信息安全周報-2018年第26周
發布時間 2018-07-02一、本周安全態勢綜述
2018年06月25日至29日共收錄安全漏洞55個，值得關注的是Schneider Electric U.motion Builder棧緩沖區溢出漏洞；Delta Industrial Automation COMMGR AHSIM_5x0 Simulator棧緩沖區溢出漏洞；Adobe Reader DC越界讀任意代碼執行漏洞；Microsoft OneDrive DLL處理任意代碼執行漏洞；Apache HBase安全限制繞過漏洞。
本周值得關注的網絡安全事件是研究人員警告稱使用TLS認證網站的Netflix釣魚活動不斷增長；英國稅務機關HMRC涉嫌違法收集約510萬用戶的語音記錄；Wi-Fi聯盟正式發布新一代安全標準WPA3，可進一步提高網絡安全性；FastBooking遭黑客入侵，數百家酒店的用戶數據泄露；Facebook第三方應用導致約1.2億用戶的數據面臨泄露風險。
根據以上綜述，本周安全威脅為中。
二、重要安全漏洞列表
1、Schneider Electric U.motion Builder棧緩沖區溢出漏洞
Schneider Electric U.motion Builder存在棧的緩沖區溢出漏洞，允許遠程攻擊者利用漏洞提交特殊的請求，以應用程序上下文執行任意代碼。
用戶可參考如下廠商提供的安全補丁以修復該漏洞：https://www.schneiderelectric.com/en/download/document/Umotion_Server_update/
2、Delta Industrial Automation COMMGR AHSIM_5x0 Simulator棧緩沖區溢出漏洞
Delta Industrial Automation COMMGR AHSIM_5x0 Simulator處理TCP報文存在棧溢出漏洞，允許遠程攻擊者利用漏洞提交特殊的請求，可以COMMGR進程上下文執行任意代碼。
用戶可參考如下廠商提供的安全補丁以修復該漏洞：http://www.deltaww.com/Products/PluginWebUserControl/downloadCenterCounter.aspx?DID=2093&DocPath=1&hl=en-US
3、Adobe Reader DC越界讀任意代碼執行漏洞
Adobe Reader DC存在越界讀漏洞，允許遠程攻擊者利用漏洞提交特殊的PDF文件，誘使用戶解析，可執行任意代碼。
用戶可參考如下廠商提供的安全補丁以修復該漏洞：https://helpx.adobe.com/security/products/acrobat/apsb18-02.html
4、Microsoft OneDrive DLL處理任意代碼執行漏洞
Microsoft OneDrive處理搜索路徑存在安全漏洞，允許遠程攻擊者可以利用漏洞提交特殊的DLL，誘使用戶解析，可執行任意代碼。
用戶可參考如下廠商提供的安全補丁以修復該漏洞：https://blogs.technet.microsoft.com/srd/2018/04/04/triaging-a-dll-planting-vulnerability/
5、Apache HBase安全限制繞過漏洞
Apache HBase存在安全漏洞，允許遠程攻擊者可以利用漏洞提交特殊的請求，繞過安全限制，執行未授權的操作。
用戶可參考如下廠商提供的安全補丁以修復該漏洞：https://lists.apache.org/thread.html/a919e38f587c714c386a01d40fc8f45bd4219a65aaf2dc0bb4eccc96@%3Cdev.hbase.apache.org%3E
三、重要安全事件綜述
1、研究人員警告稱使用TLS認證網站的Netflix釣魚活動不斷增長
SANS技術研究院院長Johannes Ullrich稱使用TLS認證網站的Netflix釣魚活動不斷增長。攻擊者首先入侵WordPress或Drupal等CMS構建的網站，然后創建Netflix釣魚網站并獲取與Netflix名稱相關的TLS證書，如netflix.domain.com或netflix.login.domain.com，這使其看起來更加可信。雖然Netflix賬戶價值并不高，但這種攻擊易于實現自動化且難以讓受害者發現。
原文鏈接：https://threatpost.com/new-phishing-scam-reels-in-netflix-users-to-tls-certified-sites/132976/
2、英國稅務機關HMRC涉嫌違法收集約510萬用戶的語音記錄
隱私保護組織Big Brother Watch發現英國的稅務機關HMRC涉嫌違法收集約510萬英國公民的語音記錄。HMRC通過2017年1月推出的一項語音識別服務收集了這些記錄，該服務允許用戶在呼叫HMRC時通過語音進行身份驗證。但Big Brother Watch發現用戶無法選擇不使用該服務，所有撥打HMRC熱線的用戶都被迫錄制了語音記錄，并且用戶無法選擇從HMRC的數據庫中刪除其語音記錄。該組織認為HMRC此舉明顯違反了GDPR，英國信息專員辦公室（ICO）已對此事展開正式的調查。
3、Wi-Fi聯盟正式發布新一代安全標準WPA3，可進一步提高網絡安全性
本周一Wi-Fi聯盟正式發布新一代安全標準WPA3，WPA3是用于Wi-Fi連接的用戶身份驗證技術的最新版本。WPA3有兩種安全模式，WPA3-Personal和WPA3-Enterprise，這兩種安全模式的主要區別在于身份驗證階段。對于企業、政府和金融網絡中使用的設備，建議使用WPA3-Enterprise安全模式，WPA3-Personal則是面向普通個人用戶。Wi-Fi聯盟表示WPA3的SAE算法能夠抵御暴力攻擊，WPA3將在多次失敗嘗試后阻止認證請求。
原文鏈接：https://www.bleepingcomputer.com/news/security/new-wpa3-wi-fi-standard-released/
4、FastBooking遭黑客入侵，數百家酒店的用戶數據泄露
巴黎酒店預訂公司FastBooking遭黑客入侵，數百家酒店的用戶數據泄露。FastBooking稱攻擊者在6月14日利用其服務器上一個軟件的漏洞安裝了惡意軟件，并竊取了酒店用戶的姓名、國籍、地址、電子郵件地址和酒店預定相關信息（酒店名稱、入住和退房）等數據，竊取的數據還包括部分用戶的銀行卡信息，如卡號、過期日期等。FastBooking稱該事件影響了日本的380家酒店，Bleeping Computer認為這一數字在全球范圍內可能超過了1000。
5、Facebook第三方應用導致約1.2億用戶的數據面臨泄露風險
研究人員Inti De Ceukelaire發現第三方智力競賽應用Nametests.com使約1.2億Facebook用戶的數據面臨泄露風險。只要Facebook用戶在NameTests網站上注冊，該公司將可以獲取用戶的個人數據。但研究人員發現NameTests網站錯誤地將其“Access-Control-Allow-Origin”策略配置成通配符*，這允許任何網站訪問其資源，包括這些用戶的個人數據。NameTests已經修復了該問題。
原文鏈接：https://thehackernews.com/2018/06/facebook-users-data-leak.html
©ADLab 啟明星辰積極防御實驗室 2016
京公網安備11010802024551號