信息安全周报-2019年第16周

颁布功夫 2019-04-22

本周安全态势综述



2019年4月15日至21日本周

共收录安全缝隙46个 ，值得关注的是Atlassian Confluence Server和Atlassian Data Center目录遍历缝隙 ；Sangfor Sundray WLAN Controller权限提升缝隙; GitLab CVE-2019-9485用户权限提升缝隙 ；Delta Electronics Delta Industrial Automation CNCSoft CVE-2019-10949缓冲区溢露马脚 ；Cloud Foundry Cloud Controller API验证缝隙。


本周值得关注的网络安全事务是微软遭黑客攻击 ，部门用户的OutLook帐户信息泄露 ；Gnosticplayers销售第五批用户数据 ，蕴含6500多万个账号 ；超大规模恶意告白活动 ，劫持5亿iOS用户会话 ；JustDial API泄露超过1亿印杜酌户的幼我信息 ；Facebook新数据丑闻 ，未经用户许可上传150万用户邮件联系人。
凭据以上综述 ，本周安全威胁为中。



沉要安全缝隙列表



1. Atlassian Confluence Server和Atlassian Data Center目录遍历漏
Atlassian Confluence Server和Atlassian Data Center downloadallattachments资源存在蹊径遍历缝隙 ，允许远程攻击者利用缝隙提交特殊的要求 ，能够利用法式高低文查看系统文件内容。
https://jira.atlassian.com/browse/CONFSERVER-58102

2. Sangfor Sundray WLAN Controller权限提升缝隙
Sundray WLAN Controller nginx_webconsole.php存在安全缝隙 ，允许远程攻击者利用缝隙提交特殊的要求 ，可读取admin密码 ，获取权限。
https://nvd.nist.gov/vuln/detail/CVE-2019-9161

3. GitLab CVE-2019-9485用户权限提升缝隙
GitLab impersonate user职能存在安全缝隙 ，允许远程攻击者利用缝隙提交特殊的要求 ，提升用户权限。
https://about.gitlab.com/2019/03/04/security-release-gitlab-11-dot-8-dot-1-released/

4. Delta Electronics Delta Industrial Automation CNCSoft CVE-2019-10949缓冲区溢露马脚
Delta Electronics Delta Industrial Automation CNCSoft存在越界写缝隙 ，允许远程攻击者利用缝隙提交特殊的要求 ，可执行肆意代码或进行回绝服务攻击。

https://ics-cert.us-cert.gov/advisories/ICSA-19-106-01


5. Cloud Foundry Cloud Controller API验证缝隙
Cloud Foundry Cloud Controller API验证实现存在安全缝隙 ，允许远程攻击者能够利用缝隙提交特殊的要求 ，可提升权限。
https://www.cloudfoundry.org/blog/cve-2019-3798


 沉要安全事务综述



1、微软遭黑客攻击 ，部门用户的OutLook帐户信息泄露

宝运莱·(中国区)最新官方网站

微软证实1月1日至3月29日期间攻击者入侵了一个客户支持代理账户 ，并利用该账户接见了客户支持门户网站及部门OutLook用户的有关信息。这些信息蕴含电子邮件地址、文件夹名称、邮件主题及联系人电子邮件地址 ，但不蕴含邮件及附件的内容。目前尚不明显攻击的具体细节 ，但微软暗示已经禁用了该代理账户的痛处 ，并通知所有受影响的用户。微软也没有泄漏受影响的用户总数。

原文链接：
https://thehackernews.com/2019/04/microsoft-outlook-email-hack.html

2、Gnosticplayers销售第五批用户数据 ，蕴含6500多万个账号

宝运莱·(中国区)最新官方网站


黑客Gnosticplayers在暗网论坛DreamMarket上销售第五批被盗的用户数据 ，这批数据蕴含超过6500万个用户账户 ，售价为0.8463比特币（4350美元）。这批被盗的用户纪录属于六家新公司 ，蕴含游戏平台Mindjolt（2800万）、在线购物社区Wanelo（2300万）、苹果维建中心iCracked（150万）、游览公司Yanolja（150万）、电子约请服务Evite（1000万）和女子时装店Moda Operandi（150万）。目前为止Gnosticplayers销售的被盗用户纪录总数已达9.32亿条。

原文链接：
https://cyware.com/news/gnosticplayers-hacker-returns-with-fifth-dataset-containing-over-65-million-user-accounts-for-sale-95450e99

3、超大规模恶意告白活动 ，劫持5亿iOS用户会话


宝运莱·(中国区)最新官方网站


安全厂商Confiant发现犯罪团伙eGobbler提议针对iOS用户的超大规模恶意告白活动 ，已劫持5亿iOS用户的会话。该攻击活动从4月6日起头 ，持续了6天的功夫 ，攻击者使用了8个分歧的恶意告白系列和30多个虚伪告白 ，每个虚伪告白系列的性命周期为24-48幼时之间。攻击者重要针对美国和欧盟的iOS用户 ，并在攻击中利用了Chrome浏览器中的缝隙以绕过沙盒检测。攻击者使用了.world域名托管的垂钓网站 ，经过短暂的搁浅之后 ，又转向.site域名的垂钓网站。自4月14日以来 ，这些垂钓网站一向处于活跃状态。

原文链接：
https://www.bleepingcomputer.com/news/security/malvertising-campaign-abused-chrome-to-hijack-500-million-ios-user-sessions/

4、JustDial API泄露超过1亿印杜酌户的幼我信息

宝运莱·(中国区)最新官方网站


安全钻研员Rajshekhar Rajaharia发现印度本地搜索服务公司JustDial的一个API未受� ；� ，可被任何人利用以检索超过100万用户的幼我信息。泄露的数据蕴含用户的姓名、电子邮件地址、手机号码、居住地址、性别、诞生日期、照片、就职公司等。固然该API至少从2015年起就可公开接见 ，但尚不明显是否已有人利用它来网络JustDial用户的幼我信息。

原文链接：
https://thehackernews.com/2019/04/justdial-hacked-data-breach.html

5、Facebook新数据丑闻 ，未经用户许可上传150万用户邮件联系人


宝运莱·(中国区)最新官方网站


在周三颁布的一份申明中 ，Facebook暗示自2016年5月以来该公司“无意间”在未经用户许可的情况下向服务器上传了多达150万用户的电子邮件联系人。这是Facebook近期面对的一系列隐衷有关问题和争议中的最新事务。Facebook暗示已在一个月前终场了可疑的电子邮件验证过程 ，并向用户保障未分享这些联系人信息及已经起头删除这些联系人。

原文链接：
https://thehackernews.com/2019/04/facebook-email-database.html