信息安全周报-2019年第44周
颁布功夫 2019-11-12>本周安全态势综述
2019年11月04日至10日共收录安全缝隙46个，值得关注的是Fuji Electric V-Server CVE-2019-18240缓冲区溢露马脚; Cisco Small Business RV016, RV042, RV042G, RV082 CVE-2019-15271肆意号令执行缝隙；TYPO3配置变量fileDenyPattern肆意代码执行缝隙；Atlassian Jira Service Desk Server目录遍历缝隙；Aruba Networks ClearPass Policy Manager数据库凭证泄露缝隙。
本周值得关注的网络安全事务是俄罗斯“主权互联网”司法生效，可与全球互联网断开；黑客可利用激光入侵Google智能语音副手；Libarchive代码执行缝隙影响Linux及BSD刊行版；趋向科技内部员工窃取超过12万用户信息并销售；2019年秋季垂钓攻击活动增长至三年来最高纪录。
凭据以上综述，本周安全威胁为中。
>沉要安全缝隙列表
1. Fuji Electric V-Server CVE-2019-18240缓冲区溢露马脚
Fuji Electric V-Server存在缓冲区溢露马脚，允许远程攻击者能够利用缝隙提交特殊的要求，可使利用法式崩�；蛑葱兴烈獯�。
https://www.us-cert.gov/ics/advisories/icsa-19-311-02
2. Cisco Small Business RV016, RV042, RV042G, RV082 CVE-2019-15271肆意号令执行缝隙
Cisco RV016 Multi-WAN VPN Router没有对HTTP payload进行输入验证处置，允许远程攻击者能够利用缝隙提交特殊的要求，可执行肆意OS号令。
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20191106-sbrv-cmd-x
3. TYPO3配置变量fileDenyPattern肆意代码执行缝隙
TYPO3配置变量fileDenyPattern值处置存在安全缝隙，允许远程攻击者能够利用缝隙提交特殊的要求，执行肆意代码。
https://typo3.org/security/advisory/typo3-sa-2010-012
4. Atlassian Jira Service Desk Server目录遍历缝隙
Atlassian Jira Service Desk Server存在目录遍历缝隙，允许远程攻击者利用缝隙提交特殊的要求，能够利用法式高低文读取系统文件内容。
https://jira.atlassian.com/browse/JSDSERVER-6589
5. Aruba Networks ClearPass Policy Manager数据库凭证泄露缝隙
Aruba Networks ClearPass Policy Manager存在安全缝隙，允许远程攻击者能够利用缝隙提交特殊的要求，获取数据库凭证。
https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2016-010.txt
>沉要安全事务综述
1、俄罗斯“主权互联网”司法生效，可与全球互联网断开
俄罗斯“主权互联网”司法在上周五生效，这将使俄罗斯当局可能将该国与全球互联网断开衔接。这项司法由普京总统在5月份签署，要求ISP装置当局提供的技术设备以进行流量查抄，这可能为大规模监督打开了大门。凭据俄罗斯当局的说法，该司法旨在确保即便断开与全球互联网的衔接也能够接见俄罗斯站点，以应对由网络攻击或安全事务导致的中断。该司法将使俄罗斯当局可能审查在线内容并监督网民。
原文链接：
https://securityaffairs.co/wordpress/93315/laws-and-regulations/russia-controversial-law-russia.html
2、黑客可利用激光入侵Google智能语音副手
近期，日本电子通讯大学和密歇根大学的钻研人员发现可通过激光入侵谷歌、苹果和亚马逊的智能语音设备。这种被称为“光号令”的攻击可通过向使用微机电系统（MEMS）的麦克风上发射激光束实现，通过调造光束的强度，能够诱骗MEMS产生与音频号令一样的电信号，最远甚至能够从110米表攻击。受影响的设备蕴含谷歌Home、Nest Cam、亚马逊Echo、Fire Cube TV、iPhone、三星Galaxy S9、谷歌Pixel和iPad。钻研人员证明该攻击甚至能够打开车库门或解锁房屋门。
原文链接：
https://www.bleepingcomputer.com/news/security/using-light-beams-to-control-google-apple-amazon-assistants/
3、Libarchive代码执行缝隙影响Linux及BSD刊行版
谷歌安全钻研人员在Libarchive中发现一个代码执行缝隙（CVE-2019-18408），攻击者可诱使用户打开恶意存档文件在其系统上执行代码。Debian、Ubuntu、Gentoo、Arch Linux以及FreeBSD和NetBSD刊行版均受影响，但Windows和macOS不受影响。Libarchive团队在新版本3.4.0中建复了该缝隙，目前尚未在野表发现该缝隙的PoC或利用代码。
原文链接：
https://www.zdnet.com/article/libarchive-vulnerability-can-lead-to-code-execution-on-linux-freebsd-netbsd/
4、趋向科技内部员工窃取超过12万用户信息并销售
趋向科技内部员工窃取公司客户信息并将其销售给第三方诳骗团伙。在客户遭到技术支扯嗫骗后，趋向科技发展调查并发现该员工犯法接见了客户支持数据库�？赡鼙磺缘男畔⒃毯突У男彰⒌缱佑始刂贰⒓际踔С值ズ乓约暗缁昂怕�，但该公司强调没有迹象批注财政或信誉卡信息被窃，并且没有涉及到企业或当局客户。凭据其内部调查，受影响的客户只占趋向科技1200万客户群的不到1%，即12万。
原文链接：
https://www.bleepingcomputer.com/news/security/trendmicro-employee-sold-customer-info-to-tech-support-scammers/
5、2019年秋季垂钓攻击活动增长至三年来最高纪录
凭据APWG的统计数据，2019年秋季网络垂钓攻击增长至三年来的最高纪录。在2019年7月至9月期间检测到的垂钓网站总数为266387，比2019年第二季度的182465增长了46%，险些是2018年第四时度的138328的两倍。除了垂钓网站数量的增长之表，2019年第三季度受垂钓攻击的品牌数量也显著增长，均匀每月有400多个品牌受到攻击，而第二季度为313个。
原文链接：
https://www.helpnetsecurity.com/2019/11/07/phishing-attacks-levels-rise/
京公网安备11010802024551号