信息安全周报-2019年第32周

颁布功夫 2019-08-19

> 本周安全态势综述



2019年8月12日至18日共收录安全缝隙55个， ，值得关注的是Microsoft Windows Remote Desktop Services CVE-2019-1181内存粉碎代码执行缝隙；Microsoft Bluetooth Driver BR/EDR密钥协商缝隙；Adobe Photoshop CC多个堆溢出缝隙；SAS Web Infrastructure Platform反序列化远程代码执行缝隙；Apache httpd mod_http2内存谬误利用回绝服务缝隙 。


本周值得关注的网络安全事务是微软多个供给商的40多个驱动法式存在提权缝隙；Sweet Chat不测泄露近1000万用户的照片及谈天内容；微软修复RDP服务中的新蠕虫级缝隙；HTTP/2曝出8个新缝隙， ，可用于提议DoS攻击；卡巴斯基杀软中的缝隙可允许跨站点跟踪用户 。


凭据以上综述， ，本周安全威胁为中 。

> 重要安全缝隙列表



1. Microsoft Windows Remote Desktop Services CVE-2019-1181内存粉碎代码执行缝隙


Microsoft Windows Remote Desktop Services存在内存粉碎缝隙， ，允许远程攻击者利用缝隙提交特殊的要求， ，能够利用法式高低文执行肆意代码 。
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-1181

2. Microsoft Bluetooth Driver BR/EDR密钥协商缝隙


Microsoft Bluetooth Driver BR/EDR密钥协商存在安全缝隙， ，允许远程攻击者能够利用缝隙提交特殊的要求， ，将最大16字节长度的密钥协商降到1字节熵， ，可获取敏感信息 。
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-9506

3. Adobe Photoshop CC多个堆溢出缝隙


Adobe Photoshop CC处置文件存在堆溢出缝隙， ，允许远程攻击者利用缝隙提交特殊的文件要求， ，诱使用户解析， ，能够利用法式高低文执行肆意代码 。
https://helpx.adobe.com/security/products/photoshop/apsb19-44.html

4. SAS Web Infrastructure Platform反序列化远程代码执行缝隙


SAS Web Infrastructure Platform存在反序列化缝隙， ，允许远程攻击者能够利用缝隙提交特殊的要求， ，能够利用法式高低文执行肆意代码 。
http://support.sas.com/kb/63/391.html

5. Apache httpd mod_http2内存谬误利用回绝服务缝隙


Apache httpd mod_http2 HTTP/2会话处置存在内存谬误引用缝隙， ，允许远程攻击者利用缝隙提交特殊的要求， ，可进行回绝服务攻击 。
http://httpd.apache.org/security/vulnerabilities_24.html


> 重要安全事务综述



1、、微软多个供给商的40多个驱动法式存在提权缝隙


OG东方厅·(中国大陆)


Eclypsium钻研人员披露超过20家微软供给商提供的40多个Windows驱动法式存在提权缝隙， ，可能会被黑客利用 。受影响的厂商蕴含驰名BIOS厂商及各大硬件供给商， ，例如华硕、、东芝、、Intel、、技嘉、、Nvidia、、华为等 。由于这些驱动都经过了微软认证， ，因而恶意法式能够利用它们从用户空间（Ring3）提权至内核权限（Ring0） 。Eclypsium暗示这些驱动影响了所有版本的Windows， ，这意味着至少数百万用户面对风险 。Intel和华为等已经颁布了有关修复补丁 。

原文链接：：：https://www.bleepingcomputer.com/news/security/over-40-windows-hardware-drivers-vulnerable-to-privilege-escalation/

2、、Sweet Chat不测泄露近1000万用户的照片及谈天内容


OG东方厅·(中国大陆)


安全钻研员Darryl Burke发现谈天利用Sweet Chat的一个不安全的服务器露出了超过1000万用户的敏感信息， ，这些信息蕴含实时谈天内容以及个人照片等 。Burke暗示任何占有MQTT攻击工具的人都能够在线查看这些信息 。钻研人员于7月21日通知了该公司， ，但该公司直至8月12日才对该服务器进行了一时修复 。

原文链接：：：https://blog.burke-consulting.net/sweet-chat/

3、、微软修复RDP服务中的新蠕虫级缝隙


OG东方厅·(中国大陆)


微软在8月份的Windows安全更新中修复了94个缝隙， ，其中蕴含4个新的RDP远程代码执行缝隙（CVE-2019-1181、、CVE-2019-1182、、CVE-2019-1222、、CVE-2019-1226） 。其中CVE-2019-1181和CVE-2019-1182与5月份曝出的BlueKeep缝隙（CVE-2019-0708）类似， ，可实现蠕虫化攻击， ，受影响的系统版本蕴含win 7 SP1、、win 8.1、、win 10以及windows server 2008 R2 SP1、、2012、、2012 R2、、2016及2019等 。XP、、windows server 2003及2008不受影响 。目前尚未发现这些缝隙在野外被利用， ，但微软强烈建议用户尽快更新修复补丁 。

原文链接：：：https://www.bleepingcomputer.com/news/security/microsoft-fixes-critical-windows-10-wormable-remote-desktop-flaws/

4、、HTTP/2曝出8个新缝隙， ，可用于提议DoS攻击


OG东方厅·(中国大陆)


钻研人员披露HTTP/2和谈实现中的8个新缝隙， ，攻击者可利用这些缝隙向未修补的服务器提议回绝服务攻击 。这些缝隙（CVE-2019-9511~CVE-2019-9518）是由Netflix钻研员Jonathan Looney以及Google钻研员Piotr Sikora发现的， ，可用于触发服务器的资源耗尽， ，但不能用于入侵服务器 。凭据CERT颁布的布告， ，受影响的厂商蕴含NGINX、、Apache、、H2O、、Nghttp2、、Microsoft(IIS)、、Cloudflare、、Akamai、、Apple(SwiftNIO)、、Amazon、、Facebook(Proxygen)、、Node.js以及Envoy proxy， ，大无数厂商都已经颁布了修复补丁 。

原文链接：：：https://thehackernews.com/2019/08/http2-dos-vulnerability.html

5、、卡巴斯基杀软中的缝隙可允许跨站点跟踪用户

OG东方厅·(中国大陆)


安全钻研员Ronald Eikenberg发现卡巴斯基的杀毒软件存在一个缝隙（CVE-2019-8286）， ，可允许恶意站点或第三方服务跨站点跟踪用户 。该缝隙存在于一个名为Kaspersky URL Advisor的网址扫描�？橹�， ，该�？樵谟没т赖耐持凶⑷險UID来象征用户， ，但恶意网站可获取该UUID并跟踪用户 。在接到汇报后， ，卡巴斯基将该UUID更改为一个常量 。

原文链接：：：https://thehackernews.com/2019/08/kaspersky-antivirus-online-tracking.html