信息清静周报-2019年第45周

宣布时间 2019-11-18

>本周清静态势综述



2019年11月11日至17日共收录清静误差48个 ，值得关注的是Microsoft Windows OpenType字体剖析CVE-2019-1456远程执行代码误差; eQ-3 Homematic CCU3 testtcl.cgi代码执行误差；SAP Diagnostics Agent恣意OS下令注入误差；Istio拒绝服务误差；Adobe Illustrator CVE-2019-8248内存破损恣意代码执行误差。


本周值得关注的网络清静事务是托管服务商SmarterASP.NET遭勒索软件攻击；俄罗斯新法案强制手机和PC预装置本国软件；5G新误差可跟踪电话位置及广播虚伪警报；McAfee杀毒软件代码执行误差(CVE-2019-3648)；高通芯片组QSEE误差可致Android装备数据泄露。


凭证以上综述 ，本周清静威胁为中。


>主要清静误差列表


1. Microsoft Windows OpenType字体剖析CVE-2019-1456远程执行代码误差
Microsoft Windows OpenType字体剖析处置惩罚Opentype字体保存清静误差 ，允许远程攻击者可以使用误差提交特殊的文件请求 ，可使应用程序崩�；蛑葱许б獯�。
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1456

2. eQ-3 Homematic CCU3 testtcl.cgi代码执行误差
eQ-3 Homematic CCU3 save.cgi剧本可用来上传剧本并被testtcl.cgi剧本执行 ，允许远程攻击者可以使用误差提交特殊的请求 ，可执行恣意代码。
https://psytester.github.io/CVE-2019-18938/

3. SAP Diagnostics Agent恣意OS下令注入误差
SAP Diagnostic Agent保存未明清静误差 ，允许远程攻击者使用误差提交特殊的请求 ，可执行恣意OS下令。
https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=528880390

4. Istio拒绝服务误差
Istio保存清静误差 ，允许远程攻击者使用误差提交特殊的请求 ，可使应用程序瓦解。
https://github.com/istio/istio/issues/18229

5. Adobe Illustrator CVE-2019-8248内存破损恣意代码执行误差
Adobe Illustrator处置惩罚文件保存内存破损误差 ，允许远程攻击者使用误差提交特殊的文件请求 ，可执行恣意代码或者举行拒绝服务攻击。
https://helpx.adobe.com/security/products/illustrator/apsb19-36.html


>主要清静事务综述


1、托管服务商SmarterASP.NET遭勒索软件攻击


耀世娱乐-科技赋能场景,让娱乐更有趣。


SmarterASP.NET是一家拥有凌驾44万个客户的ASP.NET托管服务商 ，该公司在周末遭到勒索软件攻击。目今SmarterASP.NET体现正在起劲恢复客户的服务器 ，但不清晰该公司是支付了赎金照旧在从备份中恢复。此次攻击中不但客户数据受到影响 ，并且SmarterASP.NET自己亦受影响。该公司的网站在星期六全天都下线 ，直到星期天早上才重新上线。服务器恢复事情希望缓慢 ，许多客户仍然无法会见其账户和数据 ，包括网站文件和后端数据库。凭证在Twitter上宣布的截图 ，被加密的客户文件后附加了“.kjhbx”扩展名 ，现在研究职员仍在试图确认勒索软件的种类。

原文链接：
https://www.zdnet.com/article/major-asp-net-hosting-provider-infected-by-ransomware/

2、俄罗斯新法案强制手机和PC预装置本国软件


耀世娱乐-科技赋能场景,让娱乐更有趣。


俄罗斯议会正在推动一项立法 ，该法案将强制要求所有在俄罗斯销售的电子装备（包括智能手机、PC和智能电视等）预装置本国科技公司的应用。这可能会带来清静隐患。立法者体现该法案是为了�；ね獾氐氖忠帐谐∶馐芡夤ǹ赡苁侵该拦┑木赫�。政府将针对每种装备类型宣布一份软件列表 ，装备供应商需要在俄罗斯销售的装备上预装置这些软件。若是供应商不遵守划定 ，将被处以最高20万卢布（约合3100美元）的�？�。该法案获得了所有主要政党的支持 ，这意味着它很有可能将在2020年7月1日生效。

原文链接：
https://www.zdnet.com/article/phones-and-pcs-sold-in-russia-will-have-to-come-pre-installed-with-russian-apps/

3、5G新误差可跟踪电话位置及广播虚伪警报


耀世娱乐-科技赋能场景,让娱乐更有趣。


普渡大学（Purdue University）和爱荷华大学（University of Iowa）的清静研究职员发明快要12个5G清静误差 ，研究职员体现这些误差可允许攻击者获取目的用户电话的新/旧暂时网络标识符 ，从而跟踪电话的位置 ，甚至挟制寻呼信道举行虚伪的紧迫警报广播。在某些情形下 ，这些误差可能被用来将蜂窝毗连降级为不太清静的标准。一些新的攻击也可能在现有的4G网络上被使用。鉴于误差的性子 ，研究职员体现他们不妄想果真其PoC代码 ，但他们将这些发明通知了全球蜂窝网络GSM协会（GSMA）。GSMA没有透露是否可以修复误差 ，也没有透露修复时间。


原文链接：

https://finance.yahoo.com/news/5g-flaws-track-phone-locations-163014364.html

4、McAfee杀毒软件代码执行误差(CVE-2019-3648)

耀世娱乐-科技赋能场景,让娱乐更有趣。


SafeBreach Labs发明McAfee防病毒软件受代码执行误差（CVE-2019-3648）的影响 ，攻击者可绕过McAfee的自卫机制 ，可能导致对受熏染系统的进一步攻击。该误差是由于未验证加载DLL的署名导致的 ，攻击者可将恣意未署名的DLL加载到以NT AUTHORITY\SYSTEM权限运行的多个服务中。该攻击还可以绕过应用程序白名单�；げ⒆柚贡磺寰踩砑觳獾�。


原文链接：

https://www.zdnet.com/article/mcafee-antivirus-software-impacted-by-code-execution-vulnerability/

5、高通芯片组QSEE误差可致Android装备数据泄露


耀世娱乐-科技赋能场景,让娱乐更有趣。


凭证清静厂商CheckPoint的一份报告 ，高通芯片组中的清静执行情形（QSEE）中保存误差（CVE-2019-10574） ，可导致Android装备中的小我私家数据泄露。QSEE是基于ARM TrustZone手艺的受信任执行情形（TEE）的实现 ，是主处置惩罚器上的一个硬件隔离的清静区域 ，其中通常包括专用加密密钥、密码、信用卡和借记卡凭证等敏感信息。Check Point研究职员逆向了该系统 ，并使用模糊测试对三星、LG和摩托罗拉装备举行了测试。总体而言 ，研究职员发明三星的受信任代码包括四个误差 ，摩托罗拉和LG划分包括一个误差 ，但所有代码均来自高通公司。三星、高通和LG已针对这些QSEE误差宣布了补丁更新。

原文链接：
https://thehackernews.com/2019/11/qualcomm-android-hacking.html