Android libpac库RCE缝隙；Intel CPU TPM-FAIL缝隙使数十亿台设备面对风险
颁布功夫 2019-11-18
1、NowSecure披露Android libpac库中的RCE缝隙
NowSecure钻研人员发现Android系统使用的libpac库中存在RCE缝隙（CVE-2019-2205） 。libpac是一个基于Chromium项目代码的库，该库使用静态链接的V8 JS引擎来解析JavaScript，这为平台利用法式带来了巨大的攻击面 。钻研人员发现JS函数FindProxyForUrl高低文中的ArrayBuffers分配器申明不正确，可致栈上的VPTR被覆盖，这可能被用于执行肆意代码 。谷歌在11月Android安全更新中建复了该缝隙 。
2、Intel CPU TPM-FAIL缝隙使数十亿台设备面对风险
钻研人员在基于英特尔固件的TPM（fTPM）和STMicroelectronics的TPM芯片中发现了两个被称为TPM-FAIL的新缝隙，这两个缝隙（CVE-2019-11090和CVE-2019-16863）使黑客能够躲避安全樊篱，并窃取TPM中存储的敏感数据，蕴含署名密钥等 。提取到密钥后，攻击者就能利用它伪造数字署名、篡改操作系统或绕过身份验证 。大无数便携式推算机、台式机和服务器都容易受到TPM-FAIL攻击，蕴含戴尔、惠普和遐想等品牌造作商 。这两个缝隙都已在新的固件或TPM芯片中建复 。
3、Wizards of Coast泄露45万游戏玩家数据
《Magic：The Gathering》游戏的开发商Wizards of Coast已经确认数十万游戏玩家的数据遭泄露 。英国安全厂商Fidus Information Security发现了露出的数据库文件，这些文件被保留在没有密码的Amazon存储桶中 。数据库中一共蕴含452634名玩家的数据，涉及姓名和用户名、电子邮件地址、账户的创建功夫以及经过哈希和加盐处置的密码 。凭据钻研人员对数据的审查，这些账户的日期最早可追忆至2012年，最新则为2018年中期 。
4、Sunshine Behavioral泄露9.3万份患者档案
Sunshine Behavioral Health是美国一家医治毒品和酒精成瘾患者的医疗公司，散布在加利福尼亚州、德克萨斯州和科罗拉多州 。由于AWS s3存储桶配置谬误，该公司的约莫9.3万个患者档案遭泄露 。档案中蕴含的信息蕴含姓名、诞生日期、邮政地址和电子邮件地址、电话号码、齐全的信誉卡号码和CVV码及部门有效日期（月/日）、医疗保险账号、已支付金额等 。该公司对数据库进行了�；�，但没有在网站上颁布泄露通知，也未暗示是否已通知患者/监管机构 。
原文链接：
https://www.databreaches.net/exclusive-more-than-90000-patient-billing-files-from-an-alcohol-and-drug-addiction-treatment-network-exposed-online/
5、澳大利亚国会在2019岁首遭到黑客入侵
凭据澳大利亚广播公司（ABC）的报路，澳大利亚国会的推算机网络在今年早些时辰被黑客入侵，并从几位当选官员的推算机中窃取了数据 。该攻击产生在2019年1月31日，其时澳大利亚安全机构发现了入侵并对其进行一周的监督，而后关关网络并试图追捕攻击者 。澳大利亚当局未提供有关该黑客攻击的更多具体信息 。
原文链接：
https://securityaffairs.co/wordpress/93898/cyber-warfare-2/australian-parliament-hacked.html
6、微软颁布Intel CPU驱动法式缝隙的建复指南
微软颁布了援手用户建复Intel CPU回绝服务缝隙（CVE-2018-12207）和TSX异步遏制缝隙（CVE-2019-11135）的指南 。该DoS缝隙影响了第8代及以下的Intel酷睿处置器，微软在11月安全更新中建复了该缝隙，但在默认情况下该�；ぶ澳鼙唤�，用户必须设置特定的注册表项启用该职能 。而TSX职能中的揣摩执行缝隙则影响了Intel第10代之前的处置器，微软领导用户在易受攻击的Intel处置器上禁用Intel TSX职能，以阻止潜在的Zombieload 2攻击 。
NowSecure钻研人员发现Android系统使用的libpac库中存在RCE缝隙（CVE-2019-2205） 。libpac是一个基于Chromium项目代码的库，该库使用静态链接的V8 JS引擎来解析JavaScript，这为平台利用法式带来了巨大的攻击面 。钻研人员发现JS函数FindProxyForUrl高低文中的ArrayBuffers分配器申明不正确，可致栈上的VPTR被覆盖，这可能被用于执行肆意代码 。谷歌在11月Android安全更新中建复了该缝隙 。
