信息清静周报-2019年第29周

宣布时间 2019-07-29

>  本周清静态势综述



2019年7月22日至28日共收录清静误差49个，值得关注的是ProFTPD SITE CPFR/CPTO恣意读写误差；Apple Webkit 多个内存破损代码执行误差；Zeroshell http参数下令注入误差；Apache Storm反序列化代码执行误差；McAfee Data Loss Prevention Endpoint ePO扩展下令注入误差。


本周值得关注的网络清静事务是俄罗斯联邦清静局承包商遭黑客入侵，神秘项目曝光；ProFTPD RCE误差，凌驾100万台服务器受影响；印度小额信贷银行Jana Cash意外泄露260万用户生意信息；RiskIQ宣布2019互联网犯法报告，每分钟损失290万美元；前西门子条约工认可在公司电子表格中植入逻辑炸弹。


凭证以上综述，本周清静威胁为中。



>  主要清静误差列表



1. ProFTPD SITE CPFR/CPTO恣意读写误差


ProFTPD SITE CPFR/CPTO没有准确处置惩罚和设置，允许远程攻击者可以使用误差提交特殊的请求，可执行恣意读写操作。

http://bugs.proftpd.org/show_bug.cgi?id=4372

2. Apple Webkit CVE-2019-8644内存破损代码执行误差


Apple iOS包括的WebKit保存内存破损误差，允许远程攻击者可以使用误差提交特殊的WEB请求，诱使用户剖析，可使应用程序崩�；蛑葱许б獯�。

https://support.apple.com/zh-cn/HT210356

3. Zeroshell http参数下令注入误差


Zeroshell处置惩罚http参数保存输入验证误差，允许远程攻击者可以使用误差提交特殊的请求，可执行恣意代码。
https://www.tarlogic.com/advisories/zeroshell-rce-root.txt

4. Apache Storm反序列化代码执行误差


Apache Storm处置惩罚不可信数据保存反序列化误差，允许远程攻击者可以使用误差提交特殊的请求，可执行恣意代码。
https://lists.apache.org/thread.html/3e4f704c4bd9296405a07a0290b8cbb6cbf5046e277efe6d93280a98@%3Cuser.storm.apache.org%3E

5. McAfee Data Loss Prevention Endpoint ePO扩展下令注入误差


McAfee Data Loss Prevention Endpoint ePO扩展保存清静误差，允许远程攻击者使用误差提交特殊的请求，可执行恣意OS下令。
https://kc.mcafee.com/corporate/index?page=content&id=SB10289



>  主要清静事务综述



1、俄罗斯联邦清静局承包商遭黑客入侵，神秘项目曝光


优发国际·随优而动一触即发


俄罗斯联邦清静局（FSB）的承包商SyTech遭黑客入侵，该公司为FSB开发的神秘项目被曝光。该攻击事务爆发在7月13日，黑客团伙0v1ru$入侵了SyTech的服务器，并窃取了7.5TB的数据。这些数据随后被分享给黑客团伙DigitalRevolution，后者向媒体举行了曝光。这些神秘项目包括旨在隔离俄罗斯互联网的Nadezhda项目、旨在网络社交媒体用户信息的Nautilus项目以及旨在对Tor网络用户举行去匿名化的Nautilus-S项目等。

原文链接：https://www.bleepingcomputer.com/news/security/russian-fsb-intel-agency-contractor-hacked-secret-projects-exposed/

2、ProFTPD RCE误差，凌驾100万台服务器受影响


优发国际·随优而动一触即发



ProFTPD宣布新版本1.3.6，修复一个可导致RCE的误差。该误差（CVE-2019- 12815）与ProFTPD的mod_copy�？橛泄�，误差缘故原由是mod_copy�？榈淖越缢礢ITE CPFR和SITE CPTO下令没有按预期设置事情。治理员可通过禁用mod_copy�？槔椿航飧梦蟛�。凭证Shodan的搜索效果，现在有凌驾100万个ProFTPd服务器尚未升级修复补丁。德国CERT-Bund也针对该误差向用户发出警报。

原文链接：https://www.bleepingcomputer.com/news/security/proftpd-remote-code-execution-bug-exposes-over-1-million-servers/

3、印度小额信贷银行Jana Cash意外泄露260万用户生意信息


优发国际·随优而动一触即发


研究职员发明印度小额信贷银行Jana Cash的一个数据库未受密码�；�，导致数百万用户的生意信息可被果真会见。泄露的敏感信息包括260万用户的生意纪录，以及他们的KYC PII信息，例如钱包ID、用户名、电子邮件、IP地点和端口号等。在研究职员转达该公司后，该公司已对Elastic数据库举行�；�。现在尚不清晰该数据库袒露了多长时间以及是否已被其他人会见。

原文链接：https://securitydiscovery.com/jana-bank-data-leak/

4、RiskIQ宣布2019互联网犯法报告，每分钟损失290万美元


优发国际·随优而动一触即发


凭证RiskIQ的数据，去年网络犯法分子每分钟给全球经济造成290万美元的损失，整年总计造成1.5万亿美元的损失。其它数据包括，加密钱币生意所每分钟的损失达1930美元；垂纶攻击每分钟造成的损失达17700美元；2019年全球勒索软件事务的预计本钱为每分钟22184美元；每分钟泄露的身份数据条数为8100条；每分钟检测到的恶意重定向为7个等。

原文链接：https://www.riskiq.com/blog/external-threat-management/2019-evil-internet-minute/

5、前西门子条约工认可在公司电子表格中植入逻辑炸弹


优发国际·随优而动一触即发


前西门子条约工David Tinley认可在为公司建设的电子表格中植入逻辑炸弹，他将面临最高10年的羁系以及25万美元的�？�。凭证相关法庭文件，Tinley为西门子的Monroeville PA服务处提供了近十年的软件服务，他在给公司建设用于治理装备订单的电子表格时植入了逻辑炸弹，这些炸弹会在特定日期触发，导致文件瓦解。每次瓦解时Tinley都会收取用度来修复该文件，直到两年后西门子发明了逻辑炸弹并提出了指控。

原文链接：https://www.zdnet.com/article/siemens-contractor-pleads-guilty-to-planting-logic-bomb-in-company-spreadsheets/