首頁 > 安全研究 > 安全通報 > 安全周報

信息安全周報-2018年第52周

發布時間 2019-01-02
本周安全態勢綜述


2018年12月24日30日共收錄安全漏洞57個，值得關注的是Adobe Acrobat和Reader TIFF圖像解析緩沖區溢出漏洞；IBM Notes和Domino NSD服務權限提升漏洞；Discuz! DiscuzX CVE-2018-20422安全限制繞過漏洞；TOSHIBA Home Gateway HEM-GW26A/HEM-GW16A OS命令注入漏洞；Foxit Quick PDF Library LoadFromFile、LoadFromString和LoadFromStream函數緩沖區溢出漏洞。


本周值得關注的網絡安全事件是圣地亞哥學區遭黑客入侵，超過50萬學生及員工的信息泄露;維基解密披露美國大使館購物清單，文件數量超過1.6萬份;IBM X-Force發布2019年網絡犯罪威脅前景的預測報告;Exchange Server橫向滲透和提權，EXP已公布;網信辦開展APP亂象專項整治行動，下架3469款APP。

根據以上綜述，本周安全威脅為中。


重要安全漏洞列表


1. Adobe Acrobat和Reader TIFF圖像解析緩沖區溢出漏洞

Adobe Acrobat和Reader處理TIFF圖像存在緩沖區溢出漏洞，允許遠程攻擊者利用漏洞提交特殊的文件，誘使用戶解析，可使應用程序崩潰或執行任意代碼。

https://helpx.adobe.com/security/products/acrobat/apsb18-34.html



2. IBM Notes和Domino NSD服務權限提升漏洞

IBM Notes和Domino NSD服務處理IPC存在安全漏洞，允許遠程攻擊者利用漏洞提交特殊的命令行，提升權限。

https://www.ibm.com/support/docview.wss?uid=ibm10743405


3. Discuz! DiscuzX CVE-2018-20422安全限制繞過漏洞

Discuz! DiscuzX啟用WeChat時存在安全漏洞，允許遠程攻擊者利用漏洞向plugin.php ac=wxregister發送空#wechat#common_member_wechatmp的請求，可繞過安全限制，未授權訪問。

https://gitee.com/ComsenzDiscuz/DiscuzX/issues/IPRUI


4. TOSHIBA Home Gateway HEM-GW26A/HEM-GW16A OS命令注入漏洞

TOSHIBA Home Gateway HEM-GW26A和TOSHIBA Home Gateway HEM-GW16A存在輸入驗證漏洞，允許遠程攻擊者利用漏洞提交特殊的請求，以應用程序上下文執行任意OS命令。

http://www.tlt.co.jp/tlt/information/seihin/notice/defect/20181219/20181219.htm


5. Foxit Quick PDF Library LoadFromFile、LoadFromString和LoadFromStream函數緩沖區溢出漏洞

Foxit Quick PDF Library LoadFromFile、LoadFromString和LoadFromStream函數存在緩沖區溢出漏洞，允許遠程攻擊者利用漏洞構建惡意文件，誘使用戶解析，可使應用程序崩潰或執行任意代碼。

https://www.foxitsoftware.com/support/security-bulletins.php


 重要安全事件綜述


1、圣地亞哥學區遭黑客入侵，超過50萬學生及員工的信息泄露



圣地亞哥學區（SDUSD）遭到網絡釣魚攻擊，攻擊者通過收集到的工作人員憑據訪問了該學區的網絡服務，超過50萬學生、父母以及工作人員的信息泄露。SDUSD稱該未授權訪問持續了將近一年的時間（2018年1月到11月），受影響的數據最早可追溯至2008至2009學年，包括學生和員工的姓名、出生日期、家庭住址、電話號碼、社保號碼/學生ID、學生的注冊信息、學生家長及員工的緊急聯系人信息、員工的工資以及福利信息等。


原文鏈接：

https://www.bleepingcomputer.com/news/security/info-on-over-500-000-students-and-staff-exposed-in-san-diego-school-district-hack/


2、維基解密披露美國大使館購物清單，文件數量超過1.6萬份



12月21日維基解密披露1.6萬份文件，這些文件是美國大使館的購物清單。根據這些文件，美國駐多國大使館都曾購買間諜設備。例如2018年8月，美國駐薩爾瓦多使館發布一份采購需求，其中包含94件間諜設備，包括能安裝在汽車里的夜視攝像頭以及偽裝在鋼筆、打火機、襯衫紐扣、眼鏡等日常用品中的攝像頭。美國駐烏克蘭使館則采購了錄音機和隱蔽無線電設備等。

原文鏈接：
https://shoppinglist.wikileaks.org/


3、IBM X-Force發布2019年網絡犯罪威脅前景的預測報告



IBM X-Force發布關于2019年網絡犯罪威脅格局的預測報告，報告稱2019年企業將減少使用社保號碼作為身份驗證標識；GDPR將對威脅情報、網絡安全帶來更廣泛的影響；攻擊者將更多地利用面向公眾的自助服務系統收集有價值的用戶數據；網絡安全保險服務商將更多地與安全供應商進行合作；犯罪分子將更多地針對旅游、酒店業的數據；一些股票賣空可能與網絡攻擊有關，2019年將會披露一些事件或活動；惡意挖礦攻擊將更多地利用PowerShell以無文件的形式進行。

原文鏈接：
https://securityintelligence.com/ibm-x-force-security-predictions-for-the-2019-cybercrime-threat-landscape/


4、Exchange Server橫向滲透和提權，EXP已公布



ZDI披露Exchange Server中的一個安全漏洞（CVE-2018-8581）的技術細節。該漏洞允許任何經過身份驗證的用戶冒充Exchange Server上的其它用戶，可用于釣魚活動、數據泄露等攻擊活動中。該漏洞是一個服務器端請求偽造（SSRF）漏洞，研究人員演示了如何利用該漏洞修改受害者郵箱的入站規則，并將所有的入站電子郵件都轉發給攻擊者，其exp腳本可以從github上下載。微軟在11月份的修復補丁中通過刪除一個注冊表項來緩解該漏洞。


原文鏈接：
https://www.zerodayinitiative.com/blog/2018/12/19/an-insincere-form-of-flattery-impersonating-users-on-microsoft-exchange


5、網信辦開展APP亂象專項整治行動，下架3469款APP



近期，國家網信辦會同有關部門針對網民反映強烈的違法違規、低俗不良移動應用程序（APP）亂象，集中開展清理整治專項行動，依法關停下架“成人約聊”“兩性私密圈”“澳門金沙”“夜色的寂寞”“全民射水果”等3469款涉黃涉賭、惡意扣費、竊取隱私、誘騙詐騙、違規游戲、不良學習類APP。據統計，目前在國內應用商店上架的APP已經超過480萬款，涵蓋了人民生活的各個方面。近日，國家網信辦集體約談28家應用商店、社交平臺和云服務企業，對其履行主體責任不力、客觀上為違法違規APP提供接入通道、擴散渠道提出警告，要求立即對各自平臺進行全面排查，認真開展自查自糾，積極主動參與違法違規APP亂象專項整治行動，清理應用商店，屏蔽惡意鏈接，清查接入服務。


原文鏈接：
http://www.cac.gov.cn/2018-12/28/c_1123919199.htm


聲明：本資訊由啟明星辰維他命安全小組翻譯和整理


上一篇 下一篇