首頁 > 安全研究 > 安全通報 > 安全周報

信息安全周報-2019年第38周

發布時間 2019-09-30

本周安全態勢綜述



2019年9月23日至29日共收錄安全漏洞43個，值得關注的是RIOT MQTT-SN CVE-2019-16754空指針間接引用漏洞; vBulletin widgetConfig[code]遠程代碼執行漏洞；Adobe ColdFusion任意代碼執行漏洞；Microsoft Internet Explorer內存對象處理遠程代碼執行漏洞；phpstudy后門植入漏洞。


本周值得關注的網絡安全事件是Tesco停車應用存在漏洞導致數千萬車牌圖像泄露；微軟緊急修復IE中的RCE 0day及Defender中的DoS漏洞；據統計2019年美國已有多達500所學校遭勒索軟件攻擊；iOS 13和iPadOS漏洞可導致第三方鍵盤獲取完全訪問權限；iOS漏洞Checkm8可導致iPhone4到X永久越獄。


根據以上綜述，本周安全威脅為中。



重要安全漏洞列表



1. RIOT MQTT-SN CVE-2019-16754空指針間接引用漏洞
RIOT MQTT-SN實現存在空指針引用漏洞，允許遠程攻擊者可以利用漏洞提交特殊的請求，可使系統崩潰。
https://github.com/RIOT-OS/RIOT/pull/12293

2. vBulletin widgetConfig[code]遠程代碼執行漏洞
vBulletin ajax/render/widget_php routestring處理widgetConfig[code]存在安全漏洞，允許遠程攻擊者可以利用漏洞提交特殊的請求，可以應用程序上下文執行任意命令。
https://seclists.org/fulldisclosure/2019/Sep/31

3. Adobe ColdFusion任意代碼執行漏洞
Adobe ColdFusion某組件存在安全漏洞，允許遠程攻擊者可以利用漏洞提交特殊的請求，可注入任意命令并執行。
https://helpx.adobe.com/security/products/coldfusion/apsb19-47.html

4. Microsoft Internet Explorer內存對象處理遠程代碼執行漏洞
Microsoft Internet Explorer處理內存對象存在安全漏洞，允許遠程攻擊者可以利用漏洞提交特殊的WEB請求，誘使用戶解析，可使應用程序崩潰或執行任意代碼。
https://support.microsoft.com/zh-cn/help/4522007/cumulative-security-update-for-internet-explorer

5. phpstudy后門植入漏洞
phpstudy被注入后門，允許遠程攻擊者可以利用漏洞提交特殊的請求，控制目標應用系統。
https://www.xp.cn/


 重要安全事件綜述



1、Tesco停車應用存在漏洞導致數千萬車牌圖像泄露


在外媒The Register報道數千萬張ANPR（車牌自動識別）圖像在Microsoft Azure中暴露之后，Tesco已關閉其停車驗證Web應用。這些圖像由英國各地的19個Tesco停車場所拍攝的進入和離開的汽車照片組成，照片中突出顯示了汽車的車牌，雖然由于分辨率較低而看不到駕駛員。ANPR圖像以帶有時間戳的jpeg格式保存在Azure blob中，并且圖像文件名也包含時間信息，從而使得任何正確推斷出所需HTTP POST請求格式的人可以批量獲取這些圖像以供非法使用。

原文鏈接：
https://www.theregister.co.uk/2019/09/20/tesco_parking_app_10s_millions_anpr_photos_exposed/

2、微軟緊急修復IE中的RCE 0day及Defender中的DoS漏洞



微軟發布緊急安全更新，修復IE中的RCE 0day及Windows Defender中的DoS漏洞。其中IE 0day為谷歌研究人員ClémentLecigne發現的腳本引擎內存損壞漏洞（CVE-2019-1367），攻擊者可利用該漏洞在當前用戶的上下文中執行任意代碼。該漏洞可以通過將目標用戶重定向至惡意網站來利用，受影響的版本包括IE9、10和11。另一個漏洞是Windows Defender中的拒絕服務漏洞（CVE-2019-1255），該漏洞與Defender處理文件的方式有關，攻擊者可利用該漏洞阻止合法賬戶執行合法的系統文件。受影響的Defender版本為1.1.16300.1，并已在1.1.16400.2中修復。

原文鏈接：
https://www.zdnet.com/article/microsoft-releases-out-of-band-security-update-to-fix-ie-zero-day-defender-bug/

3、據統計2019年美國已有多達500所學校遭勒索軟件攻擊



根據云安全公司Armor的調研，美國已有49個學區的教育機構遭到勒索軟件攻擊，使得教育行業成為僅次于地方政府的第二大易受攻擊目標。該公司分析了自2019年1月以來公開報道的攻擊，發現在2019年前9個月已有多達500所K-12學校遭到攻擊，而去年只有11所學校。僅在9月中旬的一周多時間里就有9個新學區和1所大學受到攻擊，波及約100所K-12學校?？的腋裰莸膶W區受到的威脅最為嚴重，該州共遭遇了7次攻擊，涵蓋104所學校。


原文鏈接：

https://www.infosecurity-magazine.com/news/hundreds-of-us-schools-hit-by/

4、iOS 13和iPadOS漏洞可導致第三方鍵盤獲取完全訪問權限


蘋果官方發布了一份新的支持文檔，警告用戶有關iOS 13和iPadOS第三方鍵盤存在的安全漏洞。該公司表示，一些第三方鍵盤軟件即使未被批準完全訪問權限也可能會由于iOS 13和iPadOS中的漏洞而被授予完全訪問權限。這一問題影響了iPhone、iPad或iPod touch安裝的鍵盤，但不影響蘋果的內置鍵盤，也不會影響未利用完全訪問權限的第三方鍵盤，蘋果將在即將到來的軟件更新中修復此漏洞。


原文鏈接：

https://threatpost.com/bug-granting-full-access-keyboards/148638/

5、iOS漏洞Checkm8可導致iPhone4到X永久越獄



安全研究員axi0mX披露iOS中的安全漏洞checkm8，該漏洞可以使iPhone4S（A5芯片）到iPhone8、iPhoneX（A11芯片）的所有蘋果手機及同款A系列處理器的iPad、iPod touch等iOS設備永久越獄。沒有提到最新的A12和A13是否受到影響。該攻擊利用了bootrom漏洞，即存儲了iPhone啟動指令的只讀存儲器（ROM）漏洞，由于該部分內存是只讀的，因此無法通過安全更新來修復漏洞。研究人員在Github上發布了相關漏洞利用，但尚無公開可用的越獄程序。

原文鏈接：
https://threatpost.com/ios-exploit-checkm8-could-allow-permanent-iphone-jailbreaks/148762/
上一篇 下一篇