信息安全周报-2019年第32周

颁布功夫 2019-08-19

> 本周安全态势综述



2019年8月12日至18日共收录安全缝隙55个，值得关注的是Microsoft Windows Remote Desktop Services CVE-2019-1181内存粉碎代码执行缝隙；Microsoft Bluetooth Driver BR/EDR密钥协商缝隙；Adobe Photoshop CC多个堆溢露马脚；SAS Web Infrastructure Platform反序列化远程代码执行缝隙；Apache httpd mod_http2内存谬误利用回绝服务缝隙。


本周值得关注的网络安全事务是微软多个供给商的40多个驱动法式存在提权缝隙；Sweet Chat意表泄露近1000万用户的照片及谈天内容；微软建复RDP服务中的新蠕虫级缝隙；HTTP/2曝出8个新缝隙，可用于提议DoS攻击；卡巴斯基杀软中的缝隙可允许跨站点跟踪用户。


凭据以上综述，本周安全威胁为中。

> 沉要安全缝隙列表



1. Microsoft Windows Remote Desktop Services CVE-2019-1181内存粉碎代码执行缝隙


Microsoft Windows Remote Desktop Services存在内存粉碎缝隙，允许远程攻击者利用缝隙提交特殊的要求，能够利用法式高低文执行肆意代码。
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-1181

2. Microsoft Bluetooth Driver BR/EDR密钥协商缝隙


Microsoft Bluetooth Driver BR/EDR密钥协商存在安全缝隙，允许远程攻击者能够利用缝隙提交特殊的要求，将最大16字节长度的密钥协商降到1字节熵，可获取敏感信息。
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-9506

3. Adobe Photoshop CC多个堆溢露马脚


Adobe Photoshop CC处置文件存在堆溢露马脚，允许远程攻击者利用缝隙提交特殊的文件要求，诱使用户解析，能够利用法式高低文执行肆意代码。
https://helpx.adobe.com/security/products/photoshop/apsb19-44.html

4. SAS Web Infrastructure Platform反序列化远程代码执行缝隙


SAS Web Infrastructure Platform存在反序列化缝隙，允许远程攻击者能够利用缝隙提交特殊的要求，能够利用法式高低文执行肆意代码。
http://support.sas.com/kb/63/391.html

5. Apache httpd mod_http2内存谬误利用回绝服务缝隙


Apache httpd mod_http2 HTTP/2会话处置存在内存谬误引用缝隙，允许远程攻击者利用缝隙提交特殊的要求，可进行回绝服务攻击。
http://httpd.apache.org/security/vulnerabilities_24.html


> 沉要安全事务综述



1、微软多个供给商的40多个驱动法式存在提权缝隙


GA黄金甲·(中国区)官方网站


Eclypsium钻研人员披露超过20家微软供给商提供的40多个Windows驱动法式存在提权缝隙，可能会被黑客利用。受影响的厂商蕴含驰名BIOS厂商及各大硬件供给商，例如华硕、东芝、Intel、技嘉、Nvidia、华为等。由于这些驱动都经过了微软认证，因而恶意法式能够利用它们从用户空间（Ring3）提权至内核权限（Ring0）。Eclypsium暗示这些驱动影响了所有版本的Windows，这意味着至少数百万用户面对风险。Intel和华为等已经颁布了有关建复补丁。

原文链接：https://www.bleepingcomputer.com/news/security/over-40-windows-hardware-drivers-vulnerable-to-privilege-escalation/

2、Sweet Chat意表泄露近1000万用户的照片及谈天内容


GA黄金甲·(中国区)官方网站


安全钻研员Darryl Burke发现谈天利用Sweet Chat的一个不安全的服务器露出了超过1000万用户的敏感信息，这些信息蕴含实时谈天内容以及个人照片等。Burke暗示任何占有MQTT攻击工具的人都能够在线查看这些信息。钻研人员于7月21日通知了该公司，但该公司直至8月12日才对该服务器进行了一时建复。

原文链接：https://blog.burke-consulting.net/sweet-chat/

3、微软建复RDP服务中的新蠕虫级缝隙


GA黄金甲·(中国区)官方网站


微软在8月份的Windows安全更新中建复了94个缝隙，其中蕴含4个新的RDP远程代码执行缝隙（CVE-2019-1181、CVE-2019-1182、CVE-2019-1222、CVE-2019-1226）。其中CVE-2019-1181和CVE-2019-1182与5月份曝出的BlueKeep缝隙（CVE-2019-0708）类似，可实现蠕虫化攻击，受影响的系统版本蕴含win 7 SP1、win 8.1、win 10以及windows server 2008 R2 SP1、2012、2012 R2、2016及2019等。XP、windows server 2003及2008不受影响。目前尚未发现这些缝隙在野表被利用，但微软强烈建议用户尽快更新建复补丁。

原文链接：https://www.bleepingcomputer.com/news/security/microsoft-fixes-critical-windows-10-wormable-remote-desktop-flaws/

4、HTTP/2曝出8个新缝隙，可用于提议DoS攻击


GA黄金甲·(中国区)官方网站


钻研人员披露HTTP/2和谈实现中的8个新缝隙，攻击者可利用这些缝隙向未建补的服务器提议回绝服务攻击。这些缝隙（CVE-2019-9511~CVE-2019-9518）是由Netflix钻研员Jonathan Looney以及Google钻研员Piotr Sikora发现的，可用于触发服务器的资源耗尽，但不能用于入侵服务器。凭据CERT颁布的布告，受影响的厂商蕴含NGINX、Apache、H2O、Nghttp2、Microsoft(IIS)、Cloudflare、Akamai、Apple(SwiftNIO)、Amazon、Facebook(Proxygen)、Node.js以及Envoy proxy，大无数厂商都已经颁布了建复补丁。

原文链接：https://thehackernews.com/2019/08/http2-dos-vulnerability.html

5、卡巴斯基杀软中的缝隙可允许跨站点跟踪用户

GA黄金甲·(中国区)官方网站


安全钻研员Ronald Eikenberg发现卡巴斯基的杀毒软件存在一个缝隙（CVE-2019-8286），可允许恶意站点或第三方服务跨站点跟踪用户。该缝隙存在于一个名为Kaspersky URL Advisor的网址扫描� ？橹�，该� ？樵谟没т赖耐持凶⑷險UID来象征用户，但恶意网站可获取该UUID并跟踪用户。在接到汇报后，卡巴斯基将该UUID更改为一个常量。

原文链接：https://thehackernews.com/2019/08/kaspersky-antivirus-online-tracking.html