信息安全周報-2018年第31周
發布時間 2018-08-07一、本周安全態勢綜述
2018年07月30日至08月05日共收錄安全漏洞51個，值得關注的是Samsung SmartThings Hub video-core HTTP服務器緩沖區溢出漏洞；Intel Smart Sound Technology驅動程序模塊權限提升漏洞；Foxit PDF Reader JavaScript引擎釋放后利用漏洞；Apple iOS Wi-Fi內存破壞漏洞；SoftNAS Cloud OS命令注入漏洞。
本周值得關注的網絡安全事件是英國電子商務服務商數據庫泄露，約140萬用戶受影響；Boys Town國家研究醫院遭黑客入侵，超過10萬名患者和員工的信息泄露；ICS-CERT發布聯網視頻監控系統網絡安全態勢報告；Reddit遭黑客入侵，部分用戶的數據泄露；KickICO平臺遭黑客入侵，價值約770萬美元的令牌被竊。
根據以上綜述，本周安全威脅為中。
二、重要安全漏洞列表
1、Samsung SmartThings Hub video-core HTTP服務器緩沖區溢出漏洞
Samsung SmartThings Hub video-core HTTP服務器處理‘clips’表存在緩沖區溢出，允許遠程攻擊者利用漏洞提交特殊的請求，以應用程序上下文執行任意代碼。
用戶可參考如下廠商提供的安全補丁以修復該漏洞：https://www.talosintelligence.com/vulnerability_reports/TALOS-2018-0583
2、Intel Smart Sound Technology驅動程序模塊權限提升漏洞
Intel Smart Sound Technology驅動模塊存在安全漏洞，允許本地攻擊者利用漏洞構建特殊的請求，以管理員權限執行任意代碼。
用戶可參考如下廠商提供的安全補丁以修復該漏洞：https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00163.html
3、Foxit PDF Reader JavaScript引擎釋放后利用漏洞
Foxit PDF Reader JavaScript引擎存在釋放后使用漏洞，允許遠程攻擊者利用漏洞構建特殊的文件請求，誘使用戶解析，以應用程序權限執行任意代碼。
用戶可參考如下廠商提供的安全補丁以修復該漏洞：https://www.talosintelligence.com/vulnerability_reports/TALOS-2018-0588
4、Apple iOS Wi-Fi內存破壞漏洞
Apple iOS Wi-Fi組件存在內存破壞漏洞，允許遠程攻擊者利用漏洞構建特殊的應用程序，誘使用戶解析，可繞過沙盒提升權限。
用戶可參考如下廠商提供的安全補丁以修復該漏洞：https://lists.apple.com/archives/security-announce/2018/Jul/msg00001.html
5、SoftNAS Cloud OS命令注入漏洞
SoftNAS Cloud OS web管理員控制臺中的snserv腳本沒有過濾用戶輸入，允許遠程攻擊者利用漏洞構建特殊的請求，以應用程序上下文執行任意命令。
用戶可參考如下廠商提供的安全補丁以修復該漏洞：https://www.softnas.com/docs/softnas/v3/html/updating_to_the_latest_version.html
三、重要安全事件綜述
1、英國電子商務服務商數據庫泄露，約140萬用戶受影響
研究人員Taylor Ralston發現英國電子商務服務商Fashion Nexus的一個數據庫可公開訪問，多個服裝和配飾網站的用戶信息泄露，包括Jaded London、AX Paris和Elle Belle Attire等品牌。泄露的數據包含約140萬用戶的個人信息，包括MD5哈希密碼、姓名、電子郵件地址和電話號碼等。沒有跡象表明用戶的銀行卡信息存在風險。
原文鏈接：https://www.grahamcluley.com/online-fashion-shoppers-exposed-ecommerce-breach/
2、Boys Town國家研究醫院遭黑客入侵，超過10萬名患者和員工的信息泄露
Boys Town國家研究醫院發布通知稱該組織于2018年5月23日遭黑客入侵，超過10萬名患者和員工的信息泄露。這可能是有關兒童醫療服務的最大規模的數據泄露。泄露的信息包括姓名、出生日期、社保號碼、診斷或治療信息、銀行賬號、用戶名和密碼等信息。攻擊者入侵了該組織員工的電子郵件帳戶，并通過未授權訪問獲取了這些信息。
原文鏈接：https://thehackernews.com/2018/07/data-breach-healthcare.html
3、ICS-CERT發布聯網視頻監控系統網絡安全態勢報告
國家工業互聯網安全應急響應中心（ICS-CERT）發布聯網視頻監控系統網絡安全態勢報告，報告從地域分布、品牌分布、威脅分布等多個角度闡述國內網絡視頻監控系統的安全態勢情況，并針對近年來發生的網絡視頻監控系統安全事件起因提出了相應的風險防范和安全應對方案，給相關政府部門、組織和研究機構提供參考和借鑒。
原文鏈接：https://www.ics-cert.org.cn/portal/page/121/be9def54499644afb6ce4b119e5e7d42.html
4、Reddit遭黑客入侵，部分用戶的數據泄露
Reddit宣布其遭黑客入侵，部分用戶的數據泄露。攻擊者繞過雙因素認證（2FA）進入了幾名員工的賬戶，并竊取了部分電子郵件地址、日志記錄以及包含加鹽哈希密碼的一個2007年的數據庫備份。該攻擊事件發生在6月14日至6月18日之間，攻擊者竊取的數據庫備份包含2005年至2007年5月期間的用戶數據，如賬戶憑據（用戶名和加鹽哈希密碼）、電子郵件地址和公開/私人消息。在2007年5月之后注冊的用戶和發布的帖子被認為是安全的。
5、KickICO平臺遭黑客入侵，價值約770萬美元的令牌被竊
ICO平臺KickICO遭到黑客入侵，超過7000萬KICK令牌被竊（價值約770萬美元）。根據KickICO首席執行官Anti Danilevski的說法，該攻擊事件發生在7月26日星期四的UTC時間09:04。攻擊者獲取了開發人員的私鑰，并修改智能合約的行為，摧毀了40個地址中的KICK令牌然后在40個自己的錢包中創建等量的新令牌。KickICO開發人員目前已重新獲得智能合約的訪問權。
原文鏈接：https://www.bleepingcomputer.com/news/security/kickico-platform-loses-77-million-in-recent-hack/
京公網安備11010802024551號