信息安全周報-2021年第3周
發布時間 2021-01-18> 本周安全態勢綜述
2021年01月11日至01月17日共收錄安全漏洞70個，值得關注的是Microsoft Word CVE-2021-1715代碼執行漏洞；Siemens JT2Go JT解析類型混淆代碼執行漏洞；Cisco Connected Mobile Experiences CVE-2021-1144權限提升漏洞；Adobe Photoshop堆緩沖區溢出代碼執行漏洞；Xiaomi AX1800登錄驗證繞過漏洞。
本周值得關注的網絡安全事件是新西蘭儲備銀行遭到攻擊，敏感信息或已泄露；聯合國環境規劃署的Git存儲庫泄露超過10萬個的員工信息；Socialarks泄露400GB數據，影響全球2億多用戶；新SolarLeaks網站出售SolarWinds供應鏈攻擊中的歷史數據；Skype在全球范圍內服務中斷，原因尚不明確。
根據以上綜述，本周安全威脅為中。
> 重要安全漏洞列表
1.Microsoft Word CVE-2021-1715代碼執行漏洞
Microsoft Word存在安全漏洞，允許遠程攻擊者利用漏洞提交特殊的文件請求，誘使用戶解析，可以應用程序上下文執行任意代碼。
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-1715
2.Siemens JT2Go JT解析類型混淆代碼執行漏洞
Siemens JT2Go JT文件解析存在類型混淆漏洞，允許遠程攻擊者利用漏洞提交特殊的文件請求，可以應用程序上下文執行任意代碼。
https://us-cert.cisa.gov/ics/advisories/icsa-21-012-03
3.Cisco Connected Mobile Experiences CVE-2021-1144權限提升漏洞
Cisco Connected Mobile Experiences更改密碼授權存在安全漏洞，允許遠程攻擊者利用漏洞提交特殊的請求，可更改任意用戶密碼，提升特權。
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cmxpe-75Asy9k
4.Adobe Photoshop堆緩沖區溢出代碼執行漏洞
Adobe Photoshop處理文件存在堆緩沖區溢出漏洞，允許遠程攻擊者利用漏洞提交特殊的文件請求，誘使用戶解析，可使應用程序崩潰或以應用程序上下文執行任意代碼。
https://helpx.adobe.com/security/products/photoshop/apsb21-01.html
5.Xiaomi AX1800登錄驗證繞過漏洞
Xiaomi AX1800存在路由器重啟后時間不同步的問題，允許遠程攻擊者利用漏洞提交特殊的請求，可繞過登錄驗證未授權訪問。
https://privacy.mi.com/trust#/security/vulnerability-management/vulnerability-announcement/detail?id=22&locale=en
> 重要安全事件綜述
1、新西蘭儲備銀行遭到攻擊，敏感信息或已泄露
位于惠靈頓的新西蘭儲備銀行于周日聲稱其遭到攻擊。據悉，該銀行用來共享和存儲敏感信息的第三方文件共享服務的數據系統遭到破壞，黑客可能已經訪問了其中的商業和個人敏感信息。目前，該系統已被脫機保護，直到銀行完成其初步調查為止才會恢復。該銀行表示其正在確定泄露信息的范圍，并且拒絕透露有關此次攻擊更多的細節。
原文鏈接：
https://www.securityweek.com/new-zealand-central-bank-hit-cyber-attack
2、聯合國環境規劃署的Git存儲庫泄露超過10萬個的員工信息
該公開的git目錄中包含了大量敏感文件，如與環境署和聯合國國際勞工組織其他在線系統相關的純文本數據庫憑據，管理員的數據庫憑據和環境署的源代碼庫等。此外，此次事件還泄露了員工的PII，如員工旅行歷史、人口統計數據（國籍、性別和薪級）、項目資金來源記錄、員工記錄和就業評估報告等。
原文鏈接：
https://www.bleepingcomputer.com/news/security/united-nations-data-breach-exposed-over-100k-unep-staff-records/
3、Socialarks泄露400GB數據，影響全球2億多用戶
安全公司Safety Detectives發現，中國初創公司Socialarks（笨鳥社交）泄露了400GB數據。此次數據泄露是由于ElasticSearch數據庫設置錯誤，泄露了總計408GB，超過3.18億條用戶記錄，涉及到11651162個Instagram用戶、66117839個領英用戶和81551567個Facebook用戶。值得注意的是，Socialarks在2020年8月也發生了類似的事件，泄露了1.5億個用戶的個人數據。
原文鏈接：
https://www.safetydetectives.com/blog/socialarks-leak-report/
4、新SolarLeaks網站出售SolarWinds供應鏈攻擊中的歷史數據
新SolarLeaks網站出售SolarWinds供應鏈攻擊中Microsoft、Cisco、FireEye和SolarWinds等公司的失竊數據。該網站以60萬美元的價格出售Microsoft源代碼和存儲庫，以5萬美元的價格出售FireEye的源代碼和紅隊工具，以25萬美元的價格出售SolarWinds源代碼和客戶門戶，并以100萬美元的價格出售全部泄露數據。solarleaks.net域是通過俄羅斯Fancy Bear和Cozy Bear使用的已知注冊商NJALLA進行注冊。
原文鏈接：
https://www.bleepingcomputer.com/news/security/solarleaks-site-claims-to-sell-data-stolen-in-solarwinds-attacks/
5、Skype在全球范圍內服務中斷，原因尚不明確
1月13日上午，Skype在全球范圍內服務中斷，目前該問題已被解決。根據在線消息平臺DownDetector統計，中斷主要集中在美國、歐洲、亞洲和世界其他地區。用戶在訪問Skype網站時，會顯示我們無法完成您的請求的提示。Microsoft在Skype狀態頁上表示發現了該問題，其影響了Skype登錄、呼叫、消息、搜索、移動共享、支付系統、SMS和其他服務。問題現已恢復，Skype可再次聯機。
原文鏈接：
https://www.bleepingcomputer.com/news/microsoft/skype-is-down-worldwide-microsoft-working-on-issues/
京公網安備11010802024551號