英国国度网络安全中心（NCSC）颁布缝隙披露指南 ；BlindSide攻击可利用CPU的揣摩执行职能绕过ASLR

颁布功夫 2020-09-16

1.英国国度网络安全中心（NCSC）颁布缝隙披露指南


1.jpg


英国国度网络安全中心（NCSC）颁布了缝隙披露指南，以援手公司执行缝隙披露流程或在已经成立缝隙披露流程的情况下对其进行改进。NCSC暗示，该指南并不是一个缝隙披露的规定手册，而是为更好的执行提供了必要的信息。其重要分为三个重要部门，描述了若何将表部缝隙信息定向给相宜的人，以及汇报需遵循关关缝隙的框架尺度。


原文链接：

https://www.bleepingcomputer.com/news/security/uk-government-releases-toolkit-to-easily-disclose-vulnerabilities/


2.Aqua Security颁布2020年Cloud Native Threat汇报


2.jpg


Aqua Security跟踪并分析了2019年6月至2020年7月之间的16371起攻击，颁布了2020年Cloud Native Threat汇报。汇报显示，今年岁首针对云系统的攻击在激增，相比上一年增长了250％。在这些攻击期间，黑客试图获得对蜜罐服务器的节造权，而后下载并部署恶意容器镜像。Aqua暗示，这些镜像中有95％是针对挖矿加密钱币的，而其余则用于设置DDoS基础设施。


原文链接：

https://www.zdnet.com/article/vast-majority-of-cyber-attacks-on-cloud-servers-aim-to-mine-cryptocurrency/


3.BlindSide攻击可利用CPU的揣摩执行职能绕过ASLR


3.png


苏黎世联国理工学院等大学的钻研人员发现了新的BlindSide攻击方式，其可利用CPU的揣摩执行职能绕过ASLR。揣摩执行是现代处置器的一种提高机能的职能，BlindSide能够利用软件利用法式中的缝隙，并在揣摩执行域中反复利用该缝隙，反复探测内存，直到攻击者绕过ASLR。由于此攻击产生在揣摩执行的领域内，因而所有失败的探测城市被抛弃，并不会影响CPU或其不变性。


原文链接：

https://www.zdnet.com/article/new-blindside-attack-uses-speculative-execution-to-bypass-aslr/


4.FBI忠告针对金融机构的凭证填充攻击的数量激增


4.png


联国调查局（FBI）忠告针对金融机构的凭证填充攻击的数量激增。凭证填充是相对较新的术语，起初黑客只利用这类攻击针对在线游戏和食品订购帐户。但是随着这种战术的成功，更多黑客组织转而针对在线银行服务和加密钱币买卖所，旨在窃取金融资产。FBI暗示，自2017年以来，其收到了近5万起针对美国金融机构的凭证填充攻击导致的帐户信息泄露事务的汇报，受害者蕴含银杏注金融服务提供商、保险公司和投资公司。


原文链接：

https://www.zdnet.com/article/fbi-says-credential-stuffing-attacks-are-behind-some-recent-bank-hacks/


5.Staples公司遭到黑客攻击，客户订单数据泄露


5.png


办公零售公司Staples发出了数据泄露通知书，申明其9月2日左右遭到了黑客攻击，导致客户订单数据泄露。该事务泄露的信息蕴含客户的姓名、地址、电子邮件地址、电话号码、信誉卡号后四位、产品成本、交货和订购的产品。凭据通知，并没有敏感数据被泄露，蕴含帐户痛处和齐全的支付卡数据。


原文链接：

https://securityaffairs.co/wordpress/108271/data-breach/staples-data-breach.html


6.黑客入侵美国退役武士事务部，窃取4.6万武士信息


6.png


退役武士事务部（VA）暗示，有未经授权的用户接见了由VA金融服务中心（FSC）治理的在线利用法式，获取了约莫46000名退役武士的幼我信息。弗吉尼亚州暗示，黑客使用社会工程攻击，并利用身份验证和谈来接见FSC利用法式，而后转移了退役武士治理局正本筹算支付给医疗保健提供商用于美国退役武士的医疗的款子。只管官员们仍在调查这起事务，但VA以为，黑客可能还窃取了退役武士的纪录，蕴含社会安全号码。


原文链接：

https://www.zdnet.com/article/department-of-veteran-affairs-discloses-breach-impacting-46000-veterans/