信息清静周报-2018年第45周
宣布时间 2018-11-12一、本周清静态势综述
本周值得关注的网络清静事务是研究职员披露VirtualBox中的虚拟机逃逸0day；思科今年内第七次删除产品中的后门账户；柬埔寨多家ISP遭到该国历史上最大规模的DDoS攻击；美芝加哥CPS约8万员工的小我私家信息被窃；霍尼韦尔宣布关于工业设施中的USB威胁的剖析报告。
凭证以上综述，本周清静威胁为中。
二、主要清静误差列表
1. Cisco Unity Express JAVA反序列化处置惩罚恣意下令执行误差
Cisco Unity Express对用户提供的内容举行反序列化操作是没有举行足够的过滤，允许远程攻击者可以使用误差提交特殊的java序列化工具请求，可以ROOT权限执行恣意下令。
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20181107-cue2. AVEVA InduSoft Web Studio/InTouch Edge HMI远程代码执行误差
https://sw.aveva.com/hubfs/assets-2018/pdf/security-bulletin/SecurityBulletin_LFSec130.pdf
3. HPE Integrated Lights-Out 5固件更新清静限制绕过误差
https://support.hpe.com/hpsc/doc/public/display?docId=hpesbhf03894en_us
4. QEMU 'NBD_OPT_LIST'缓冲区溢出误差
https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2017-2630
5. Brocade Fabric OS ROOT权限提取误差
https://www.broadcom.com/support/fibre-channel-networking/security-advisories/brocade-security-advisory-2018-731
三、主要清静事务综述
俄罗斯误差研究职员Sergey Zelenyuk披露VirtualBox中的一个虚拟机逃逸0day，该误差影响了VirtualBox 5.2.20及之前的版本。该误差适用于网卡为Intel PRO/1000 MT Desktop (82540EM) 并处于NAT模式的虚拟机，攻击者可使用该误差逃逸至主机ring3权限，并使用其它手艺提权至ring0。研究职员在Github上详细形貌了该误差背后的机制，并宣布了相关PoC视频。
原文链接：
https://www.bleepingcomputer.com/news/security/virtualbox-zero-day-vulnerability-details-and-exploit-are-publicly-available/
2、思科今年内第七次删除产品中的后门账户
思科宣布了多款产品的15个清静更新，其中包括删除了小型企业交流机中的一个后门账户。这是今年来思科第七次删除产品中的后门账户。这些后门账户误差包括3月份的CVE-2018-0141和CVE-2018-0150、5月份的CVE-2018-0222、6月份的CVE-2018-0329、7月份的CVE-2018-0375、9月份的CVE-2018-15427以及本月（11月份）的CVE-2018-15439。
原文链接：
https://www.zdnet.com/article/cisco-removed-its-seventh-backdoor-account-this-year-and-thats-a-good-thing/
3、柬埔寨多家ISP遭到该国历史上最大规模的DDoS攻击
本周柬埔寨最大的几家互联网服务提供商（ISP）遭到了大规模的DDoS攻击，包括EZECOM、SINET、Telcotech和Digi。据外地媒体报道，此次DDoS攻击是该国历史上最大规模的攻击之一，本周一的DDoS攻击流量达近150Gbps。关于此次攻击的缘故原由和念头尚不清晰，也没有攻击者宣称对此认真。一种可能的情形是ISP竞争敌手之间的相互攻击。
原文链接：
https://www.zdnet.com/article/cambodias-isps-hit-by-some-of-the-biggest-ddos-attacks-in-the-countrys-history/
4、美芝加哥CPS约8万员工的小我私家信息被窃
凭证芝加哥太阳报的报道，芝加哥公立学校的一名前雇员Kristi Sims窃取了约8万名员工、自愿者和供应商的小我私家信息，这些信息包括姓名、员工ID、电话号码、地点、出生日期、犯法历史和DCFS视察效果等，不包括任何社保号码。Krims现在已被芝加哥警方拘捕和拘留，并将面临多项罪名的指控。
原文链接：
https://news.softpedia.com/news/80-000-individuals-had-their-personal-info-stolen-by-former-cps-employee-523592.shtml
5、霍尼韦尔宣布关于工业设施中的USB威胁的剖析报告
凭证霍尼韦尔宣布的一份新报告，USB装备是针对工业设施的恶意软件攻击的主要前言。该报告是基于霍尼韦尔的清静媒体交流（SMX）手艺网络的数据，涵盖了能源、石油和自然气、化学、纸张制造等行业。数据批注，26%的威胁可能导致工业企业失去ICS情形的可见性或控制权，从而造成重大中止。16%的威胁专门针对ICS和IoT系统，其中包括恶意软件Mirai（6％）、Stuxnet（2％）、Triton（2％）和WannaCry（1％）。
原文链接：
https://honeywellprocess.blob.core.windows.net/public/Support/Customer/Honeywell-USB-Threat-Report.pdf
声明：本资讯由优发国际网站官网维他命清静小组翻译和整理
京公网安备11010802024551号