信息安全周报-2019年第12周

颁布功夫 2019-03-25

本周安全态势综述


2019年3月18日至24日共收录安全缝隙57个，，，值得关注的是Mozilla Firefox IonMonkey JIT编译器类型混合缝隙；；；Cisco IP Phone 7800/8800 Series sip远程代码执行缝隙; CUJO Smart Firewall DHCP主机名号令注入缝隙；；；Adobe Photoshop CC堆溢出肆意代码执行缝隙；；；Wifi-soft UniBox controller CVE-2019-3495远程代码执行缝隙。�！！！！！�
本周值得关注的网络安全事务是Facebook明文存储数亿用户密码，，，被员工查看900万次；；；谷歌因告白垄断再被欧盟�？�17亿美元；；；Nork Hydro公司遭到勒索软件LockerGoga攻击；；；89％的欧盟当局网站存在第三方告白跟踪剧本；；；Epic Games网络Steam用户隐衷信息，，，承诺将进行修复。�！！！！！�

凭据以上综述，，，本周安全威胁为中。�！！！！！�


重要安全缝隙列表


1. Mozilla Firefox IonMonkey JIT编译器类型混合缝隙
Mozilla Firefox IonMonkey JIT编译器存在类型混合缝隙，，，允许远程攻击者利用缝隙提交特殊的web要求，，，诱使用户解析，，，可使利用法式崩�；；；蛑葱兴烈獯�，，，
https://www.mozilla.org/en-US/security/advisories/mfsa2019-07/

2. Cisco IP Phone 7800/8800 Series sip远程代码执行缝隙
Cisco IP Phone 7800/8800 WEB接口处置恶意sip新闻存在安全缝隙，，，允许远程攻击者能够利用缝隙提交特殊的要求，，，可执行肆意代码。�！！！！！�
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190320-ip-phone-rce

3. CUJO Smart Firewall DHCP主机名号令注入缝隙
CUJO Smart Firewall dhcp守护过程存在输入验证缝隙，，，允许远程攻击者能够利用缝隙提交特殊的要求，，，可注入肆意号令并执行。�！！！！！�
https://www.talosintelligence.com/vulnerability_reports/TALOS-2018-0703

4. Adobe Photoshop CC堆溢出肆意代码执行缝隙
Adobe Photoshop CC处置文件存在堆溢出缝隙，，，允许远程攻击者能够利用缝隙提交特殊的文件要求，，，诱使用户解析，，，可使利用法式崩�；；；蛑葱兴烈獯�。�！！！！！�
https://helpx.adobe.com/security/products/photoshop/apsb19-15.html

5. Wifi-soft UniBox controller CVE-2019-3495远程代码执行缝隙
Wifi-soft UniBox controller存在远程代码注入缝隙，，，允许远程攻击者利用缝隙提交特殊的要求，，，可执行肆意代码。�！！！！！�
https://packetstormsecurity.com/files/151077/Wifi-soft-Unibox-2.x-Remote-Command-Code-Injection.html

 重要安全事务综述


1、Facebook明文存储数亿用户密码，，，被员工查看900万次

OG东方厅·(中国大陆)

本周四Facebook认可数以亿计的Facebook和Instagram用户的密码多年来一向以明文的大局存储在内部数据系统中。�！！！！！acebook在1月份的例行安全审查期间发现了这一问题，，，该公司暗示这些数据并未遭到滥用。�！！！！！Ｆ揪莅踩钦連rian Krebs的一份汇报，，，约2000名工程师或开发人员对这些数据进行了约莫900万次内部查问。�！！！！！acebook尚未披露受影响的具体用户人数，，，但Krebs的汇报中称这一数字为2亿至6亿之间。�！！！！！�

原文链接：：：
https://www.bleepingcomputer.com/news/security/facebook-employees-could-access-unencrypted-passwords-for-millions-of-users/

2、谷歌因告白垄断再被欧盟�？�17亿美元


OG东方厅·(中国大陆)


3月20日欧盟委员会颁布申明对谷歌的告白垄断行为�？�14.9亿欧元（约17亿美元），，，这是两年内欧盟对谷歌开出的第三张大额反垄断罚单。�！！！！！Ｅ访宋被岚凳菊庖环？畹脑蚴枪雀枥挠闷涫谐≈鞯贾拔�，，，阻止网页使用AdSense平台以外的告白服务，，，这一罚金相当于谷歌2018年交易额的1.29%。�！！！！！�


原文链接：：：
https://www.bleepingcomputer.com/news/security/google-fined-17-billion-for-anti-competitive-practices-in-online-advertising/

3、Nork Hydro公司遭到勒索软件LockerGoga攻击


OG东方厅·(中国大陆)


本周一（3月18日）晚间挪威铝业巨头Norsk Hydro遭到大规模网络攻击，，，几家工厂被一时关闭。�！！！！！Ｔ谛挛虐洳蓟嵘�，，，Norsk Hydro首席财政官Eivind Kallevik泄漏该公司遭到较新的勒索软件LockerGoga的攻击，，，其出产及运营均受到影响。�！！！！！８霉颈黄仍谂餐⒖ㄋ桶臀鞯裙惹谢恢寥宋僮�，，，以复原其运营活动。�！！！！！allevik还暗示该公司已经可能处置所有客户的订单并交付，，，但将来的订单可能会受到影响，，，由于公司网络仍未复原。�！！！！！�

原文链接：：：
https://www.bleepingcomputer.com/news/security/lockergoga-ransomware-sends-norsk-hydro-into-manual-mode/

4、89％的欧盟当局网站存在第三方告白跟踪剧本


OG东方厅·(中国大陆)


丹麦浏览器分析公司Cookiebot在25个欧盟成员国确当局官网上发现告白跟踪剧本，，，这或许占总共28个成员国的89%，，，只有德国、西班牙和荷兰确当局网站没有贸易告白跟踪器。�！！！！！７ü本滞旧系母姘赘倨髯疃�，，，有52家分歧的公司在跟踪用户的行为。�！！！！！Ｕ庑└姘赘倨髦匾窃诘谌讲寮脑窒律虢本滞�，，，例如视频播放器插件、网站分析及图表插件等。�！！！！！Ｕ庀匀晃シ戳伺访说氖荼；；；ぢ衫鼼DPR。�！！！！！�

原文链接：：：
https://www.bleepingcomputer.com/news/security/89-percent-of-eu-government-sites-infiltrated-by-ad-tracking-scripts/

5、Epic Games网络Steam用户隐衷信息，，，承诺将进行修复


OG东方厅·(中国大陆)


Epic Games针对多项加害用户隐衷的指控做出回应，，，并承诺对该问题进行修复。�！！！！！Ｓ蜗吠婕以赗eddit上发帖称，，，Epic Games Launcher在未经用户许可的情况下扫描并网络用户的Steam信息。�！！！！！pic Games工程副总裁Daniel Vogel回应称Epic Games Store客户端创建了Steam文件localconfig.vdf的本地加密副本，，，当用户选择导入Steam联系人时，，，将会把用户的联系人哈希ID发送回Epic。�！！！！！pic Games CEO Tim Sweeney暗示将对有争议的用户数据网络行为进行修复。�！！！！！�

原文链接：：：
https://www.bleepingcomputer.com/news/security/epic-promises-to-fix-game-launcher-after-privacy-concerns/

申明：：：本资讯由OG东方厅维他命安全小组翻译和整顿