12-10
2018年12月03日09日共收录安全缝隙55个，， ，，，，，，值得关注的是Adobe Flash Player开释后利用代码执行缝隙；；；；；；；FreeBSD bhyve肆意代码执行缝隙；；；；；；；NUUO NVRMini2 upgrade_handle.php号令注入缝隙；；；；；；；HPE Intelligent Management Center PLAT dbman.exe缓冲区溢露马脚；；；；；；；Rockwell Automation Allen-Bradley PowerMonitor 1000 接见节造谬误缝隙。。。。。。 。。
本周值得关注的网络安全事务是Quora遭黑客入侵，， ，，，，，，约1亿用户数据被窃；；；；；；；M2M和谈被曝存在缝隙，， ，，，，，，可用于攻击工业物联网系统；；；；；；；万豪酒店因数据库泄露遭集体诉讼，， ，，，，，，被索赔125亿美元；；；；；；；APT组织Tropic Trooper新恶意活动，， ，，，，，，针对亚洲能源及食品行业；；；；；；；数据库不设密码，， ，，，，，，Urban公司超过30万用户信息泄露。。。。。。 。。
凭据以上综述，， ，，，，，，本周安全威胁为钟祝。。。。。 。。
沉要安全缝隙列表
1. Adobe Flash Player开释后利用代码执行缝隙
Adobe Flash Player存在开释后利用缝隙，， ，，，，，，允许远程攻击者利用缝隙提交特殊的文件要求，， ，，，，，，能够利用法式高低文执行肆意代码。。。。。。 。。
https://helpx.adobe.com/security/products/flash-player/apsb18-42.html
2. FreeBSD bhyve肆意代码执行缝隙
FreeBSD对bhyve提供的设备�？ ？？？？？？橹卸倘闭返奶烨挡槌�，， ，，，，，，允许本地攻击者利用缝隙提交特殊的要求，， ，，，，，，bhyve过程崩�；；；；；；；蛞詒oot权限在主机上执行肆意代码。。。。。。 。。
https://www.freebsd.org/security/advisories/FreeBSD-SA-18:14.bhyve.asc3. NUUO NVRMini2 upgrade_handle.php号令注入缝隙
NUUO NVRMini2 upgrade_handle.php存在输入验证缝隙，， ，，，，，，允许远程攻击者利用缝隙提交特殊的要求，， ，，，，，，以ROOT高低文执行肆意代码。。。。。。 。。
https://github.com/tenable/poc/tree/master/nuuo/nvrmini2/cve_2018_157164. HPE Intelligent Management Center PLAT dbman.exe缓冲区溢露马脚
HPE Intelligent Management Center PLAT存在缓冲区溢出，， ，，，，，，允许远程攻击者利用缝隙提交特殊的要求，， ，，，，，，进行回绝服务攻击或执行肆意代码。。。。。。 。。
https://support.hpe.com/hpsc/doc/public/display?docId=hpesbhf03906en_us5. Rockwell Automation Allen-Bradley PowerMonitor 1000 接见节造谬误缝隙
Rockwell Automation Allen-Bradley PowerMonitor 1000 WEB页面存在接见节造缝隙，， ，，，，，，允许远程攻击者能够利用缝隙提交特殊的要求，， ，，，，，，增长拥有治理员权限的新账户。。。。。。 。。
http://packetstormsecurity.com/files/150619/Rockwell-Automation-Allen-Bradley-PowerMonitor-1000-Authentication-Bypass.html沉要安全事务综述
1、Quora遭黑客入侵，， ，，，，，，约1亿用户数据被窃
颇受欢迎的问答网站Quora颁发遭黑客入侵，， ，，，，，，约1亿用户的数据被窃-险些是其客户群体的一半。。。。。。 。。泄露的信息蕴含用户的账户信息，， ，，，，，，例如姓名、电子邮件地址、哈希密码以及从Facebook、Twitter等社交媒体导入的数据；；；；；；；用户的公开内容，， ，，，，，，例如提问、回覆、点赞和评论；；；；；；；用户的非公开内容，， ，，，，，，例如回覆约请、个人新闻等。。。。。。 。。Quora于周一晚间披露了这次事务，， ，，，，，，目前该事务还在进一步的调查之钟祝。。。。。 。。
