信息安全周报-2019年第29周

颁布功夫 2019-07-29

>  本周安全态势综述



2019年7月22日至28日共收录安全缝隙49个，值得关注的是ProFTPD SITE CPFR/CPTO肆意读写缝隙；Apple Webkit 多个内存粉碎代码执行缝隙；Zeroshell http参数号令注入缝隙；Apache Storm反序列化代码执行缝隙；McAfee Data Loss Prevention Endpoint ePO扩大号令注入缝隙。


本周值得关注的网络安全事务是俄罗斯联国安全局承包商遭黑客入侵，机密项目曝光；ProFTPD RCE缝隙，超过100万台服务器受影响；印度幼额信贷银行Jana Cash意表泄露260万用户买卖信息；RiskIQ颁布2019互联网犯罪汇报，每分钟损失290万美元；前西门子合同工认可在公司电子表格中植入逻辑炸弹。


凭据以上综述，本周安全威胁为中。



>  沉要安全缝隙列表



1. ProFTPD SITE CPFR/CPTO肆意读写缝隙


ProFTPD SITE CPFR/CPTO没有正确处置和配置，允许远程攻击者能够利用缝隙提交特殊的要求，可执行肆意读写操作。

http://bugs.proftpd.org/show_bug.cgi?id=4372

2. Apple Webkit CVE-2019-8644内存粉碎代码执行缝隙


Apple iOS蕴含的WebKit存在内存粉碎缝隙，允许远程攻击者能够利用缝隙提交特殊的WEB要求，诱使用户解析，可使利用法式崩�；蛑葱兴烈獯�。

https://support.apple.com/zh-cn/HT210356

3. Zeroshell http参数号令注入缝隙


Zeroshell处置http参数存在输入验证缝隙，允许远程攻击者能够利用缝隙提交特殊的要求，可执行肆意代码。
https://www.tarlogic.com/advisories/zeroshell-rce-root.txt

4. Apache Storm反序列化代码执行缝隙


Apache Storm处置不成信数据存在反序列化缝隙，允许远程攻击者能够利用缝隙提交特殊的要求，可执行肆意代码。
https://lists.apache.org/thread.html/3e4f704c4bd9296405a07a0290b8cbb6cbf5046e277efe6d93280a98@%3Cuser.storm.apache.org%3E

5. McAfee Data Loss Prevention Endpoint ePO扩大号令注入缝隙


McAfee Data Loss Prevention Endpoint ePO扩大存在安全缝隙，允许远程攻击者利用缝隙提交特殊的要求，可执行肆意OS号令。
https://kc.mcafee.com/corporate/index?page=content&id=SB10289



>  沉要安全事务综述



1、俄罗斯联国安全局承包商遭黑客入侵，机密项目曝光


GA黄金甲·(中国区)官方网站


俄罗斯联国安全局（FSB）的承包商SyTech遭黑客入侵，该公司为FSB开发的机密项目被曝光。该攻击事务产生在7月13日，黑客团伙0v1ru$入侵了SyTech的服务器，并窃取了7.5TB的数据。这些数据随后被分享给黑客团伙DigitalRevolution，后者向媒体进行了曝光。这些机密项目蕴含旨在隔离俄罗斯互联网的Nadezhda项目、旨在网络社交媒体用户信息的Nautilus项目以及旨在对Tor网络用户进行去匿名化的Nautilus-S项目等。

原文链接：https://www.bleepingcomputer.com/news/security/russian-fsb-intel-agency-contractor-hacked-secret-projects-exposed/

2、ProFTPD RCE缝隙，超过100万台服务器受影响


GA黄金甲·(中国区)官方网站



ProFTPD颁布新版本1.3.6，建复一个可导致RCE的缝隙。该缝隙（CVE-2019- 12815）与ProFTPD的mod_copy� ？橛泄�，缝隙原因是mod_copy� ？榈淖越缢礢ITE CPFR和SITE CPTO号令没有按预期配置工作。治理员可通过禁用mod_copy� ？槔椿航飧梅煜�。凭据Shodan的搜索了局，目前有超过100万个ProFTPd服务器尚未升级建复补丁。德国CERT-Bund也针对该缝隙向用户发出警报。

原文链接：https://www.bleepingcomputer.com/news/security/proftpd-remote-code-execution-bug-exposes-over-1-million-servers/

3、印度幼额信贷银行Jana Cash意表泄露260万用户买卖信息


GA黄金甲·(中国区)官方网站


钻研人员发现印度幼额信贷银行Jana Cash的一个数据库未受密码�；�，导致数百万用户的买卖信息可被公开接见。泄露的敏感信息蕴含260万用户的买卖纪录，以及他们的KYC PII信息，例如钱包ID、用户名、电子邮件、IP地址和端标语等。在钻研人员传递该公司后，该公司已对Elastic数据库进行�；�。目前尚不明显该数据库露出了多长功夫以及是否已被其他人接见。

原文链接：https://securitydiscovery.com/jana-bank-data-leak/

4、RiskIQ颁布2019互联网犯罪汇报，每分钟损失290万美元


GA黄金甲·(中国区)官方网站


凭据RiskIQ的数据，去年网络犯罪分子每分钟给全球经济造成290万美元的损失，整年总计造成1.5万亿美元的损失。其它数据蕴含，加密钱币买卖所每分钟的损失达1930美元；垂钓攻击每分钟造成的损失达17700美元；2019年全球勒索软件事务的预计成本为每分钟22184美元；每分钟泄露的身份数据条数为8100条；每分钟检测到的恶意沉定向为7个等。

原文链接：https://www.riskiq.com/blog/external-threat-management/2019-evil-internet-minute/

5、前西门子合同工认可在公司电子表格中植入逻辑炸弹


GA黄金甲·(中国区)官方网站


前西门子合同工David Tinley认可在为公司创建的电子表格中植入逻辑炸弹，他将面对最高10年的禁锢以及25万美元的� ？�。凭据有关法庭文件，Tinley为西门子的Monroeville PA处事处提供了近十年的软件服务，他在给公司创建用于治理设备订单的电子表格时植入了逻辑炸弹，这些炸弹会在特定日期触发，导致文件崩溃。每次崩溃时Tinley城市收取用度来建复该文件，直到两年后西门子发现了逻辑炸弹并提出了指控。

原文链接：https://www.zdnet.com/article/siemens-contractor-pleads-guilty-to-planting-logic-bomb-in-company-spreadsheets/