信息安全周报-2018年第45周
颁布功夫 2018-11-12一、本周安全态势综述
本周值得关注的网络安全事务是钻研人员披露VirtualBox中的虚构机逃逸0day；思科今年内第七次删除产品中的后门账户；柬埔寨多家ISP遭到该国汗青上最大规模的DDoS攻击；美芝加哥CPS约8万员工的幼我信息被窃；霍尼韦尔颁布关于工业设施中的USB威胁的分析汇报。
凭据以上综述，本周安全威胁为中。
二、沉要安全缝隙列表
1. Cisco Unity Express JAVA反序列化处置肆意号令执行缝隙
Cisco Unity Express对用户提供的内容进行反序列化操作是没有进行足够的过滤，允许远程攻击者能够利用缝隙提交特殊的java序列化对象要求，能够ROOT权限执行肆意号令。
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20181107-cue2. AVEVA InduSoft Web Studio/InTouch Edge HMI远程代码执行缝隙
https://sw.aveva.com/hubfs/assets-2018/pdf/security-bulletin/SecurityBulletin_LFSec130.pdf
3. HPE Integrated Lights-Out 5固件更新安全限度绕过缝隙
https://support.hpe.com/hpsc/doc/public/display?docId=hpesbhf03894en_us
4. QEMU 'NBD_OPT_LIST'缓冲区溢露马脚
https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2017-2630
5. Brocade Fabric OS ROOT权限提取缝隙
https://www.broadcom.com/support/fibre-channel-networking/security-advisories/brocade-security-advisory-2018-731
三、沉要安全事务综述
俄罗斯缝隙钻研人员Sergey Zelenyuk披露VirtualBox中的一个虚构机逃逸0day，该缝隙影响了VirtualBox 5.2.20及之前的版本。该缝隙合用于网卡为Intel PRO/1000 MT Desktop (82540EM) 并处于NAT模式的虚构机，攻击者可利用该缝隙逃逸至主机ring3权限，并利用其它技术提权至ring0。钻研人员在Github上具体描述了该缝隙背后的机造，并颁布了有关PoC视频。
原文链接：
https://www.bleepingcomputer.com/news/security/virtualbox-zero-day-vulnerability-details-and-exploit-are-publicly-available/
2、思科今年内第七次删除产品中的后门账户
思科颁布了多款产品的15个安全更新，其中蕴含删除了幼型企业互换机中的一个后门账户。这是今年来思科第七次删除产品中的后门账户。这些后门账户缝隙蕴含3月份的CVE-2018-0141和CVE-2018-0150、5月份的CVE-2018-0222、6月份的CVE-2018-0329、7月份的CVE-2018-0375、9月份的CVE-2018-15427以及本月（11月份）的CVE-2018-15439。
原文链接：
https://www.zdnet.com/article/cisco-removed-its-seventh-backdoor-account-this-year-and-thats-a-good-thing/
3、柬埔寨多家ISP遭到该国汗青上最大规模的DDoS攻击
本周柬埔寨最大的几家互联网服务提供商（ISP）遭到了大规模的DDoS攻击，蕴含EZECOM、SINET、Telcotech和Digi。据本地媒体报路，这次DDoS攻击是该国汗青上最大规模的攻击之一，本周一的DDoS攻击流量达近150Gbps。关于这次攻击的原因和动机尚不明显，也没有攻击者宣称对此掌管。一种可能的情况是ISP竞争敌手之间的相互攻击。
原文链接：
https://www.zdnet.com/article/cambodias-isps-hit-by-some-of-the-biggest-ddos-attacks-in-the-countrys-history/
4、美芝加哥CPS约8万员工的幼我信息被窃
凭据芝加哥太阳报的报路，芝加哥公立学堂的一名前雇员Kristi Sims窃取了约8万名员工、自愿者和供给商的幼我信息，这些信息蕴含姓名、员工ID、电话号码、地址、诞生日期、犯罪汗青和DCFS调查了局等，不蕴含任何社保号码。Krims目前已被芝加哥警方扣留和扣留，并将面对多项罪名的指控。
原文链接：
https://news.softpedia.com/news/80-000-individuals-had-their-personal-info-stolen-by-former-cps-employee-523592.shtml
5、霍尼韦尔颁布关于工业设施中的USB威胁的分析汇报
凭据霍尼韦尔颁布的一份新汇报，USB设备是针对工业设施的恶意软件攻击的重要媒介。该汇报是基于霍尼韦尔的安全媒体互换（SMX）技术网络的数据，涵盖了能源、石油和天然气、化学、纸张造作等行业。数据批注，26%的威胁可能导致工业企业失去ICS环境的可见性或节造权，从而造成沉大中断。16%的威胁专门针对ICS和IoT系统，其中蕴含恶意软件Mirai（6％）、Stuxnet（2％）、Triton（2％）和WannaCry（1％）。
原文链接：
https://honeywellprocess.blob.core.windows.net/public/Support/Customer/Honeywell-USB-Threat-Report.pdf
申明：本资讯由GA黄金甲维他命安全幼组翻译和整顿
京公网安备11010802024551号