信息安全周報-2020年第13周
發布時間 2020-03-31> 本周安全態勢綜述
2020年03月23日至29日共收錄安全漏洞62個，值得關注的是Microsoft Windows Adobe Type Manager Library字體處理代碼執行漏洞; Apple Safari Webkit CVE-2020-3901內存錯誤引用代碼執行漏洞；Apache Shiro Spring dynamic controllers驗證繞過漏洞；rConfig lib/crud/search.crud.php命令注入漏洞；3S-Smart Software Solutions CODESYS V3 web server緩沖區溢出漏洞。
本周值得關注的網絡安全事件是Keepnet Labs ES實例泄露超過50億條記錄，均為以前泄露；微軟警告Adobe Type Manager庫中的兩個RCE 0day；惠普再次警告部分SSD將在運行4萬小時后出現故障；開源路由器發行版OPENWRT/LEDE RCE漏洞（CVE-2020-7982）；Github和京東等網站遭到中間人攻擊，多個省市區受影響。
根據以上綜述，本周安全威脅為中。
>重要安全漏洞列表
1. Microsoft Windows Adobe Type Manager Library字體處理代碼執行漏洞
Microsoft Windows Adobe Type Manager Library處理Adobe Type 1 PostScript格式字體存在內存破壞漏洞，允許遠程攻擊者利用漏洞構建惡意文件，誘使用戶解析，可使應用程序崩潰或執行任意代碼。
https://portal.msrc.microsoft.com/zh-cn/security-guidance/advisory/ADV200006
2. Apple Safari Webkit CVE-2020-3901內存錯誤引用代碼執行漏洞
Apple Safari Webkit存在內存破壞漏洞，允許遠程攻擊者利用漏洞提交特殊的WEB請求，誘使用戶訪問，可使應用程序崩潰或可以應用程序上下文執行任意代碼。
https://support.apple.com/en-us/HT211104
3. Apache Shiro Spring dynamic controllers驗證繞過漏洞
Apache Shiro Spring dynamic controllers存在驗證繞過漏洞，允許遠程攻擊者利用漏洞提交特殊的請求，可繞過驗證未授權訪問應用。
https://lists.apache.org/thread.html/r17f371fc89d34df2d0c8131473fbc68154290e1be238895648f5a1e6%40%3Cdev.shiro.apache.org%3E
4. rConfig lib/crud/search.crud.php命令注入漏洞
rConfig lib/crud/search.crud.php處理nodeId存在輸入驗證漏洞，允許遠程攻擊者利用漏洞提交特殊的請求，可注入任意命令并執行。
https://github.com/rconfig/rconfig/commit/3385f906427d228c48b914625136bf620f4ca0a9
5. 3S-Smart Software Solutions CODESYS V3 web server緩沖區溢出漏洞
3S-Smart Software Solutions CODESYS V3 web server CmpWebServerHandlerV3.dll存在堆溢出漏洞，允許遠程攻擊者可以利用漏洞提交特殊的請求，可使服務程序崩潰或執行任意代碼。
https://zh-cn.tenable.com/security/research/tra-2020-16?tns_redirect=true
> 重要安全事件綜述
1、Keepnet Labs ES實例泄露超過50億條記錄，均為以前泄露
英國安全廠商Keepnet Labs的一個Elasticsearch實例泄露了超過50億條數據記錄，這些記錄是2012年至2019年之間發生的泄露事件中的記錄。該數據庫由兩個集合組成，一個包含50.88億條記錄，而另一個實時更新的集合則包含超過1500萬條記錄。泄露的記錄包括哈希類型、泄露年份、密碼（哈希、加密或明文格式）、電子郵件、電子郵件域名以及泄露源（包括Adobe、Last.fm、Twitter、LinkedIn、Tumblr和VK等）。Keepnet Labs表示數據庫是在其供應商將索引遷移至另一臺ES服務器時暴露的，在遷移過程中防火墻臨時禁用了約10分鐘，使得搜索引擎可以為數據庫建立索引。
