信息宁静周报-2019年第45周
宣布时间 2019-11-18>本周宁静态势综述
2019年11月11日至17日共收录宁静漏洞48个 ，值得关注的是Microsoft Windows OpenType字体解析CVE-2019-1456远程执行代码漏洞; eQ-3 Homematic CCU3 testtcl.cgi代码执行漏洞；SAP Diagnostics Agent任意OS命令注入漏洞；Istio拒绝服务漏洞；Adobe Illustrator CVE-2019-8248内存破坏任意代码执行漏洞 。
本周值得关注的网络宁静事件是托管服务商SmarterASP.NET遭勒索软件攻击；俄罗斯新法案强制手机和PC预安装本国软件；5G新漏洞可跟踪电话位置及广播虚假警报；McAfee杀毒软件代码执行漏洞(CVE-2019-3648)；高通芯片组QSEE漏洞可致Android设备数据泄露 。
>重要宁静漏洞列表
Microsoft Windows OpenType字体解析处置Opentype字体存在宁静漏洞 ，允许远程攻击者可以利用漏洞提交特殊的文件请求 ，可使应用法式崩�；蛑葱腥我獯� 。
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1456
2. eQ-3 Homematic CCU3 testtcl.cgi代码执行漏洞
eQ-3 Homematic CCU3 save.cgi脚本可用来上传脚本并被testtcl.cgi脚本执行 ，允许远程攻击者可以利用漏洞提交特殊的请求 ，可执行任意代码 。
https://psytester.github.io/CVE-2019-18938/
3. SAP Diagnostics Agent任意OS命令注入漏洞
SAP Diagnostic Agent存在未明宁静漏洞 ，允许远程攻击者利用漏洞提交特殊的请求 ，可执行任意OS命令 。
https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=528880390
4. Istio拒绝服务漏洞
Istio存在宁静漏洞 ，允许远程攻击者利用漏洞提交特殊的请求 ，可使应用法式瓦解 。
https://github.com/istio/istio/issues/18229
5. Adobe Illustrator CVE-2019-8248内存破坏任意代码执行漏洞
Adobe Illustrator处置文件存在内存破坏漏洞 ，允许远程攻击者利用漏洞提交特殊的文件请求 ，可执行任意代码或者进行拒绝服务攻击 。
https://helpx.adobe.com/security/products/illustrator/apsb19-36.html
>重要宁静事件综述
SmarterASP.NET是一家拥有凌驾44万个客户的ASP.NET托管服务商 ，该公司在周末遭到勒索软件攻击 。当前SmarterASP.NET体现正在努力恢复客户的服务器 ，但不清楚该公司是支付了赎金还是在从备份中恢复 。此次攻击中不仅客户数据受到影响 ，而且SmarterASP.NET自己亦受影响 。该公司的网站在星期六全天都下线 ，直到星期天早上才重新上线 。服务器恢复事情进展缓慢 ，许多客户仍然无法访问其账户和数据 ，包罗网站文件和后端数据库 。凭据在Twitter上宣布的截图 ，被加密的客户文件后附加了“.kjhbx”扩展名 ，目前研究人员仍在试图确认勒索软件的种类 。
原文链接：
https://www.zdnet.com/article/major-asp-net-hosting-provider-infected-by-ransomware/
2、俄罗斯新法案强制手机和PC预安装本国软件
俄罗斯议会正在推动一项立法 ，该法案将强制要求所有在俄罗斯销售的电子设备（包罗智能手机、PC和智能电视等）预安装本国科技公司的应用 。这可能会带来宁静隐患 。立法者体现该法案是为了�；さ钡氐募际跏谐∶馐芡夤ǹ赡苁侵该拦┑木赫� 。政府将针对每种设备类型宣布一份软件列表 ，设备供应商需要在俄罗斯销售的设备上预安装这些软件 。如果供应商不遵守规定 ，将被处以最高20万卢布（约合3100美元）的�？� 。该法案得到了所有主要政党的支持 ，这意味着它很有可能将在2020年7月1日生效 。
原文链接：
https://www.zdnet.com/article/phones-and-pcs-sold-in-russia-will-have-to-come-pre-installed-with-russian-apps/
3、5G新漏洞可跟踪电话位置及广播虚假警报
普渡大学（Purdue University）和爱荷华大学（University of Iowa）的宁静研究人员发现将近12个5G宁静漏洞 ，研究人员体现这些漏洞可允许攻击者获取目标用户电话的新/旧临时网络标识符 ，从而跟踪电话的位置 ，甚至劫持寻呼信道进行虚假的紧急警报广播 。在某些情况下 ，这些漏洞可能被用来将蜂窝连接降级为不太宁静的尺度 。一些新的攻击也可能在现有的4G网络上被利用 。鉴于漏洞的性质 ，研究人员体现他们不计划果然其PoC代码 ，但他们将这些发现通知了全球蜂窝网络GSM协会（GSMA） 。GSMA没有透露是否可以修复漏洞 ，也没有透露修复时间 。
原文链接：
https://finance.yahoo.com/news/5g-flaws-track-phone-locations-163014364.html4、McAfee杀毒软件代码执行漏洞(CVE-2019-3648)
原文链接：
https://www.zdnet.com/article/mcafee-antivirus-software-impacted-by-code-execution-vulnerability/5、高通芯片组QSEE漏洞可致Android设备数据泄露
凭据宁静厂商CheckPoint的一份陈诉 ，高通芯片组中的宁静执行环境（QSEE）中存在漏洞（CVE-2019-10574） ，可导致Android设备中的个人数据泄露 。QSEE是基于ARM TrustZone技术的受信任执行环境（TEE）的实现 ，是主处置器上的一个硬件隔离的宁静区域 ，其中通常包罗专用加密密钥、密码、信用卡和借记卡凭据等敏感信息 。Check Point研究人员逆向了该系统 ，并利用模糊测试对三星、LG和摩托罗拉设备进行了测试 。总体而言 ，研究人员发现三星的受信任代码包罗四个漏洞 ，摩托罗拉和LG分别包罗一个漏洞 ，但所有代码均来自高通公司 。三星、高通和LG已针对这些QSEE漏洞宣布了补丁更新 。
原文链接：
https://thehackernews.com/2019/11/qualcomm-android-hacking.html
京公网安备11010802024551号