原文链接：
https://thehackernews.com/2018/12/quora-hack.html
2、M2M和谈被曝存在缝隙，， ，，，，，，可用于攻击工业物联网系统
趋向科技钻研团队发现主流的两个M2M（机械对机械）和谈存在安全缝隙，， ，，，，，，可用于攻击IoT和IIoT设备。。。。。。 。。凭据该《工业物联网数据骨干中的脆弱性》汇报，， ，，，，，，这两个和谈别离是新闻队列遥测传输和谈（MQTT）和约束利用和谈（CoAP）。。。。。。 。。钻研人员分析了这两个和谈的设计和实现上存在的缝隙，， ，，，，，，并发现了数十万台配置不当的服务器，， ，，，，，，这些服务器露出了有关痛处、敏感信息以及工业流程有关的数据。。。。。。 。。这些缝隙可能导致DoS、肆意代码执行以及DDoS放大攻击等。。。。。。 。。
原文链接：
https://blog.trendmicro.com/trendlabs-security-intelligence/machine-to-machine-m2m-technology-design-issues-and-implementation-vulnerabilities/
3、万豪酒店因数据库泄露遭集体诉讼，， ，，，，，，被索赔125亿美元
万豪国际酒店集团(Marriott International)近日因客户数据库泄露而遭逢集体诉讼，， ，，，，，，索赔金额高达125亿美元。。。。。。 。。上周五万豪颁发旗下喜达屋酒店(Starwood Hotel)的一个客户预约数据库被黑客入侵，， ，，，，，，约5亿客户的信息可能泄露。。。。。。 。。据悉，， ，，，，，，黑客入侵早在2014年就已经起头。。。。。。 。。随后，， ，，，，，，美国Geragos&Geragos律师事务所的律师本·梅塞拉斯(Ben Meiselas)和Underdog Law司法照拂迈克尔·富勒(Michael Fuller)代表两名原告大卫·约翰逊(David Johnson)和克里斯·哈里斯(Chris Harris)对万豪国际酒店提起集体诉讼，， ，，，，，，索赔125亿美元。。。。。。 。。固然这一金额看起来极度巨大，， ，，，，，，但也仅相当于5亿潜在受害客户每人得到25美元的赔偿。。。。。。 。。
原文链接：
http://tech.sina.com.cn/i/2018-12-03/doc-ihprknvs8439051.shtml
4、APT组织Tropic Trooper新恶意活动，， ，，，，，，针对亚洲能源及食品行业
Windows Defender ATP团队发现一个针对亚洲能源、食品和饮料行业的新恶意攻击活动，， ，，，，，，基于对该活动的指标选择、攻击链以及工具集的分析，， ，，，，，，钻研团队以为该活动是由APT组织Tropic Trooper提议的。。。。。。 。。攻击的初始向量是一个利用了Office公式编纂器缝隙CVE-2018-0802的恶意文档，， ，，，，，，攻击者随后使用bitsadmin.exe从远程服务器下载并执行随机定名的payload。。。。。。 。。钻研人员以为这些payload的重要主张是窃取数据。。。。。。 。。
原文链接：
https://cloudblogs.microsoft.com/microsoftsecure/2018/11/28/windows-defender-atp-device-risk-score-exposes-new-cyberattack-drives-conditional-access-to-protect-networks/
5、数据库不设密码，， ，，，，，，Urban公司超过30万用户信息泄露
Urban是一家英国的推拿创业公司，， ，，，，，，其数据库因未设密码导致超过30万客户信息泄露。。。。。。 。。钻研人员Oliver Hough通过Shodan发现了该数据库，， ，，，，，，目前该数据库已下线，， ，，，，，，但不知路该数据库露出了多长功夫。。。。。。 。。该数据库中蕴含超过30.9万用户纪录，， ，，，，，，蕴含姓名、电子邮件地址、电话号码等。。。。。。 。。此表，， ，，，，，，数据库中还存储了超过35.1万个服务预约纪录，， ，，，，，，以及超过2000个推拿师的有关信息。。。。。。 。。
原文链接：
https://techcrunch.com/2018/11/27/urban-massage-data-exposed-customers-creepy-clients/
申明：本资讯由8827太阳集团维他命安全幼组翻译和整顿
京公网安备11010802024551号