信息安全周报-2019年第37周

颁布功夫 2019-09-23

> 本周安全态势综述


2019年9月16日至22日共收录安全缝隙43个，，，值得关注的是Fastjson<=1.2.60远程代码执行缝隙；；e-cology远程代码执行缝隙；；CODESYS V3 Web Server栈溢出缝隙；；VMware ESXi 'busybox'号令注入缝隙；；Schneider Electric BMXNOR0200H Ethernet/Serial RTU module回绝服务缝隙。


本周值得关注的网络安全事务是厄瓜多尔大部门公民隐衷泄露，，，蕴含670万儿童信息；；狮子航空公司数千万用户纪录在暗网泄露；；MITRE颁布2019年CWE最危险软件谬误列表Top25；；AMD Radeon驱动法式被曝存在虚构机逃逸缝隙；；三星和LG智能设备将用户敏感数据发送到合作公司。


凭据以上综述，，，本周安全威胁为中。



> 重要安全缝隙列表


1. Fastjson<=1.2.60远程代码执行缝隙


Fastjson存在反序列化缝隙，，，允许远程攻击者利用缝隙提交特殊的要求，，，可使利用法式崩�；；蛑葱兴烈獯�。

https://github.com/alibaba/fastjson/commit/05a7aa7f748115018747f7676fd2aefdc545d17a


2. e-cology远程代码执行缝隙


e-cology BeanShell组件存在安全缝隙，，，允许远程攻击者利用缝隙提交特殊的要求，，，可执行肆意号令。

https://help.aliyun.com/noticelist/articleid/1060057523.html?spm=5176.2020520154.sas.20.36a91e43Zt9Vx7


3. CODESYS V3 Web Server栈溢出缝隙


CODESYS V3 Web Servers存在栈溢出缝隙，，，允许远程攻击者能够利用缝隙提交特殊的要求，，，可执行肆意代码或使利用法式崩溃。

https://www.codesys.com/fileadmin/data/customers/security/2019/Advisory2019-06_CDS-64543.pdf


4. VMware ESXi 'busybox'号令注入缝隙


VMware ESXi 'busybox'处置文件名存在安全缝隙，，，允许远程攻击者能够利用缝隙提交特殊的要求，，，可执行肆意号令。

https://www.vmware.com/security/advisories/VMSA-2019-0013.html


5. Schneider Electric BMXNOR0200H Ethernet/Serial RTU module回绝服务缝隙


Schneider Electric BMXNOR0200H Ethernet/Serial RTU module处置大量IEC 60870-5-104报文存在安全缝隙，，，允许远程攻击者能够利用缝隙提交特殊的要求，，，可使利用法式崩溃。

https://www.schneider-electric.com/en/download/document/SEVD-2019-225-03/



 > 重要安全事务综述


1、、厄瓜多尔大部门公民隐衷泄露，，，蕴含670万儿童信息


OG东方厅·(中国大陆)


钻研人员发现一家本地公司Novaestrat的Elasticsearch服务器露出了厄瓜多尔大无数公民的隐衷信息。厄瓜多尔的人丁基数为1660万，，，而该数据库蕴含近2080万条用户纪录，，，超过了该国的人丁数据，，，其原因是数据库中蕴含一些反复纪录和殒命公民的纪录。泄露的数据蕴含姓名、、家庭成员/家族树、、公民注册数据、、财政及工作信息、、车辆信息等。数据库中还蕴含当局员工信息和677万儿童信息，，，以及700万条财政纪录和250万条车辆纪录。


原文链接：：：

https://www.zdnet.com/article/database-leaks-data-on-most-of-ecuadors-citizens-including-6-7-million-children/


2、、狮子航空公司数千万用户纪录在暗网泄露


OG东方厅·(中国大陆)


狮子航空旗下两家航空公司的数千万条搭客纪录在暗网论坛上泄露。这些数据存储在可公开接见的Amazon存储桶中，，，共有两个数据库，，，一个蕴含2100万笔纪录，，，另一个蕴含1400万笔纪录，，，该目录下还蕴含2019年5月份创建的备份文件，，，重要属于Malindo Air和Thai Lion Air。另一个备份文件的名称是Batik Air，，，该公司的母公司也是狮子航空。泄露的信息蕴含搭客的预约ID、、居住地址、、电话号码、、邮箱地址、、姓名、、诞生日期、、护照号码和到期日期等。目前还不明显这些数据初次泄露的功夫，，，但据称至少从8月10日起该数据库已在论坛上流通。


原文链接：：：

https://www.bleepingcomputer.com/news/security/millions-of-lion-air-passenger-records-exposed-and-exchanged-on-forums/


3、、MITRE颁布2019年CWE最危险软件谬误列表Top25


OG东方厅·(中国大陆)


非投机组织MITER颁布2019年最危险的软件缝隙和谬误列表Top25。凭据MITRE，，，最危险的软件谬误是CWE-119，，，它被描述为“对内存缓冲区天堑内操作的不正确限度”，，，即缓冲区溢出导致的越界读或写。排在第二位的是CWE-79，，，被描述为“网页天生期间输入造成的不正确反映”，，，即XSS攻击。第三名则是CWE-20，，，即“不正确的输入验证”。该列表是基于MITER数据库中的CVE数据及NVD数据库和CVSS获得的信息，，，总共有约莫2.5万个CVE提供了源数据。齐全列表请参考以下链接。


原文链接：：：

https://www.zdnet.com/article/these-software-vulnerabilities-top-mitres-most-dangerous-list-in-2019/


4、、AMD Radeon驱动法式被曝存在虚构机逃逸缝隙


OG东方厅·(中国大陆)


思科Talos披露AMD ATI Radeon ATIDXX64.DLL驱动法式中的虚构机逃逸缝隙。该缝隙存在于AMD Radeon RX 550及550系列显卡中，，，并且只能在运行VMWare Workstation 15时触发。钻研人员诠释称，，，可在VMware虚构机系统中通过恶意像素着色器在AMD ATIDXX64.DLL驱动法式中触发内存越界写入，，，这可能会触发VMware海东模式的缝隙，，，从而在宿主机上执行代码。该缝隙影响了ATIDXX64.DLL驱动法式版本25.20.15031.5004和25.20.15031.9002。该缝隙（CVE-2019-5049）的CVSS评分为9.0。


原文链接：：：

https://threatpost.com/amd-radeon-cards-vmware-workstations/148406/


5、、三星和LG智能设备将用户敏感数据发送到合作公司


OG东方厅·(中国大陆)


钻研人员发现即便是在设备闲置时，，，三星、、LG和Roku等公司的智能电视也会向合作的科技公司发送敏感的用户数据。凭据两个团队的独立钻研，，，智能电视的OTT平台会将用户的敏感数据泄露给Facebook、、亚马逊、、谷歌和Netflix等公司。第一份汇报钻研了81台设备，，，发现有72台设备将数据发送到非制作商的其它公司。第二份汇报发现从智能电视发送的数据也与谷歌和Facebook治理的跟踪器有关，，，钻研人员称89%的Amazon Fire TV频道和69%的Roku频道都蕴含用于跟踪用户收看习惯和偏好信息的跟踪器。这些跟踪器还能够鉴别设备和使用地位，，，蕴含设备序列号和ID、、Wi-Fi名称和MAC地址等。


原文链接：：：

https://threatpost.com/smart-tvs-leak-data/148482/