信息清静周报-2020年第52周

宣布时间 2020-12-28

> 本周清静态势综述


2020年12月21日至12月27日共收录清静误差56个，值得关注的是ABB Symphony Plus Operations SQL注入误差；D-link DSL-2888A execute_cmd.cgi OS下令注入误差；Zyxel USG Series默认凭证误差；BrowserUp Proxy Java EL表达式注入误差；QNAP QES CVE-2020-2499硬编码误差。


本周值得关注的网络清静事务是Acronis宣布怎样应对COVID-19的影响的报告；CISA宣布SolarWinds Orion攻击事务的增补指南；SolarWinds供应链攻击运动中保存新的SUPERNOVA后门；Nintendo数据泄露，展现曾雇佣黑客为其事情；Kaspersky宣布Lazarus针对COVID-19情报的剖析报告。


凭证以上综述，本周清静威胁为中。


> 主要清静误差列表


1.ABB Symphony Plus Operations SQL注入误差


ABB Symphony Plus Operations保存SQL注入误差，允许远程攻击者可以使用误差提交特殊的SQL请求，操作数据库，可获取敏感信息或执行恣意代码。

https://search.abb.com/library/Download.aspx?DocumentID=2PAA123980&LanguageCode=en&DocumentPartId=&Action=Launch


2.D-link DSL-2888A execute_cmd.cgi OS下令注入误差


D-link DSL-2888A execute_cmd.cgi保存输入验证误差，允许远程攻击者可以使用误差提交特殊的请求，可注入恶意OS下令并执行。

https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/d-link-multiple-security-vulnerabilities-leading-to-rce/


3.Zyxel USG Series默认凭证误差


Zyxel USG Series保存zyfwp默认账户及不可更改其密码，允许远程攻击者可以使用误差提交特殊的请求，未授权会见服务器。

https://businessforum.zyxel.com/discussion/5254/whats-new-for-zld4-60-patch-1-available-on-dec-15



4.BrowserUp Proxy Java EL表达式注入误差


BrowserUp Proxy保存输入验证误差，允许远程攻击者使用误差提交特殊的请求，可以注入恣意Java EL表达式并以应用程序上下文执行恣意代码。

https://github.com/browserup/browserup-proxy/commit/4b38e7a3e20917e5c3329d0d4e9590bed9d578ab


5.QNAP QES CVE-2020-2499硬编码误差


QNAP QES保存硬编码误差，允许远程攻击者使用误差提交特殊的请求，未授权会见系统。

https://www.qnap.com/zh-tw/security-advisory/qsa-20-19


> 主要清静事务综述


1、Acronis宣布怎样应对COVID-19的影响的报告


1.png


Acronis宣布了怎样应对COVID-19的影响的报告。Acronis在2020年6月至7月时代对全球3400家公司和远程工人举行了视察，以研究组织怎样顺应COVID-19对其IT运营和网络清静态势的影响。报告显示，31%的公司天天都会遭到网络攻击，69％的远程事情者需要依赖Zoom、Cisco Webex等工具举行协作，而39％的公司遭受了视频聚会攻击。别的，只有2％的公司在评估网络清静解决计划时思量使用URL过滤。


原文链接：

https://www.acronis.com/en-us/blog/posts/acronis-cyber-readiness-report-pandemic-reveals-cybersecurity-gaps-need-new-solutions


2、CISA宣布SolarWinds Orion攻击事务的增补指南


2.png


CISA最初于12月17日宣布了有关政府机构、要害基础设施和公司组织的APT攻击运动的警报，之后针对该紧迫指令宣布了增补指南。增补指南包括受影响版本的更新、针对使用第三方服务提供商的署理的指南以及对所需步伐的进一步说明。别的，CISA还更新了该警报，提供了新的缓解计划并修订了IOC表格。


原文链接：

https://us-cert.cisa.gov/ncas/current-activity/2020/12/19/cisa-updates-alert-and-releases-supplemental-guidance-emergency


3、SolarWinds供应链攻击运动中保存新的SUPERNOVA后门


3.png


研究职员发明SolarWinds Orion供应链攻击运动中保存新的SUPERNOVA后门，可能来自另一个黑客组织。SUPERNOVA是植入Orion网络和应用程序监视平台代码中的Web shell，攻击者可使用该恶意软件在盘算机上运行恣意代码。该恶意代码仅包括一种DynamicRun要领，可将参数动态编译到内存中的.NET程序集中，因此不会在受熏染装备上留下任何痕迹。经视察，SUPERNOVA没有数字署名，这与最初发明的SunBurst差别，或许属于另一黑客组织。


原文链接：

https://www.zdnet.com/article/a-second-hacking-group-has-targeted-solarwinds-systems/


4、Nintendo数据泄露，展现曾雇佣黑客为其事情


4.png


Nintendo再次爆发严重的数据泄露事务，展现曾雇佣黑客为其事情。此次泄露的数据仍是首先泛起在4chan论坛上，包括与Switch的开发相关的文件，例如Switch早期的设计参数，好比使用1G内存、480P区分率的摄像头、兼容3DS游戏、可以通过Miracast投屏等。别的，此次泄露还展现了任天堂曾雇佣着名的3DS黑客为其事情，甚至还制订了一份公关妄想，以解决在发明该雇佣关系后如那里置公众反应。


原文链接：

https://www.videogameschronicle.com/news/nintendo-has-reportedly-suffered-another-major-data-leak-now-related-to-switch/


5、Kaspersky宣布Lazarus针对COVID-19情报的剖析报告


5.png


Kaspersky宣布有关黑客组织Lazarus针对COVID-19情报的攻击运动的剖析报告。报告指出，Lazarus于2020年9月25日入侵了一家制药公司，并于2020年10月27日攻击了政府卫生部，并损坏了两台Windows服务器。这两次攻击运动使用了差别的战术、手艺和程序（TTP）以及恶意软件集群，但有证据批注都与Lazarus有关，并证实该组织对与COVID-19相关的情报感兴趣。


原文链接：

https://securelist.com/lazarus-covets-covid-19-related-intelligence/99906/