首頁 > 安全研究 > 安全通報 > 安全周報

信息安全周報-2019年第32周

發布時間 2019-08-19

> 本周安全態勢綜述



2019年8月12日至18日共收錄安全漏洞55個，值得關注的是Microsoft Windows Remote Desktop Services CVE-2019-1181內存破壞代碼執行漏洞；Microsoft Bluetooth Driver BR/EDR密鑰協商漏洞；Adobe Photoshop CC多個堆溢出漏洞；SAS Web Infrastructure Platform反序列化遠程代碼執行漏洞；Apache httpd mod_http2內存錯誤應用拒絕服務漏洞。


本周值得關注的網絡安全事件是微軟多個供應商的40多個驅動程序存在提權漏洞；Sweet Chat意外泄露近1000萬用戶的照片及聊天內容；微軟修復RDP服務中的新蠕蟲級漏洞；HTTP/2曝出8個新漏洞，可用于發起DoS攻擊；卡巴斯基殺軟中的漏洞可允許跨站點跟蹤用戶。


根據以上綜述，本周安全威脅為中。

> 重要安全漏洞列表



1. Microsoft Windows Remote Desktop Services CVE-2019-1181內存破壞代碼執行漏洞


Microsoft Windows Remote Desktop Services存在內存破壞漏洞，允許遠程攻擊者利用漏洞提交特殊的請求，可以應用程序上下文執行任意代碼。
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-1181

2. Microsoft Bluetooth Driver BR/EDR密鑰協商漏洞


Microsoft Bluetooth Driver BR/EDR密鑰協商存在安全漏洞，允許遠程攻擊者可以利用漏洞提交特殊的請求，將最大16字節長度的密鑰協商降到1字節熵，可獲取敏感信息。
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-9506

3. Adobe Photoshop CC多個堆溢出漏洞


Adobe Photoshop CC處理文件存在堆溢出漏洞，允許遠程攻擊者利用漏洞提交特殊的文件請求，誘使用戶解析，可以應用程序上下文執行任意代碼。
https://helpx.adobe.com/security/products/photoshop/apsb19-44.html

4. SAS Web Infrastructure Platform反序列化遠程代碼執行漏洞


SAS Web Infrastructure Platform存在反序列化漏洞，允許遠程攻擊者可以利用漏洞提交特殊的請求，可以應用程序上下文執行任意代碼。
http://support.sas.com/kb/63/391.html

5. Apache httpd mod_http2內存錯誤應用拒絕服務漏洞


Apache httpd mod_http2 HTTP/2會話處理存在內存錯誤引用漏洞，允許遠程攻擊者利用漏洞提交特殊的請求，可進行拒絕服務攻擊。
http://httpd.apache.org/security/vulnerabilities_24.html


> 重要安全事件綜述



1、微軟多個供應商的40多個驅動程序存在提權漏洞



Eclypsium研究人員披露超過20家微軟供應商提供的40多個Windows驅動程序存在提權漏洞，可能會被黑客利用。受影響的廠商包括知名BIOS廠商及各大硬件供應商，例如華碩、東芝、Intel、技嘉、Nvidia、華為等。由于這些驅動都經過了微軟認證，因此惡意程序可以利用它們從用戶空間（Ring3）提權至內核權限（Ring0）。Eclypsium表示這些驅動影響了所有版本的Windows，這意味著至少數百萬用戶面臨風險。Intel和華為等已經發布了相關修復補丁。

原文鏈接：https://www.bleepingcomputer.com/news/security/over-40-windows-hardware-drivers-vulnerable-to-privilege-escalation/

2、Sweet Chat意外泄露近1000萬用戶的照片及聊天內容



安全研究員Darryl Burke發現聊天應用Sweet Chat的一個不安全的服務器暴露了超過1000萬用戶的敏感信息，這些信息包括實時聊天內容以及私人照片等。Burke表示任何擁有MQTT攻擊工具的人都可以在線查看這些信息。研究人員于7月21日通知了該公司，但該公司直至8月12日才對該服務器進行了臨時修復。

原文鏈接：https://blog.burke-consulting.net/sweet-chat/

3、微軟修復RDP服務中的新蠕蟲級漏洞



微軟在8月份的Windows安全更新中修復了94個漏洞，其中包括4個新的RDP遠程代碼執行漏洞（CVE-2019-1181、CVE-2019-1182、CVE-2019-1222、CVE-2019-1226）。其中CVE-2019-1181和CVE-2019-1182與5月份曝出的BlueKeep漏洞（CVE-2019-0708）類似，可實現蠕蟲化攻擊，受影響的系統版本包括win 7 SP1、win 8.1、win 10以及windows server 2008 R2 SP1、2012、2012 R2、2016及2019等。XP、windows server 2003及2008不受影響。目前尚未發現這些漏洞在野外被利用，但微軟強烈建議用戶盡快更新修復補丁。

原文鏈接：https://www.bleepingcomputer.com/news/security/microsoft-fixes-critical-windows-10-wormable-remote-desktop-flaws/

4、HTTP/2曝出8個新漏洞，可用于發起DoS攻擊



研究人員披露HTTP/2協議實現中的8個新漏洞，攻擊者可利用這些漏洞向未修補的服務器發起拒絕服務攻擊。這些漏洞（CVE-2019-9511~CVE-2019-9518）是由Netflix研究員Jonathan Looney以及Google研究員Piotr Sikora發現的，可用于觸發服務器的資源耗盡，但不能用于入侵服務器。根據CERT發布的公告，受影響的廠商包括NGINX、Apache、H2O、Nghttp2、Microsoft(IIS)、Cloudflare、Akamai、Apple(SwiftNIO)、Amazon、Facebook(Proxygen)、Node.js以及Envoy proxy，大多數廠商都已經發布了修復補丁。

原文鏈接：https://thehackernews.com/2019/08/http2-dos-vulnerability.html

5、卡巴斯基殺軟中的漏洞可允許跨站點跟蹤用戶


安全研究員Ronald Eikenberg發現卡巴斯基的殺毒軟件存在一個漏洞（CVE-2019-8286），可允許惡意站點或第三方服務跨站點跟蹤用戶。該漏洞存在于一個名為Kaspersky URL Advisor的網址掃描模塊中，該模塊在用戶瀏覽的網頁中注入UUID來標記用戶，但惡意網站可獲取該UUID并跟蹤用戶。在接到報告后，卡巴斯基將該UUID更改為一個常量。

原文鏈接：https://thehackernews.com/2019/08/kaspersky-antivirus-online-tracking.html

上一篇 下一篇