信息清静周报-2019年第36周

宣布时间 2019-09-16

> 本周清静态势综述



2019年9月09日至13日共收录清静误差48个 ，值得关注的是Dabman & Imperial Web Radio Devices telnet后门误差；Exim初始TLS握手恣意代码执行误差；Apache OFBiz template注入代码执行误差；Adobe Flash Player PSDK内存过失引用误差；Microsoft Office内存破损代码执行误差。


本周值得关注的网络清静事务是Dealer Leads意外泄露1.98亿汽车买家纪录；新NetCAT攻击可从英特尔CPU中窃取数据；美国国家标准与手艺研究院宣布隐私框架初稿；黑客使用DoS误差导致美国电网防火墙重复重启；Telestar被曝Telnet后门误差影响100多万IoT装备。


凭证以上综述 ，本周清静威胁为中。


> 主要清静误差列表



1. Dabman & Imperial Web Radio Devices telnet后门误差


Dabman & Imperial Web Radio Devices保存未文档化的telnet后门误差 ，允许远程攻击者可以使用误差提交特殊的请求 ，可未授权会见应用。
https://packetstormsecurity.com/files/154416/Dabman-And-Imperial-Web-Radio-Devices-Undocumented-Telnet-Backdoor.html

2. Exim初始TLS握手恣意代码执行误差


Exim处置惩罚TLS链接的初始TLS握手保存清静误差 ，允许远程攻击者使用误差提交特殊的请求 ，发送一个以“\0”最后的SNI来触发误差 ，执行恣意代码。
https://www.kb.cert.org/vuls/id/672565/

3. Apache OFBiz template注入代码执行误差


Apache OFBiz保存template注入误差 ，允许远程攻击者使用误差提交特殊的请求 ，可执行恣意代码。
https://www.auscert.org.au/bulletins/ESB-2019.3469/

4. Adobe Flash Player PSDK内存过失引用误差


Adobe Flash Player PSDK namespace处置惩罚工具保存内存破损误差 ，允许远程攻击者可以使用误差提交特殊的文件请求 ，诱使用户剖析 ，可使应用程序崩�；蛑葱许б獯�。
https://www.zerodayinitiative.com/advisories/ZDI-19-818/

5. Microsoft Office内存破损代码执行误差


Microsoft Office处置惩罚文档保存内存破损误差 ，允许远程攻击者可以使用误差提交特殊的文件请求 ，诱使用户剖析 ，可使应用程序崩�；蛑葱许б獯�。
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-1264


 > 主要清静事务综述



1、Dealer Leads意外泄露1.98亿汽车买家纪录


优发国际·随优而动一触即发


Dealer Leads的Elasticsearch数据库未受密码�；� ，导致1.98亿汽车买家纪录在网上袒露。Dealer Leads通过SEO优化的目的网站网络网络有关潜在买家的信息 ，清静研究员Jeremiah Fowler体现这些网站为访客提供购车研究信息和分类广告 ，网络的信息被发送给汽车经销商作为销售数据。该袒露的数据库总共包括413GB信息 ，包括潜在购车者的姓名、电子邮件地点、电话号码、物理地点、IP地点以及贷款和财务数据、车辆信息等。

原文链接：
https://threatpost.com/198m-car-buyer-records-exposed-online/148231/

2、新NetCAT攻击可从英特尔CPU中窃取数据


优发国际·随优而动一触即发


研究职员发明一种新的侧信道攻击 ，它影响了自2012年以来制造的所有现代英特尔服务器处置惩罚器。该攻击被称为NetCAT（网络缓存攻击） ，与英特尔的数据直接I/O手艺（DDIO）有关 ，DDIO在最新的英特尔服务器级处置惩罚器中默认翻开 ，包括Intel Xeon E5、E7和SP处置惩罚器系列。该误差（CVE-2019-11184）的使用难度较高 ，攻击者需要举行身份验证 ，并且需要与目的系统建设直接网络毗连。英特尔将该误差的CVSS评分确定为2.6分 ，并建议在受影响的CPU上禁用DDIO和RDMA功效 ，或限制从外部不受信托的网络直接会见易受攻击的系统。特另外缓解步伐包括使用能够对抗准时攻击的软件� ？榛蚴褂煤阕际奔溲降拇�。

原文链接：
https://thehackernews.com/2019/09/netcat-intel-side-channel.html

3、美国国家标准与手艺研究院宣布隐私框架初稿

优发国际·随优而动一触即发


美国国家标准与手艺研究院（NIST）宣布了一个隐私框架初稿 ，旨在通过企业危害治理资助企业改善小我私家隐私。NIST体现 ，隐私框架旨在通过三个事项资助企业�；ば∥宜郊乙剑和ü诜窈筒分兄С制返戮鲆槔唇ㄉ杩突磐�；推行合规义务;以及增进与客户和羁系机构就隐私实践举行相同。该政策遵照网络清静框架的结构 ，由焦点、概况和实验层组成。焦点部分旨在增进关于隐私�；ぴ擞推谕Ч亩曰� ，而概况部分则推进知足组织使命和隐私价值的运动和效果的优先序次。实验层则对组织处置惩罚隐私危害流程的充分性举行相同和决议提供支持。


原文链接：

https://www.executivegov.com/2019/09/nist-issues-preliminary-draft-of-privacy-framework/

4、黑客使用DoS误差导致美国电网防火墙重复重启


优发国际·随优而动一触即发


北美电力可靠性公司（NERC）上周体现今年早些时间影响美国电网实体的网络清静事务并没有最初设想的那样危险。NERC在一份报告中指出 ，黑客在2019年3月5日使用DoS误差导致电网防火墙在10小时内重复重启 ，该事务只影响了一些低影响级发电站点的网络外围防火墙 ，并没有造成电力供应的任何中止。随后的剖析确定重启是由使用已知防火墙误差的外部实体提倡的 ，运营商最终发明他们未能为受到攻击的防火墙应用固件更新 ，在操作员安排适当的补丁后 ，防火墙不再重启。


原文链接：

https://www.zdnet.com/article/cyber-security-incident-at-us-power-grid-entity-linked-to-unpatched-firewalls/


5、Telestar被曝Telnet后门误差影响100多万IoT装备

优发国际·随优而动一触即发


本周一Vulnerability-Lab研究员Benjamin Kunz披露Telestar Digital GmbH无线电IoT装备中的两个严重误差（CVE-2019-13473和CVE-2019-13474） ，可允许攻击者远程挟制系统。受影响的装备包括该公司的Imperial＆Dabman系列产品 ，其中包括便携式收音机和DAB立体声系统。这些产品主要在欧洲销售 ，基于BusyBox Linux Debian并使用蓝牙和互联网毗连。Kunz发明这些装备在23端口上启用了Telnet服务 ，但没有文档纪录 ，由于接纳了弱密码 ，研究团队可以在10分钟内获取root会见权限。研究职员称可能有凌驾100万台装备面临危害。


原文链接：
https://www.zdnet.com/article/critical-vulnerabilities-impact-over-a-million-iot-radio-devices/