首頁 > 安全研究 > 安全通報 > 安全周報

信息安全周報-2018年第35周

發布時間 2018-09-03

一、本周安全態勢綜述


        2018年08月27日至9月02日共收錄安全漏洞54個，值得關注的是騰訊Foxmail命令注入漏洞；OpenSSH auth-gss2.c用戶枚舉漏洞；Google Chrome Blob API緩沖區溢出漏洞；Emerson DeltaV DCS Workstation緩沖區溢出漏洞；Adobe Acrobat/Reader CVE-2018-12808越界寫任意代碼執行漏洞。


        本周值得關注的網絡安全事件是愛爾蘭電信公司Eir的一臺筆記本被盜，導致約3.7萬用戶的信息泄露;Apple在線商店中的漏洞導致超過7700萬T-Mobile用戶賬戶的PIN碼暴露;Abbyy因數據庫配置錯誤導致20多萬個客戶文件泄露;西班牙銀行官網遭到DDoS攻擊，網站暫時無法訪問;加拿大航空公司遭黑客入侵，約2萬名用戶的信息疑泄露。


        根據以上綜述，本周安全威脅為中。


 


二、重要安全漏洞列表


1、騰訊Foxmail命令注入漏洞


        Tencent Foxmail URI處理存在輸入驗證漏洞，允許遠程攻擊者可以利用漏洞提交特殊的文件或頁面請求，以應用程序上下文執行任意命令。


        用戶可參考如下廠商提供的安全補丁以修復該漏洞：https://www.zerodayinitiative.com/advisories/ZDI-18-584/


2、OpenSSH auth-gss2.c用戶枚舉漏洞


        OpenSSH auth-gss2.c存在安全漏洞，允許遠程攻擊者可以利用漏洞提交特殊的請求，判斷用戶名。


        用戶可參考如下廠商提供的安全補丁以修復該漏洞：http://seclists.org/oss-sec/2018/q3/180


3、Google Chrome Blob API緩沖區溢出漏洞


        Google Chrome Blob API存在堆溢出漏洞，允許遠程攻擊者可以利用漏洞提交特殊的WEB頁，誘使用戶解析，可使應用程序崩潰或執行任意代碼。


        用戶可參考如下廠商提供的安全補丁以修復該漏洞：https://chromereleases.googleblog.com/2017/12/stable-channel-update-for-desktop.html


4、Emerson DeltaV DCS Workstation緩沖區溢出漏洞


        Emerson Electric DeltaV開放通信端口存在棧溢出漏洞，允許遠程攻擊者可以利用漏洞提交特殊的請求，可使應用程序崩潰或執行任意代碼。


        用戶可參考如下廠商提供的安全補丁以修復該漏洞：https://ics-cert.us-cert.gov/advisories/ICSA-18-228-01


5、Adobe Acrobat/Reader CVE-2018-12808越界寫任意代碼執行漏洞


        Adobe Acrobat/Reader處理PDF文件存在越界寫漏洞，允許遠程攻擊者可以利用漏洞提交特殊的文件請求，誘使用戶解析，可以應用程序上下文執行任意代碼。


        用戶可參考如下廠商提供的安全補丁以修復該漏洞：https://helpx.adobe.com/security/products/acrobat/apsb18-29.html


 


三、重要安全事件綜述


1、愛爾蘭電信公司Eir的一臺筆記本被盜，導致約3.7萬用戶的信息泄露





        根據愛爾蘭電信公司Eir官網上的通知，該公司的一臺包含用戶數據的未加密的筆記本電腦遭竊，導致約3.7萬用戶的個人信息泄露。泄露的數據包括姓名、電子郵件地址、電話號碼和eir賬號。該公司稱泄露的數據不包含任何用戶的財務數據。目前該公司已向數據保護專員和愛爾蘭警察通報了此次事件。


        原文鏈接：https://securityaffairs.co/wordpress/75655/data-breach/eir-data-breach.html


2、Apple在線商店中的漏洞導致超過7700萬T-Mobile用戶賬戶的PIN碼暴露





        根據美媒BuzzFeedNews的報道，Apple在線商店中的漏洞導致超過7700萬T-Mobile用戶賬戶的PIN碼暴露。此外，手機保險公司Asurion的官網也存在一個漏洞，導致Asurion的AT＆T客戶的PIN碼暴露。這兩個漏洞是由安全研究人員Phobia和Nicholas “Convict” Ceraolo發現的。Apple網站上的漏洞可能與集成T-Mobile的帳戶驗證API時的工程錯誤有關。Apple和Asurion已經修復了相關漏洞。


        原文鏈接：https://www.buzzfeednews.com/article/nicolenguyen/tmobile-att-account-pin-security-flaw-apple


3、Abbyy因數據庫配置錯誤導致20多萬個客戶文件泄露



        8月19日安全研究人員Bob Diachenko在AWS云平臺上發現屬于OCR軟件開發商Abbyy的一個MongoDB服務器無需登錄即可公開訪問。該數據庫大小為142GB，包含多種敏感文件的掃描件，如合同、保密協議、內部信件及備忘錄等。其中包括屬于Abbyy客戶的20多萬個文件。該數據庫可能是Abbyy的基礎設施的一部分。Abbyy的安全團隊在接到通知兩天后修復了該數據庫的配置錯誤問題。


        原文鏈接：https://www.bleepingcomputer.com/news/security/ocr-software-dev-exposes-200-000-customer-documents/


4、西班牙銀行官網遭到DDoS攻擊，網站暫時無法訪問






        根據路透社的報道，從8月26日星期日開始西班牙銀行的官網遭到了分布式拒絕服務攻擊（DDoS），其網站暫時無法訪問。該銀行的發言人表示，此次攻擊對該銀行的服務或該銀行與歐洲中央銀行或其它機構的通信沒有造成任何影響，并且沒有任何數據泄露的風險。截至周二下午，該銀行的網站仍處于離線狀態。


        原文鏈接：https://uk.reuters.com/article/us-spain-cyber-cenbank/bank-of-spains-website-hit-by-cyber-attack-idUKKCN1LC23B


5、加拿大航空公司遭黑客入侵，約2萬名用戶的信息疑泄露




        8月22日至24日期間，加拿大航空公司發現異常的登錄活動，為了保護用戶的數據，該公司鎖定了所有170萬移動app用戶的賬戶。29日，該公司通知約2萬名用戶，稱其個人資料可能遭到未授權的訪問。這些資料至少包括姓名、電子郵件地址和電話號碼，也可能包括性別、出生日期、國籍、護照號碼等信息。在一份關于該事件的聲明中該公司表示用戶的銀行卡數據以及aircanada.com帳戶不受影響。


        原文鏈接：https://www.bleepingcomputer.com/news/security/air-canada-mobile-app-users-affected-by-data-breach/
上一篇 下一篇