原文鏈接：
https://securityaffairs.co/wordpress/100198/data-breach/keepnet-labs-data-leak.html
2、微軟警告Adobe Type Manager庫中的兩個RCE 0day
微軟發布安全公告，警告Windows Adobe Type Manager庫中的兩個RCE 0day，這兩個漏洞影響了當前所有受支持的Windows和Windows Server版本。漏洞存在于Adobe Type Manager庫處理Adobe Type 1 PostScript字體格式的方式中，攻擊者可以通過多種方式利用此漏洞，例如說服用戶打開惡意文檔或在Windows預覽窗格中查看它。微軟已經發現利用此漏洞的有限針對性攻擊。建議在Windows資源管理器中禁用“預覽窗格”和“詳細信息窗格”，以減輕利用風險，另外兩個緩解措施是禁用WebClient服務和重命名“ATMFD.DLL”。
原文鏈接：
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV200006
3、惠普再次警告部分SSD將在運行4萬小時后出現故障
惠普再次警告其客戶，某些串行連接的SCSI固態硬盤會在運行4萬小時（相當于4年206天16個小時）后出現故障，數據和硬盤均無法恢復。該公司于2019年11月發布了類似的公告，當時部分SSD在運行32768小時后發生故障。這一次受影響的SSD型號包括EK0800JVYPN、EO1600JVYPP、MK0800JVYPQ和MO1600JVYPR，受影響的產品包括多種HP服務器和存儲產品，如HP ProLiant、Synergy、Apollo 4200等。HPE估計，未打補丁的SSD最早將在2020年10月開始出現故障，建議用戶盡快應用固件更新。
原文鏈接：
https://www.bleepingcomputer.com/news/security/hpe-warns-of-new-bug-that-kills-ssd-drives-after-40-000-hours/
4、開源路由器發行版OPENWRT/LEDE RCE漏洞（CVE-2020-7982）
研究人員披露開源路由器發行版OPENWRT/LEDE中的關鍵RCE漏洞（CVE-2020-7982）的技術細節和PoC。該漏洞存在于OpenWrt的OPKG軟件包管理器中，OPKG對下載的軟件包執行完整性檢查時，如果SHA-256校驗和包含任何前導空格，OPKG會跳過完整性檢查繼續執行安裝任務。該漏洞可能使遠程MitM攻擊者能夠誘騙系統安裝未經驗證的惡意軟件包或軟件更新，從而攔截目標設備的通信和執行任意代碼。OpenWrt版本18.06.0至18.06.6和19.07.0以及LEDE 17.01.0至17.01.7均受到影響。建議受影響的用戶將其設備固件升級到最新OpenWrt版本18.06.7和19.07.1。
原文鏈接：
https://thehackernews.com/2020/03/openwrt-rce-vulnerability.html
5、Github和京東等網站遭到中間人攻擊，多個省市區受影響
3月26日有攻擊者針對Github和京東等網站發起大規模中間人攻擊，目前受影響的主要是部分地區用戶，但涉及所有運營商，例如中國移動、中國聯通、中國電信以及教育網均可復現劫持問題，而國外網絡訪問這些站點并未出現異常情況。從目前網上查詢的信息可以看到此次攻擊涉及最廣的是GitHub.io，其次用戶訪問京東等國內知名網站亦會報錯。查看證書信息可以發現這些網站的證書被攻擊者使用的自簽名證書代替，導致瀏覽器無法信任從而阻止用戶訪問。目前全網絕大多數網站都已經開啟加密技術對抗劫持，因此用戶訪問會被阻止而不會被引導到釣魚網站上去。此次攻擊似乎是通過骨干網絡劫持443端口，目前經測試DNS系統解析是完全正常的。
原文鏈接：
https://www.landiannews.com/archives/71707.html
京公網安備11010802024551號