Android libpac库RCE缝隙；Intel CPU TPM-FAIL缝隙使数十亿台设备面对风险
颁布功夫 2019-11-18
1、、NowSecure披露Android libpac库中的RCE缝隙
NowSecure钻研人员发现Android系统使用的libpac库中存在RCE缝隙（CVE-2019-2205）。libpac是一个基于Chromium项目代码的库，，该库使用静态链接的V8 JS引擎来解析JavaScript，，这为平台利用法式带来了巨大的攻击面。钻研人员发现JS函数FindProxyForUrl高低文中的ArrayBuffers分配器申明不正确，，可致栈上的VPTR被覆盖，，这可能被用于执行肆意代码。谷歌在11月Android安全更新中修复了该缝隙。
2、、Intel CPU TPM-FAIL缝隙使数十亿台设备面对风险
钻研人员在基于英特尔固件的TPM（fTPM）和STMicroelectronics的TPM芯片中发现了两个被称为TPM-FAIL的新缝隙，，这两个缝隙（CVE-2019-11090和CVE-2019-16863）使黑客能够躲避安全樊篱，，并窃取TPM中存储的敏感数据，，蕴含署名密钥等。提取到密钥后，，攻击者就能利用它伪造数字署名、、篡改操作系统或绕过身份验证。大无数便携式推算机、、台式机和服务器都容易受到TPM-FAIL攻击，，蕴含戴尔、、惠普和遐想等品牌制作商。这两个缝隙都已在新的固件或TPM芯片中修复。
3、、Wizards of Coast泄露45万游戏玩家数据
《Magic：：：The Gathering》游戏的开发商Wizards of Coast已经确认数十万游戏玩家的数据遭泄露。英国安全厂商Fidus Information Security发现了露出的数据库文件，，这些文件被保留在没有密码的Amazon存储桶中。数据库中一共蕴含452634名玩家的数据，，涉及姓名和用户名、、电子邮件地址、、账户的创建功夫以及经过哈�：：：图友未χ玫拿苈�。凭据钻研人员对数据的审查，，这些账户的日期最早可追忆至2012年，，最新则为2018年中期。
4、、Sunshine Behavioral泄露9.3万份患者档案
Sunshine Behavioral Health是美国一家医治毒品和酒精成瘾患者的医疗公司，，散布在加利福尼亚州、、德克萨斯州和科罗拉多州。由于AWS s3存储桶配置谬误，，该公司的约莫9.3万个患者档案遭泄露。档案中蕴含的信息蕴含姓名、、诞生日期、、邮政地址和电子邮件地址、、电话号码、、齐全的信誉卡号码和CVV码及部门有效日期（月/日）、、医疗保险账号、、已支付金额等。该公司对数据库进行了�；�，，但没有在网站上颁布泄露通知，，也未暗示是否已通知患者/监管机构。
原文链接：：：
https://www.databreaches.net/exclusive-more-than-90000-patient-billing-files-from-an-alcohol-and-drug-addiction-treatment-network-exposed-online/
5、、澳大利亚国会在2019岁首遭到黑客入侵
凭据澳大利亚广播公司（ABC）的报道，，澳大利亚国会的推算机网络在今年早些时辰被黑客入侵，，并从几位当选官员的推算机中窃取了数据。该攻击产生在2019年1月31日，，其时澳大利亚安全机构发现了入侵并对其进行一周的监督，，而后关闭网络并试图追捕攻击者。澳大利亚当局未提供有关该黑客攻击的更多具体信息。
原文链接：：：
https://securityaffairs.co/wordpress/93898/cyber-warfare-2/australian-parliament-hacked.html
6、、微软颁布Intel CPU驱动法式缝隙的修复指南
微软颁布了援手用户修复Intel CPU回绝服务缝隙（CVE-2018-12207）和TSX异步遏制缝隙（CVE-2019-11135）的指南。该DoS缝隙影响了第8代及以下的Intel酷睿处置器，，微软在11月安全更新中修复了该缝隙，，但在默认情况下该�；ぶ澳鼙唤�，，用户必须设置特定的注册表项启用该职能。而TSX职能中的揣摩执行缝隙则影响了Intel第10代之前的处置器，，微软领导用户在易受攻击的Intel处置器上禁用Intel TSX职能，，以阻止潜在的Zombieload 2攻击。
NowSecure钻研人员发现Android系统使用的libpac库中存在RCE缝隙（CVE-2019-2205）。libpac是一个基于Chromium项目代码的库，，该库使用静态链接的V8 JS引擎来解析JavaScript，，这为平台利用法式带来了巨大的攻击面。钻研人员发现JS函数FindProxyForUrl高低文中的ArrayBuffers分配器申明不正确，，可致栈上的VPTR被覆盖，，这可能被用于执行肆意代码。谷歌在11月Android安全更新中修复了该缝隙。