原文链接：
https://www.nowsecure.com/blog/2019/11/13/nowsecure-discovers-critical-android-vuln-that-may-lead-to-remote-code-execution/2、Intel CPU TPM-FAIL缝隙使数十亿台设备面对风险
钻研人员在基于英特尔固件的TPM（fTPM）和STMicroelectronics的TPM芯片中发现了两个被称为TPM-FAIL的新缝隙，这两个缝隙（CVE-2019-11090和CVE-2019-16863）使黑客能够躲避安全樊篱，并窃取TPM中存储的敏感数据，蕴含署名密钥等 。提取到密钥后，攻击者就能利用它伪造数字署名、篡改操作系统或绕过身份验证 。大无数便携式推算机、台式机和服务器都容易受到TPM-FAIL攻击，蕴含戴尔、惠普和遐想等品牌造作商 。这两个缝隙都已在新的固件或TPM芯片中建复 。
原文链接：
https://www.bleepingcomputer.com/news/security/tpm-fail-security-flaws-impact-modern-devices-with-intel-cpus/3、Wizards of Coast泄露45万游戏玩家数据
《Magic：The Gathering》游戏的开发商Wizards of Coast已经确认数十万游戏玩家的数据遭泄露 。英国安全厂商Fidus Information Security发现了露出的数据库文件，这些文件被保留在没有密码的Amazon存储桶中 。数据库中一共蕴含452634名玩家的数据，涉及姓名和用户名、电子邮件地址、账户的创建功夫以及经过哈希和加盐处置的密码 。凭据钻研人员对数据的审查，这些账户的日期最早可追忆至2012年，最新则为2018年中期 。
原文链接：
https://techcrunch.com/2019/11/16/magic-the-gathering-wizards-data-exposure/4、Sunshine Behavioral泄露9.3万份患者档案
Sunshine Behavioral Health是美国一家医治毒品和酒精成瘾患者的医疗公司，散布在加利福尼亚州、德克萨斯州和科罗拉多州 。由于AWS s3存储桶配置谬误，该公司的约莫9.3万个患者档案遭泄露 。档案中蕴含的信息蕴含姓名、诞生日期、邮政地址和电子邮件地址、电话号码、齐全的信誉卡号码和CVV码及部门有效日期（月/日）、医疗保险账号、已支付金额等 。该公司对数据库进行了�；�，但没有在网站上颁布泄露通知，也未暗示是否已通知患者/监管机构 。
原文链接：
https://www.databreaches.net/exclusive-more-than-90000-patient-billing-files-from-an-alcohol-and-drug-addiction-treatment-network-exposed-online/
5、澳大利亚国会在2019岁首遭到黑客入侵
凭据澳大利亚广播公司（ABC）的报路，澳大利亚国会的推算机网络在今年早些时辰被黑客入侵，并从几位当选官员的推算机中窃取了数据 。该攻击产生在2019年1月31日，其时澳大利亚安全机构发现了入侵并对其进行一周的监督，而后关关网络并试图追捕攻击者 。澳大利亚当局未提供有关该黑客攻击的更多具体信息 。
原文链接：
https://securityaffairs.co/wordpress/93898/cyber-warfare-2/australian-parliament-hacked.html
6、微软颁布Intel CPU驱动法式缝隙的建复指南
微软颁布了援手用户建复Intel CPU回绝服务缝隙（CVE-2018-12207）和TSX异步遏制缝隙（CVE-2019-11135）的指南 。该DoS缝隙影响了第8代及以下的Intel酷睿处置器，微软在11月安全更新中建复了该缝隙，但在默认情况下该�；ぶ澳鼙唤�，用户必须设置特定的注册表项启用该职能 。而TSX职能中的揣摩执行缝隙则影响了Intel第10代之前的处置器，微软领导用户在易受攻击的Intel处置器上禁用Intel TSX职能，以阻止潜在的Zombieload 2攻击 。
原文链接：
https://www.bleepingcomputer.com/news/security/microsoft-issues-guidance-for-intel-cpu-driver-security-flaws/
京公网安备11010802024551号