信息安全周报-2020年第36周
颁布功夫 2020-09-08> 本周安全态势综述
2020年08月31日至09月06日共收录安全缝隙56个，值得关注的是Gigadevice GD32F103代码执行缝隙；Gigadevice GD32F103固件提取缝隙；NETGEAR R8300号令注入缝隙；Education openSIS SQL注入缝隙；Education openSIS EmailCheck.php SQL注入缝隙。
本周值得关注的网络安全事务是工信部传递101款APP加害用户权利，轻松筹等平台上榜；挪威议会邮件系统遭攻击，工党和中心党均受影响；Cisco忠告其IOS XR存在0day并已被在野利用；Cisco Jabber存在远程执行代码缝隙，现已被建复；英特尔颁布微代码安全更新，重要合用于Win10系列。
凭据以上综述，本周安全威胁为中。
> 沉要安全缝隙列表
1.Gigadevice GD32F103代码执行缝隙
Gigadevice GD32F103安全�；ご嬖诎踩煜�，允许物理能接见攻击者能够利用缝隙提交特殊的要求，沉定向节造流执行肆意代码。
https://www.usenix.org/system/files/woot20-paper-obermaier.pdf
2. Gigadevice GD32F103固件提取缝隙
Gigadevice GD32F103闪存读出�；ご嬖诎踩煜�，允许物理能接见攻击者能够利用缝隙提交特殊的要求，可从调试接口获取固件。
https://www.usenix.org/system/files/woot20-paper-obermaier.pdf
3.NETGEAR R8300号令注入缝隙
NETGEAR R8300存在输入验证缝隙，允许远程攻击者能够利用缝隙提交特殊的要求，能够利用法式高低文执行肆意代码。
https://kb.netgear.com/000062158/Security-Advisory-for-Pre-Authentication-Command-Injection-on-R8300-PSV-2020-0211
4. Education openSIS SQL注入缝隙
Open Solutions for Education openSIS存在SQL注入缝隙，允许远程攻击者能够利用缝隙提交特殊的SQL要求，操作数据库，可获取敏感信息或执行肆意代码。
https://talosintelligence.com/vulnerability_reports/TALOS-2020-1081
5. Education openSIS EmailCheck.php SQL注入缝隙
Open Solutions for Education EmailCheck.php存在SQL注入缝隙，允许远程攻击者能够利用缝隙提交特殊的SQL要求，操作数据库，可获取敏感信息或执行肆意代码。。
https://talosintelligence.com/vulnerability_reports/TALOS-2020-1073
> 沉要安全事务综述
1、工信部传递101款APP加害用户权利，轻松筹等平台上榜
工业和信息化部官网颁布关于侵害用户权利行为的APP传递。蛋壳公寓、轻松筹、宝宝树生长、ZAKER新闻、网易公开课、驾考宝典、俏丽说、蚂蚁短租、快剪辑、360算帐大家、得物、搜狐视频、映客直播等101款APP存在侵害用户权利行为。这些利用软件重要涉及问题是违规网络幼我信息，另表还涉及APP强造、频仍、过度索取权限，强造用户使用定向推送职能，超领域网络幼我信息等问题。
原文链接：
http://tech.cnr.cn/techgd/20200831/t20200831_525234083.shtml
2、挪威议会邮件系统遭攻击，工党和中心党均受影响
挪威议会（Storting）颁布申明，暗示有黑客攻击其成员的电子邮件帐户并窃取数据。该事务在调查中，目前尚不明显被盗数据的数量、种类以及攻击的粉碎水平。挪威工党的Jarle RoheimH?konsen证实，工党成员和政客在这次攻击中均受到影响，同时中心党也确认其代表和员工受到了影响。
原文链接：
https://www.bleepingcomputer.com/news/security/hackers-breached-norwegian-parliament-emails-to-steal-data/
3、Cisco忠告其IOS XR存在0day并已被在野利用
思科上周六忠告说，其IOS XR存在一个新的0day，目前已被黑客在野利用。该缝隙被跟踪CVE-2020-3566，影响了操作系统IOS XR版本附带的距离矢量组播路由和谈(DVMRP)职能，该版本的操作系统通常装置在电信级和数据中心路由器上。思科暗示，该缝隙是由于Internet组治理和谈（IGMP）数据包的队列治理不及所致，攻击者能够通过发送特造的IGMP流量来利用此缝隙。成功利用该缝隙可导致内存耗尽，从而导致其他过程（如内部和表部路由和谈）不不变。
原文链接：
https://www.zdnet.com/article/cisco-warns-of-actively-exploited-ios-xr-zero-day/
4、Cisco Jabber存在远程执行代码缝隙，现已被建复
Watchcom的Olav Sortland Thoresen发现Windows版Cisco Jabber中存在严沉的代码执行缝隙，现已被建复。该缝隙被跟踪为CVE-2020-3495， CVSS为9.9分，是由于传入新闻内容的输入验证不正确引起的。经过身份验证的远程攻击者能够使用恶意的可扩大新闻和状态和谈（XMPP）新闻利用该缝隙，成功利用后攻击者可在指标系统上执行肆意法式。思科产品安全事务响应幼组（PSIRT）暗示，该缝隙目前尚未被宽泛利用。
原文链接：
https://www.bleepingcomputer.com/news/security/cisco-fixes-critical-code-execution-bug-in-jabber-for-windows/
5、英特尔颁布微代码安全更新，重要合用于Win10系列
Microsoft颁布了Intel微代码更新，以建复Intel CPU中的硬件缝隙。这次更新颁布了八个可选更新，重要针对Windows 10 2004、1909、1903、1809、1803、1709、1703和1607等版本，建复了Amber Lake、Avoton、Broadwell和Cascade Lake等56款CPU中缝隙。此表，英特尔微码更新并不能通过Windows Update装置，必须手动装置。
原文链接：
https://www.bleepingcomputer.com/news/microsoft/new-intel-microcode-updates-for-windows-10-fix-cpu-hardware-bugs/
京公网安备11010802024551号