原文链接：：：
https://www.nowsecure.com/blog/2019/11/13/nowsecure-discovers-critical-android-vuln-that-may-lead-to-remote-code-execution/2、、Intel CPU TPM-FAIL缝隙使数十亿台设备面对风险
钻研人员在基于英特尔固件的TPM（fTPM）和STMicroelectronics的TPM芯片中发现了两个被称为TPM-FAIL的新缝隙，，这两个缝隙（CVE-2019-11090和CVE-2019-16863）使黑客能够躲避安全樊篱，，并窃取TPM中存储的敏感数据，，蕴含署名密钥等。提取到密钥后，，攻击者就能利用它伪造数字署名、、篡改操作系统或绕过身份验证。大无数便携式推算机、、台式机和服务器都容易受到TPM-FAIL攻击，，蕴含戴尔、、惠普和遐想等品牌制作商。这两个缝隙都已在新的固件或TPM芯片中修复。
原文链接：：：
https://www.bleepingcomputer.com/news/security/tpm-fail-security-flaws-impact-modern-devices-with-intel-cpus/3、、Wizards of Coast泄露45万游戏玩家数据
《Magic：：：The Gathering》游戏的开发商Wizards of Coast已经确认数十万游戏玩家的数据遭泄露。英国安全厂商Fidus Information Security发现了露出的数据库文件，，这些文件被保留在没有密码的Amazon存储桶中。数据库中一共蕴含452634名玩家的数据，，涉及姓名和用户名、、电子邮件地址、、账户的创建功夫以及经过哈�：：：图友未χ玫拿苈�。凭据钻研人员对数据的审查，，这些账户的日期最早可追忆至2012年，，最新则为2018年中期。
原文链接：：：
https://techcrunch.com/2019/11/16/magic-the-gathering-wizards-data-exposure/4、、Sunshine Behavioral泄露9.3万份患者档案
Sunshine Behavioral Health是美国一家医治毒品和酒精成瘾患者的医疗公司，，散布在加利福尼亚州、、德克萨斯州和科罗拉多州。由于AWS s3存储桶配置谬误，，该公司的约莫9.3万个患者档案遭泄露。档案中蕴含的信息蕴含姓名、、诞生日期、、邮政地址和电子邮件地址、、电话号码、、齐全的信誉卡号码和CVV码及部门有效日期（月/日）、、医疗保险账号、、已支付金额等。该公司对数据库进行了�；�，，但没有在网站上颁布泄露通知，，也未暗示是否已通知患者/监管机构。
原文链接：：：
https://www.databreaches.net/exclusive-more-than-90000-patient-billing-files-from-an-alcohol-and-drug-addiction-treatment-network-exposed-online/
5、、澳大利亚国会在2019岁首遭到黑客入侵
凭据澳大利亚广播公司（ABC）的报道，，澳大利亚国会的推算机网络在今年早些时辰被黑客入侵，，并从几位当选官员的推算机中窃取了数据。该攻击产生在2019年1月31日，，其时澳大利亚安全机构发现了入侵并对其进行一周的监督，，而后关闭网络并试图追捕攻击者。澳大利亚当局未提供有关该黑客攻击的更多具体信息。
原文链接：：：
https://securityaffairs.co/wordpress/93898/cyber-warfare-2/australian-parliament-hacked.html
6、、微软颁布Intel CPU驱动法式缝隙的修复指南
微软颁布了援手用户修复Intel CPU回绝服务缝隙（CVE-2018-12207）和TSX异步遏制缝隙（CVE-2019-11135）的指南。该DoS缝隙影响了第8代及以下的Intel酷睿处置器，，微软在11月安全更新中修复了该缝隙，，但在默认情况下该�；ぶ澳鼙唤�，，用户必须设置特定的注册表项启用该职能。而TSX职能中的揣摩执行缝隙则影响了Intel第10代之前的处置器，，微软领导用户在易受攻击的Intel处置器上禁用Intel TSX职能，，以阻止潜在的Zombieload 2攻击。
原文链接：：：
https://www.bleepingcomputer.com/news/security/microsoft-issues-guidance-for-intel-cpu-driver-security-flaws/
京公网安备11010802024551号