信息清静周报-2019年第31周

宣布时间 2019-08-12

> 本周清静态势综述



2019年8月05日至11日共收录清静误差49个，值得关注的是Cisco Enterprise NFV Infrastructure Software OS下令注入误差；MicroDigital N-series cameras代码执行误差；Cisco Small Business 220 Series Smart Switches WEB界面缓冲器溢出误差；MongoDB Server权限提升误差；Android Qualcomm HLOS组件权限提升误差。


本周值得关注的网络清静事务是高通芯片保存QualPwn误差，波及骁龙855等多款SoC;卡巴斯基宣布2019年第二季度DDoS攻击趋势报告;研究职员披露波音787内部网络中的多个清静误差;研究团队宣布2019年工控威胁报告，九大犯法团伙专注于ICS;Google和NASA因Jira服务器设置过失导致敏感数据泄露。


凭证以上综述，本周清静威胁为中。


> 主要清静误差列表



1. Cisco Enterprise NFV Infrastructure Software OS下令注入误差


Cisco Enterprise NFV Infrastructure Software Web门户框架保存清静误差，允许远程攻击者使用误差提交特殊的请求，以root权限执行恣意下令。

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190807-nfv-commandinj


2. MicroDigital N-series cameras代码执行误差


MicroDigital N-series cameras ‘action’参数处置惩罚保存清静误差，允许远程攻击者可以使用误差提交特殊的请求，可以应用程序上下文执行恣意代码。

https://pastebin.com/PSyqqs1g


3. Cisco Small Business 220 Series Smart Switches WEB界面缓冲器溢出误差


Cisco Small Business 220 Series Smart Switches WEB界面保存缓冲区溢出误差，允许攻击者可以使用误差提交特殊的请求，可使装备崩�；蛑葱许б獯�。

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190806-sb220-rce


4. MongoDB Server权限提升误差


MongoDB Server保存会话重用误差，允许远程攻击者可以使用误差提交特殊的请求，可重用已建设的会话，未授权会见。

https://www.talosintelligence.com/vulnerability_reports/TALOS-2019-0829


5. Android Qualcomm HLOS组件权限提升误差


Android Qualcomm HLOS组件保存清静误差，允许远程攻击者可以使用误差提交特殊的请求，可提升权限。
https://source.android.com/security/bulletin/2019-08-01.html


> 主要清静事务综述



1、高通芯片保存QualPwn误差，波及骁龙855等多款SoC

优发国际·随优而动一触即发

高通多款SoC受到两个误差的影响，这两个误差被称为QualPwn，划分是影响高通WLAN组件及Android内核的缓冲区溢出误差（CVE-2019-10538）以及高通WLAN及Modem固件中的缓冲区溢出误差（CVE-2019-10540）。凭证高通宣布的清静通告，后者影响的产品包括SD 820、SD 835、SD 845、SD 850、SD 855等20多款芯片。高通和Android团队已经宣布了相关修复补丁。

原文链接：https://www.zdnet.com/article/qualpwn-vulnerabilities-in-qualcomm-chips-let-hackers-compromise-android-devices/

2、卡巴斯基宣布2019年第二季度DDoS攻击趋势报告


优发国际·随优而动一触即发


凭证卡巴斯基的2019年Q2 DDoS攻击报告，本季度的DDoS攻击数目比上一季度少得多。这种清静可能是由于夏日网络犯法运动的古板性镌汰所致，与2018年Q2相比，攻击总数现实上增添了18个百分点，这意味着自2019年头以来视察到的DDoS增添趋势仍然保存。本季度中国照旧DDoS攻击数目最多的地区（63.80％），其次是美国（17.57％）。本季度一连时间最长的攻击达509个小时，创下了新的历史纪录。

原文链接：https://securelist.com/ddos-report-q2-2019/91934/

3、研究职员披露波音787内部网络中的多个清静误差


优发国际·随优而动一触即发


IOActive研究职员Ruben Santamarta在Black Hat大会上披露了波音787梦幻客机中的多个清静误差。这些误差与飞机的成员信息服务/维护系统（CIS/MS）有关，攻击者可使用这些误差向飞机的要害清静系统（例如引擎、制动系统、传感器）发送恶意下令。别的，攻击者还可通过入侵飞机的卫星装备及无线通讯渠道向维护工程师提供过失的系统信息。波音声称这些问题不会组成网络威胁，由于其防护步伐可以阻止此类攻击。

原文链接：https://www.wired.com/story/boeing-787-code-leak-security-flaws/?verso=true

4、研究团队宣布2019年工控威胁报告，九大犯法团伙专注于ICS

优发国际·随优而动一触即发


工控清静厂商Dragos宣布2019年工控威胁报告，报告中剖析了专门针对ICS网络的9个犯法团伙。其中5个犯法团伙主要针对石油和自然气公司，包括HEXANE、MAGNALLIUM、CHRYSENE、XENOTIME和DYMALLOY，其余4个犯法团伙主要针对能源部分，包括ELECTRUM、RASPITE、ALLANITE和COVELLITE。该报告指出由于可造成高度震荡的政治和经济影响，石油和自然气部分仍然面临破损性网络攻击的危害。

原文链接：https://dragos.com/wp-content/uploads/Dragos-Oil-and-Gas-Threat-Perspective-2019.pdf

5、Google和NASA因Jira服务器设置过失导致敏感数据泄露


优发国际·随优而动一触即发


Jira是一个盛行的项目治明确决计划，清静研究员Avinash Jain发明当在Jira Cloud中建设新的filter和dashboard时，其默认可见性是“所有”，这很容易被明确为“企业内部所有人”但现实上它指的是“互联网上的所有人”。这种设置过失使得许多组织的敏感项目信息曝光，包括Google、Yahoo、NASA、Lenovo、1Password、Zendesk以及政府机构等。

原文链接：https://www.bleepingcomputer.com/news/security/misconfigured-jira-servers-leak-info-on-users-and-projects/