信息安全周报-2018年第45周
颁布功夫 2018-11-12一、、、本周安全态势综述
本周值得关注的网络安全事务是钻研人员披露VirtualBox中的虚构机逃逸0day；；；思科今年内第七次删除产品中的后门账户；；；柬埔寨多家ISP遭到该国汗青上最大规模的DDoS攻击；；；美芝加哥CPS约8万员工的小我信息被窃；；；霍尼韦尔颁布关于工业设施中的USB威胁的分析汇报 。
凭据以上综述， ，本周安全威胁为中 。
二、、、重要安全缝隙列表
1. Cisco Unity Express JAVA反序列化处置肆意号令执行缝隙
Cisco Unity Express对用户提供的内容进行反序列化操作是没有进行足够的过滤， ，允许远程攻击者能够利用缝隙提交特殊的java序列化对象要求， ，能够ROOT权限执行肆意号令 。
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20181107-cue2. AVEVA InduSoft Web Studio/InTouch Edge HMI远程代码执行缝隙
https://sw.aveva.com/hubfs/assets-2018/pdf/security-bulletin/SecurityBulletin_LFSec130.pdf
3. HPE Integrated Lights-Out 5固件更新安全限度绕过缝隙
https://support.hpe.com/hpsc/doc/public/display?docId=hpesbhf03894en_us
4. QEMU 'NBD_OPT_LIST'缓冲区溢出缝隙
https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2017-2630
5. Brocade Fabric OS ROOT权限提取缝隙
https://www.broadcom.com/support/fibre-channel-networking/security-advisories/brocade-security-advisory-2018-731
三、、、重要安全事务综述
俄罗斯缝隙钻研人员Sergey Zelenyuk披露VirtualBox中的一个虚构机逃逸0day， ，该缝隙影响了VirtualBox 5.2.20及之前的版本 。该缝隙合用于网卡为Intel PRO/1000 MT Desktop (82540EM) 并处于NAT模式的虚构机， ，攻击者可利用该缝隙逃逸至主机ring3权限， ，并利用其它技术提权至ring0 。钻研人员在Github上具体描述了该缝隙背后的机制， ，并颁布了有关PoC视频 。
原文链接：
https://www.bleepingcomputer.com/news/security/virtualbox-zero-day-vulnerability-details-and-exploit-are-publicly-available/
2、、、思科今年内第七次删除产品中的后门账户
思科颁布了多款产品的15个安全更新， ，其中蕴含删除了小型企业互换机中的一个后门账户 。这是今年来思科第七次删除产品中的后门账户 。这些后门账户缝隙蕴含3月份的CVE-2018-0141和CVE-2018-0150、、、5月份的CVE-2018-0222、、、6月份的CVE-2018-0329、、、7月份的CVE-2018-0375、、、9月份的CVE-2018-15427以及本月（11月份）的CVE-2018-15439 。
原文链接：
https://www.zdnet.com/article/cisco-removed-its-seventh-backdoor-account-this-year-and-thats-a-good-thing/
3、、、柬埔寨多家ISP遭到该国汗青上最大规模的DDoS攻击
本周柬埔寨最大的几家互联网服务提供商（ISP）遭到了大规模的DDoS攻击， ，蕴含EZECOM、、、SINET、、、Telcotech和Digi 。据本地媒体报道， ，这次DDoS攻击是该国汗青上最大规模的攻击之一， ，本周一的DDoS攻击流量达近150Gbps 。关于这次攻击的原因和动机尚不明显， ，也没有攻击者宣称对此掌管 。一种可能的情况是ISP竞争敌手之间的相互攻击 。
原文链接：
https://www.zdnet.com/article/cambodias-isps-hit-by-some-of-the-biggest-ddos-attacks-in-the-countrys-history/
4、、、美芝加哥CPS约8万员工的小我信息被窃
凭据芝加哥太阳报的报道， ，芝加哥公立学堂的一名前雇员Kristi Sims窃取了约8万名员工、、、自愿者和供给商的小我信息， ，这些信息蕴含姓名、、、员工ID、、、电话号码、、、地址、、、诞生日期、、、犯罪汗青和DCFS调查了局等， ，不蕴含任何社保号码 。Krims目前已被芝加哥警方扣留和扣留， ，并将面对多项罪名的指控 。
原文链接：
https://news.softpedia.com/news/80-000-individuals-had-their-personal-info-stolen-by-former-cps-employee-523592.shtml
5、、、霍尼韦尔颁布关于工业设施中的USB威胁的分析汇报
凭据霍尼韦尔颁布的一份新汇报， ，USB设备是针对工业设施的恶意软件攻击的重要媒介 。该汇报是基于霍尼韦尔的安全媒体互换（SMX）技术网络的数据， ，涵盖了能源、、、石油和天然气、、、化学、、、纸张制作等行业 。数据批注， ，26%的威胁可能导致工业企业失去ICS环境的可见性或节制权， ，从而造成重大中断 。16%的威胁专门针对ICS和IoT系统， ，其中蕴含恶意软件Mirai（6％）、、、Stuxnet（2％）、、、Triton（2％）和WannaCry（1％） 。
原文链接：
https://honeywellprocess.blob.core.windows.net/public/Support/Customer/Honeywell-USB-Threat-Report.pdf
申明：本资讯由OG东方厅维他命安全小组翻译和整顿
京公网安备11010802024551号