《维他命》逐日安全简讯20180823

颁布功夫 2018-08-23

【缝隙补丁】Struts2官网披露最新RCE缝隙S2-057（CVE-2018-11776）


2018年8月22日，Apache Struts颁布最新安全布告，披露可导致远程代码执行的安全缝隙（S2-057/CVE-2018-11776）。受影响的版本蕴含Apache Struts 2.3 - Struts 2.3.34以及Apache Struts 2.5 - Struts 2.5.16，建议用户升级至最新版本Apache Struts 2.3.35或Struts 2.5.17。

 

原文链接：https://cwiki.apache.org/confluence/display/WW/S2-057


【缝隙补丁】Adobe颁布垂危安全更新，建复PS中的两个RCE缝隙


Adobe颁布垂危安全更新，建复Windows和macOS平台上的Adobe Photoshop CC中的两个可导致远程代码执行的高危缝隙。这两个缝隙（CVE-2018-12810和CVE-2018-12811）影响了19.1.5及更早的19.x版本以及18.1.5及更早的18.x版本。建议用户更新至版本19.1.6和18.1.6。

 

原文链接：https://thehackernews.com/2018/08/adobe-photoshop-update.html

【安全缝隙】钻研人员发现Ghostscript存在多个-dSAFER沙箱绕过缝隙


Google Project Zero安全钻研人员Tavis Ormandy披露了Ghostscript中的多个-dSAFER沙箱绕过缝隙。Ghostscript是Adobe PostScript和PDF的诠释说话，宽泛利用在ImageMagick、Evince、GIMP、PDF阅读器等软件中。攻击者可通过恶意的PostScript、PDF、EPS或XPS文件触发缝隙。目前这些缝隙还没有被分配CVE编号，也没有官方建复补丁。

 

原文链接：https://thehackernews.com/2018/08/ghostscript-postscript-vulnerability.html


【政策律例】欧洲电信尺度协会ETSI颁布安全接见节造的加密尺度


欧洲电信尺度协会ETSI颁布两个基于属性加密（ABE）的规范，描述了若何通过细粒度的接见节造来�；び孜沂莸陌踩�。这两个规范是ETSI TS 103 458和ETSI TS 103 532，别离描述了ABE的高规格要求和使用ABE接见节造时的信赖模型、职能以及和谈。这两个规范都遵循2018年5月起执行的GDPR。

 

原文链接：https://www.etsi.org/news-events/news/1328-2018-08-press-etsi-releases-cryptographic-standards-for-secure-access-control


【恶意软件】钻研团队发现新勒索软件Ryuk与Hermes存在关联


Check Point钻研团队发现已经袭击了全球多个组织的新勒索软件Ryuk，攻击者已经获得了超过64万美元的赎金。钻研人员还不能确定Ryuk的传布方式，Ryuk必要治理员权限来执行，但其自身没有获得治理员权限的职能，也没有发现用于实现这一主张的邮件、文档和剧本等。因而Ryuk很有可能是手动入侵的了局。钻研人员发现Ryuk和勒索软件Hermes共享了大量的代码，这意味着其背后的攻击者存在关联。Hermes此刻依然活跃，Hermes 2.1通过大规模垃圾邮件进行分发，而Ryuk重要用于有针对性的攻击。

 

原文链接：https://research.checkpoint.com/ryuk-ransomware-targeted-campaign-break/

 


【数据泄露】保姆服务Sitter因MongoDB配置谬误导致超过9.3万用户的信息泄露


8月14日安全钻研人员Bob Diachenko发现保姆服务Sitter的一个MongoDB可通过互联网公开接见（无需登录痛处），超过9.3万名用户的敏感数据泄露。泄露的数据蕴含账户的密码哈希、每个家庭的孩子数、家庭地址、电话号码、联系人列表、支付卡号以及app内的谈天信息等。数据总量超过2GB。

 

原文链接：https://www.bleepingcomputer.com/news/security/mongodb-server-exposes-babysitting-apps-database/