首頁 > 安全研究 > 安全通報 > 安全周報

信息安全周報-2019年第9周

發布時間 2019-03-04

本周安全態勢綜述


2019年2月25日至3月03日共收錄安全漏洞42個，值得關注的是Apache Airflow Airflow元數據庫任意代碼執行漏洞；F5 BIG-IP驗證SSL遠程拒絕服務漏洞; Cisco RV110W/RV130W/RV215W Routers CVE-2019-1663遠程命令執行漏洞；Linux kernel net/ipv4/netfilter/nf_nat_snmp_basic_main.c越界讀寫漏洞；OpenSSL安全繞過信息泄露漏洞。

本周值得關注的網絡安全事件是近7萬張巴基斯坦銀行卡信息在暗網出售，售價近350萬美元；三個4G/5G漏洞，可導致攻擊者繞過其防護策略；針對Instagram用戶的快速致富騙局，詐騙金額累計高達300萬英鎊；Chrome 0day漏洞，攻擊者可通過PDF收集用戶信息；Coinomi錢包明文傳輸用戶密碼，導致約7萬美元被竊。

根據以上綜述，本周安全威脅為中。

重要安全漏洞列表


1. Apache Airflow Airflow元數據庫任意代碼執行漏洞
Apache Airflow編輯Airflow元數據庫中對象的狀態存在安全漏洞，允許遠程攻擊者利用漏洞提交特殊的請求，可以應用程序上下文執行任意代碼。
https://lists.apache.org/thread.html/f656fddf9c49293b3ec450437c46709eb01a12d1645136b2f1b8573b@%3Cdev.airflow.apache.org%3E

2. F5 BIG-IP驗證SSL遠程拒絕服務漏洞
F5 BIG-IP驗證SSL存在安全漏洞，允許遠程攻擊者利用漏洞提交特殊的請求，可進行拒絕服務攻擊。
https://support.f5.com/csp/article/K54167061

3. Cisco RV110W/RV130W/RV215W Routers CVE-2019-1663遠程命令執行漏洞
Cisco?RV110W Wireless-N VPN Firewall、RV130W Wireless-N Multifunction VPN Router和RV215W Wireless-N VPN Router WEB接口存在安全漏洞，允許遠程攻擊者利用漏洞提交特殊的請求，可執行任意代碼。
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190227-rmi-cmd-ex

4. Linux kernel net/ipv4/netfilter/nf_nat_snmp_basic_main.c越界讀寫漏洞
Linux kernel net/ipv4/netfilter/nf_nat_snmp_basic_main.c沒有充分檢查ASN.1長度，允許遠程攻擊者利用漏洞提交特殊的請求，可進行拒絕服務攻擊或執行任意代碼。
http://git.kernel.org/cgit/linux/kernel/git/torvalds/linux.git/commit/?id=c4c07b4d6fa1f11880eab8e076d3d060ef3f55fc

5. OpenSSL安全繞過信息泄露漏洞
OpenSSL存在安全漏洞，允許遠程攻擊者利用漏洞提交特殊的請求，可繞過安全限制，獲取敏感信息。
https://www.openssl.org/news/secadv/20190226.txt

 重要安全事件綜述


1、近7萬張巴基斯坦銀行卡信息在暗網出售，售價近350萬美元



Group-IB研究人員發現69189張巴基斯坦銀行卡的信息在暗網上出售。這批數據分為兩個數據庫，總售價約為350萬美元。第一個數據庫是1月底在Joker's Stash上發布的，共包括1535張銀行卡信息，其中96％的銀行卡都與Meezan Bank有關。第二個數據庫是1月30日在Joker's Stash上發布的，包括67654張銀行卡信息，同樣有96％的銀行卡與Meezan Bank有關。這些數據可能表明了該地區針對金融機構的攻擊者的活動。

原文鏈接：
https://securityaffairs.co/wordpress/81579/cyber-crime/pakistani-banks-cards-darkweb.html

2、三個4G/5G漏洞，可導致攻擊者繞過其防護策略


在2019年NDSS研討會上，一個研究團隊披露了在4G和5G LTE協議蜂窩網絡中發現的三個新安全漏洞，攻擊者可利用這些漏洞攔截用戶通話和追蹤用戶位置。研究人員披露的第一種攻擊方法是Torpedo攻擊，它利用了尋呼協議中的漏洞，在短時間內發出和取消多個電話可以觸發尋呼消息，而不會向目標設備發出來電警報。攻擊者可以跟蹤目標的位置，劫持尋呼信道和注入偽造的尋呼消息來發起DoS攻擊。此外，ToRPEDO攻擊還為另外兩種攻擊-PIERCER和IMSI-Cracking攻擊-提供了可能，使得攻擊者可以獲取用戶的IMSI。

原文鏈接：
https://thehackernews.com/2019/02/location-tracking-imsi-catchers.html

3、針對Instagram用戶的快速致富騙局，詐騙金額累計高達300萬英鎊


英國國家欺詐和網絡犯罪統計中心Action Fraud表示，一個針對Instagram用戶的“快速致富”騙局已經累計詐騙了高達300萬英鎊的金額。該詐騙活動主要針對20至30歲的年輕人，自2018年10月以來，已有356起相關事件的報告，受害者平均每人損失8900英鎊。該詐騙活動向用戶承諾可在24小時內獲得高額回報，但必須先投資600英鎊，當受害者轉賬后，欺詐者會向他們發送一個屏幕截圖，顯示其賬戶已收入數千英鎊。但當受害者要求提現時，欺詐者就會停止聯系。

原文鏈接：
https://cyware.com/news/new-get-rich-quick-scheme-costs-instagram-users-over-3-million-61d5d384

4、Chrome 0day漏洞，攻擊者可通過PDF收集用戶信息


EdgeSpot研究人員觀察到利用Chrome零日漏洞竊取用戶信息的惡意PDF文件。當用戶通過Chrome的PDF查看器打開該惡意文件時，攻擊者可利用漏洞收集用戶的信息，并發送至遠程服務器。這些信息包括系統的詳細信息，例如IP地址、操作系統版本號、Chrome版本號、PDF文件路徑等。值得注意的是，惡意PDF文件在Adobe Reader中不會執行任何惡意活動。Google確認了這一漏洞，并承諾將在4月底進行修復。

原文鏈接：
https://cyware.com/news/google-chrome-zero-day-vulnerability-could-allow-attackers-to-collect-user-information-via-pdf-files-01b8df3d

5、Coinomi錢包明文傳輸用戶密碼，導致約7萬美元被竊


加密貨幣錢包Coinomi在錢包設置過程中會將用戶的明文密碼通過HTTP發送至谷歌的拼寫檢查程序，導致用戶的賬戶和資金易受中間人（MiTM）攻擊。攻擊者可以利用攔截到的密碼登錄用戶的賬戶并清空其資金。一個用戶Al Maawali表示，其賬戶中的資金因此損失了90%，價值約7萬美元。

原文鏈接：
https://cyware.com/news/cryptocurrency-wallet-coinomi-sends-users-passwords-to-googles-spellchecker-in-plain-text-3b3b794c

聲明：本資訊由啟明星辰維他命安全小組翻譯和整理

上一篇 下一篇