信息清静周报-2020年第18周

宣布时间 2020-05-06

> 本周清静态势综述


2020年04月27日至05月03日共收录清静误差70个，值得关注的是SaltStack Salt salt-master process ClearFuncs不准确校验要领挪用误差; Apache IoTDB 31999端口未授权会见误差；Adobe Bridge多个越界写代码执行误差；Google OpenThread MeshCoP::Commissioner::GeneratePskc缓冲区溢出误差；BMC Control-M/Agent OS下令注入误差。


本周值得关注的网络清静事务是Sophos紧迫修复防火墙中的SQL注入0day，已被野外使用；网信办等12个部分团结宣布《网络清静审查步伐》；Adobe宣布紧迫补丁，修复其3款产品中的35个误差；CNNIC宣布《中国互联网络生长状态统计报告》；谷歌研究职员披露苹果Image I/O的零点击误差。


凭证以上综述，本周清静威胁为中。


>主要清静误差列表


1. SaltStack Salt salt-master process ClearFuncs不准确校验要领挪用误差


SaltStack Salt salt-master process ClearFuncs不准确校验要领挪用，允许远程攻击者可以使用误差提交特殊的请求，可获取用户令牌，未授权会见并执行下令。

https://docs.saltstack.com/en/latest/topics/releases/2019.2.4.html


2. Apache IoTDB 31999端口未授权会见误差


Apache IoTDB JMX 31999端口保存未授权误差，允许远程攻击者使用误差提交特殊的请求，可未授权会见并执行恣意代码。

https://lists.apache.org/thread.html/r3d2ff899ead64d2952fdc1fbb1f520ca42011ed2b4c7f786e921f6b9%40%3Cdev.iotdb.apache.org%3E


3. Adobe Bridge多个越界写代码执行误差


Adobe Bridge处置惩罚文件保存越界写误差，允许远程攻击者使用误差提交特殊的文件请求，诱使用户剖析，可使应用程序崩�；蛞杂τ贸绦蛏舷挛闹葱许б獯�。

https://helpx.adobe.com/security/products/bridge/apsb20-19.html


4. Google OpenThread MeshCoP::Commissioner::GeneratePskc缓冲区溢出误差


Google OpenThread MeshCoP::Commissioner::GeneratePskc保存缓冲区溢出误差，允许远程攻击者使用误差提交特殊的请求，可使应用程序崩�；蛞杂τ贸绦蛏舷挛闹葱许б獯�。

https://bugs.chromium.org/p/oss-fuzz/issues/detail?id=19386


5. BMC Control-M/Agent OS下令注入误差


使用TCP协议时BMC Control-M/Agent保存输入验证误差，允许远程攻击者可以使用误差提交特殊的请求，可注入恣意OS下令。

https://herolab.usd.de/security-advisories/usd-2019-0064/


> 主要清静事务综述


1、Sophos紧迫修复防火墙中的SQL注入0day，已被野外使用


优发国际·随优而动一触即发


网络清静公司Sophos于周六宣布了紧迫补丁以修复已经被野外使用的SQL注入0day，该误差影响了其XG Firewall产品。4月22日晚，Sophos公司发明黑客使用XG Firewall中的SQL注入误差窃取了该装备中的数据，包括防火墙装备治理员账户、防火墙门户网站治理员账户和远程会见装备账户中的的用户名和哈希密码。该公司体现此次更新已经修复了该SQL注入误差，并且新加了特殊提醒功效使客户知道其装备是否受到了威胁。


原文链接：

https://www.zdnet.com/article/hackers-are-exploiting-a-sophos-firewall-zero-day/


2、网信办等12个部分团结宣布《网络清静审查步伐》


优发国际·随优而动一触即发


原文链接：

http://www.cac.gov.cn/2020-04/27/c_1589535450769077.htm


3、Adobe宣布紧迫补丁，修复其3款产品中的35个误差


优发国际·随优而动一触即发


软件公司Adobe于4月28日宣布紧迫误差补丁，总共修复了35个误差，这些误差影响的产品有Adobe Illustrator、Adobe Bridge和电商平台Magento。此次清静更新修复了Windows版本Illustrator 2020中的5个代码执行误差，Adobe Bridge 10.0.1及更早版本中的17个误差（14个可导致代码执行误差，3个有关信息泄露问题），商业版本和开源版本的Magento CMS中的13个误差。


原文链接：

https://thehackernews.com/2020/04/adobe-software-updates.html


4、CNNIC宣布《中国互联网络生长状态统计报告》


优发国际·随优而动一触即发


原文链接：

http://news.china.com.cn/txt/2020-04/28/content_75985166.htm


5、谷歌研究职员披露苹果Image I/O的零点击误差


优发国际·随优而动一触即发


谷歌的Project Zero 团队于本周二披露了Apple操作系统中内置的框架Image I/O中的零点击误差，该框架被应用于iOS、macOS、tvOS和watchOS中，用来处置惩罚图像元数据。Project Zero团队体现，他们剖析了该框架的模糊处置惩罚历程，以视察它是如那里置名堂过失的图像文件。效果研究职员发明了 Image I/O 中保存6个误差，而苹果向第三方果真的高动态规模（HDR）图像文件名堂框架OpenEXR中保存8个误差。现在，所有误差都已经被修复。


原文链接：

https://www.zdnet.com/article/google-discloses-zero-click-bugs-impacting-several-apple-operating-systems/