信息安全周报-2020年第39周
颁布功夫 2020-09-28> 本周安全态势综述
2020年09月21日至09月27日共收录安全缝隙60个 ，值得关注的是Chrome storage越界读代码执行缝隙；；Chrome Extensions战术绕过代码执行缝隙；；Chrome V8代码执行缝隙；；Chrome media数据验证代码执行缝隙；；IBM Data Risk Manager FasterXML jackson-databind代码执行缝隙。。
本周值得关注的网络安全事务是德国Tutanota遭到DDoS攻击导致服务临时中断；；Pradeo颁布《手机银行：：：律例、、、威胁和诓骗预防》白皮书；；NSA颁布针对远程工作者和系统治理员的网络安全指南；；2020年Q2 DDoS攻击的次数比去年同比增长570％；；微软称已检测到利用Zerologon缝隙提议的自动攻击。。
凭据以上综述 ，本周安全威胁为中。。
> 重要安全缝隙列表
1.Chrome storage越界读代码执行缝隙
Chrome storage存在越界读缝隙 ，允许远程攻击者利用缝隙提交特殊的WEB要求 ，诱使用户解析 ，可使利用法式崩溃�；蚰芄焕梅ㄊ礁叩臀闹葱兴烈獯搿�。
https://chromereleases.googleblog.com/2020/09/stable-channel-update-for-desktop_21.html
2. Chrome Extensions战术绕过代码执行缝隙
Chrome Extensions存在战术绕过缝隙 ，允许远程攻击者利用缝隙提交特殊的WEB要求 ，诱使用户解析 ，可使利用法式崩溃�；蚰芄焕梅ㄊ礁叩臀闹葱兴烈獯搿�。
https://chromereleases.googleblog.com/2020/09/stable-channel-update-for-desktop_21.html
3.Chrome V8代码执行缝隙
Chrome V8引擎存在越界写缝隙 ，允许远程攻击者利用缝隙提交特殊的WEB要求 ，诱使用户解析 ，可使利用法式崩溃�；蚰芄焕梅ㄊ礁叩臀闹葱兴烈獯搿�。
https://chromereleases.googleblog.com/2020/09/stable-channel-update-for-desktop_21.html
4. Chrome media数据验证代码执行缝隙
Chrome media存在数据验证缝隙 ，允许远程攻击者利用缝隙提交特殊的WEB要求 ，诱使用户解析 ，可使利用法式崩溃�；蚰芄焕梅ㄊ礁叩臀闹葱兴烈獯搿�。
https://chromereleases.googleblog.com/2020/09/stable-channel-update-for-desktop_21.html
5.IBM Data Risk Manager FasterXML jackson-databind代码执行缝隙
IBM Data Risk Manager FasterXML jackson-databind存在反序列化缝隙 ，允许远程攻击者利用缝隙提交特殊的要求 ，能够利用法式高低文执行肆意代码。。
https://www.ibm.com/support/pages/node/6335281
> 重要安全事务综述
1、、、德国Tutanota遭到DDoS攻击导致服务临时中断
德国端到端加密电子邮件服务提供商Tutanota遭到DDoS攻击 ，导致服务临时中断数小时。。初次直接针对Tutanota的DDoS攻击产生在9月14日之前的那个周末 ，导致数百名用户无法接见服务 ，但该问题很快得到相识决。。之后在Tutanota的服务器关闭后 ，黑客攻击了托管Tutanota纪录的DNS提供法式 ，这使数百万用户无法接见其Tutanota帐户。。目前 ，该公司正在尝试更新其DNS纪录 ，并将它们托管在另一个提供商处。。
原文链接：：：
https://www.bleepingcomputer.com/news/security/tutanota-encrypted-email-service-suffers-ddos-cyberattacks/
2、、、Pradeo颁布《手机银行：：：律例、、、威胁和诓骗预防》白皮书
Pradeo颁布了《手机银行：：：律例、、、威胁和诓骗预防》白皮书 ，介绍了有关移动银行的使用、、、司法框架、、、风险以及保�；ひ贫欣梅ㄊ桨踩慕饩龉婊ù涌⒌街葱校┑木咛逍畔ⅰ�。其中写道 ，移动银行服务迅速受到消费者的喜欢 ，到2019年底 ，74%的英国人和75%的美国人使用移动设备来治理其财政。。但是钻研批注 ，手机银行利用往往没有预期的那么安全 ，据RSA的诓骗微风险谍报团队最近网络的数据分析显示 ，与手机利用有关的诓骗行为在2020年第一季度翻了一番。。
原文链接：：：
https://www.helpnetsecurity.com/2020/09/21/whitepaper-mobile-banking-regulations-threats-and-fraud-prevention
3、、、NSA颁布针对远程工作者和系统治理员的网络安全指南
美国国度安全局(NSA)颁布了两份网络安全信息表(CSIs) ，为国度安整系统(NSS)和国防部(DoD)工作人员和系统治理员提供了关于在家工作期间保�；ね绨踩陀Χ允挛竦慕ㄒ椤�。第一份名为受损小我网络指标缓和解措施 ，旨在提供有关远程工作者若何鉴别和减轻其小我网络危�：：Φ木咛逍畔ⅰ�。第二份名为执行带外网络治理 ，其向系统治理员提供了若何隔离治理流量和运营流量的信息。。
原文链接：：：
https://www.securityweek.com/nsa-issues-cybersecurity-guidance-remote-workers-system-admins
4、、、2020年Q2 DDoS攻击的次数比去年同比增长570％
凭据Nexusguard汇报 ，DDoS攻击的次数与去年同期相比增长了570％。。攻击者选取了更精密的攻击方式 ，以发起各类放大和基于UDP的攻击 ，用流量覆没指标网络 ，这使CSP很难通过传统的基于阈值的步骤进行检测缓和解。。Nexusguard还发现了一种新的趋向 ，即攻击者选取混合攻击媒介来提议更宽泛的基于UDP的攻击 ，主张是提高CSP检测和分辨恶意流量与合法流量的难度。。
原文链接：：：
https://www.helpnetsecurity.com/2020/09/23/bit-and-piece-ddos-attacks-increased-570-in-q2-2020/
5、、、微软称已检测到利用Zerologon缝隙提议的自动攻击
微软安全谍报团队暗示 ，其已检测到利用Zerologon缝隙（CVE-2020-1472 ）提议的自动攻击。。自荷兰安全公司Secura BV在9月14日披露了有关Zerologon缝隙的具体信息后 ，已有多个兵器化的PoC开发代码在网上公开。。微软并没有颁布有关这次攻击的细节 ，但是颁布了用于攻击的文件散列。。因而安全专家就建议 ，那些域名节制器露出的公司应尽快让系统离线 ，以便对其进行补丁。。
原文链接：：：
https://www.zdnet.com/article/microsoft-says-it-detected-active-attacks-leveraging-zerologon-vulnerability/
京公网安备11010802024551号