信息安全周报-2019年第16周
颁布功夫 2019-04-22本周安全态势综述
共收录安全缝隙46个，，， ，，值得关注的是Atlassian Confluence Server和Atlassian Data Center目录遍历缝隙；；；；；；； ；Sangfor Sundray WLAN Controller权限提升缝隙; GitLab CVE-2019-9485用户权限提升缝隙；；；；；；； ；Delta Electronics Delta Industrial Automation CNCSoft CVE-2019-10949缓冲区溢露马脚；；；；；；； ；Cloud Foundry Cloud Controller API验证缝隙。。。。 。
凭据以上综述，，， ，，本周安全威胁为中。。。。 。
沉要安全缝隙列表
Atlassian Confluence Server和Atlassian Data Center downloadallattachments资源存在蹊径遍历缝隙，，， ，，允许远程攻击者利用缝隙提交特殊的要求，，， ，，能够利用法式高低文查看系统文件内容。。。。 。
https://jira.atlassian.com/browse/CONFSERVER-58102
2. Sangfor Sundray WLAN Controller权限提升缝隙
Sundray WLAN Controller nginx_webconsole.php存在安全缝隙，，， ，，允许远程攻击者利用缝隙提交特殊的要求，，， ，，可读取admin密码，，， ，，获取权限。。。。 。
https://nvd.nist.gov/vuln/detail/CVE-2019-9161
3. GitLab CVE-2019-9485用户权限提升缝隙
GitLab impersonate user职能存在安全缝隙，，， ，，允许远程攻击者利用缝隙提交特殊的要求，，， ，，提升用户权限。。。。 。
https://about.gitlab.com/2019/03/04/security-release-gitlab-11-dot-8-dot-1-released/
4. Delta Electronics Delta Industrial Automation CNCSoft CVE-2019-10949缓冲区溢露马脚
Delta Electronics Delta Industrial Automation CNCSoft存在越界写缝隙，，， ，，允许远程攻击者利用缝隙提交特殊的要求，，， ，，可执行肆意代码或进行回绝服务攻击。。。。 。
https://ics-cert.us-cert.gov/advisories/ICSA-19-106-01
Cloud Foundry Cloud Controller API验证实现存在安全缝隙，，， ，，允许远程攻击者能够利用缝隙提交特殊的要求，，， ，，可提升权限。。。。 。
https://www.cloudfoundry.org/blog/cve-2019-3798
沉要安全事务综述
微软证实1月1日至3月29日期间攻击者入侵了一个客户支持代理账户，，， ，，并利用该账户接见了客户支持门户网站及部门OutLook用户的有关信息。。。。 。这些信息蕴含电子邮件地址、文件夹名称、邮件主题及联系人电子邮件地址，，， ，，但不蕴含邮件及附件的内容。。。。 。目前尚不明显攻击的具体细节，，， ，，但微软暗示已经禁用了该代理账户的痛处，，， ，，并通知所有受影响的用户。。。。 。微软也没有泄漏受影响的用户总数。。。。 。
原文链接：
https://thehackernews.com/2019/04/microsoft-outlook-email-hack.html
2、Gnosticplayers销售第五批用户数据，，， ，，蕴含6500多万个账号
原文链接：
https://cyware.com/news/gnosticplayers-hacker-returns-with-fifth-dataset-containing-over-65-million-user-accounts-for-sale-95450e99
3、超大规模恶意告白活动，，， ，，劫持5亿iOS用户会话
安全厂商Confiant发现犯罪团伙eGobbler提议针对iOS用户的超大规模恶意告白活动，，， ，，已劫持5亿iOS用户的会话。。。。 。该攻击活动从4月6日起头，，， ，，持续了6天的功夫，，， ，，攻击者使用了8个分歧的恶意告白系列和30多个虚伪告白，，， ，，每个虚伪告白系列的性命周期为24-48幼时之间。。。。 。攻击者重要针对美国和欧盟的iOS用户，，， ，，并在攻击中利用了Chrome浏览器中的缝隙以绕过沙盒检测。。。。 。攻击者使用了.world域名托管的垂钓网站，，， ，，经过短暂的搁浅之后，，， ，，又转向.site域名的垂钓网站。。。。 。自4月14日以来，，， ，，这些垂钓网站一向处于活跃状态。。。。 。
原文链接：
https://www.bleepingcomputer.com/news/security/malvertising-campaign-abused-chrome-to-hijack-500-million-ios-user-sessions/
4、JustDial API泄露超过1亿印杜酌户的幼我信息
原文链接：
https://thehackernews.com/2019/04/justdial-hacked-data-breach.html
5、Facebook新数据丑闻，，， ，，未经用户许可上传150万用户邮件联系人
在周三颁布的一份申明中，，， ，，Facebook暗示自2016年5月以来该公司“无意间”在未经用户许可的情况下向服务器上传了多达150万用户的电子邮件联系人。。。。 。这是Facebook近期面对的一系列隐衷有关问题和争议中的最新事务。。。。 。Facebook暗示已在一个月前终场了可疑的电子邮件验证过程，，， ，，并向用户保障未分享这些联系人信息及已经起头删除这些联系人。。。。 。
原文链接：
https://thehackernews.com/2019/04/facebook-email-database.html
京公网安备11010802024551号