信息清静周报-2019年第45周
宣布时间 2019-11-18>本周清静态势综述
2019年11月11日至17日共收录清静误差48个，值得关注的是Microsoft Windows OpenType字体剖析CVE-2019-1456远程执行代码误差; eQ-3 Homematic CCU3 testtcl.cgi代码执行误差；SAP Diagnostics Agent恣意OS下令注入误差；Istio拒绝服务误差；Adobe Illustrator CVE-2019-8248内存破损恣意代码执行误差。
本周值得关注的网络清静事务是托管服务商SmarterASP.NET遭勒索软件攻击；俄罗斯新法案强制手机和PC预装置本国软件；5G新误差可跟踪电话位置及广播虚伪警报；McAfee杀毒软件代码执行误差(CVE-2019-3648)；高通芯片组QSEE误差可致Android装备数据泄露。
>主要清静误差列表
Microsoft Windows OpenType字体剖析处置惩罚Opentype字体保存清静误差，允许远程攻击者可以使用误差提交特殊的文件请求，可使应用程序崩�；蛑葱许б獯�。
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1456
2. eQ-3 Homematic CCU3 testtcl.cgi代码执行误差
eQ-3 Homematic CCU3 save.cgi剧本可用来上传剧本并被testtcl.cgi剧本执行，允许远程攻击者可以使用误差提交特殊的请求，可执行恣意代码。
https://psytester.github.io/CVE-2019-18938/
3. SAP Diagnostics Agent恣意OS下令注入误差
SAP Diagnostic Agent保存未明清静误差，允许远程攻击者使用误差提交特殊的请求，可执行恣意OS下令。
https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=528880390
4. Istio拒绝服务误差
Istio保存清静误差，允许远程攻击者使用误差提交特殊的请求，可使应用程序瓦解。
https://github.com/istio/istio/issues/18229
5. Adobe Illustrator CVE-2019-8248内存破损恣意代码执行误差
Adobe Illustrator处置惩罚文件保存内存破损误差，允许远程攻击者使用误差提交特殊的文件请求，可执行恣意代码或者举行拒绝服务攻击。
https://helpx.adobe.com/security/products/illustrator/apsb19-36.html
>主要清静事务综述
SmarterASP.NET是一家拥有凌驾44万个客户的ASP.NET托管服务商，该公司在周末遭到勒索软件攻击。目今SmarterASP.NET体现正在起劲恢复客户的服务器，但不清晰该公司是支付了赎金照旧在从备份中恢复。此次攻击中不但客户数据受到影响，并且SmarterASP.NET自己亦受影响。该公司的网站在星期六全天都下线，直到星期天早上才重新上线。服务器恢复事情希望缓慢，许多客户仍然无法会见其账户和数据，包括网站文件和后端数据库。凭证在Twitter上宣布的截图，被加密的客户文件后附加了“.kjhbx”扩展名，现在研究职员仍在试图确认勒索软件的种类。
原文链接：
https://www.zdnet.com/article/major-asp-net-hosting-provider-infected-by-ransomware/
2、俄罗斯新法案强制手机和PC预装置本国软件
俄罗斯议会正在推动一项立法，该法案将强制要求所有在俄罗斯销售的电子装备（包括智能手机、PC和智能电视等）预装置本国科技公司的应用。这可能会带来清静隐患。立法者体现该法案是为了�；ね獾氐氖忠帐谐∶馐芡夤ǹ赡苁侵该拦┑木赫�。政府将针对每种装备类型宣布一份软件列表，装备供应商需要在俄罗斯销售的装备上预装置这些软件。若是供应商不遵守划定，将被处以最高20万卢布（约合3100美元）的� ？�。该法案获得了所有主要政党的支持，这意味着它很有可能将在2020年7月1日生效。
原文链接：
https://www.zdnet.com/article/phones-and-pcs-sold-in-russia-will-have-to-come-pre-installed-with-russian-apps/
3、5G新误差可跟踪电话位置及广播虚伪警报
普渡大学（Purdue University）和爱荷华大学（University of Iowa）的清静研究职员发明快要12个5G清静误差，研究职员体现这些误差可允许攻击者获取目的用户电话的新/旧暂时网络标识符，从而跟踪电话的位置，甚至挟制寻呼信道举行虚伪的紧迫警报广播。在某些情形下，这些误差可能被用来将蜂窝毗连降级为不太清静的标准。一些新的攻击也可能在现有的4G网络上被使用。鉴于误差的性子，研究职员体现他们不妄想果真其PoC代码，但他们将这些发明通知了全球蜂窝网络GSM协会（GSMA）。GSMA没有透露是否可以修复误差，也没有透露修复时间。
原文链接：
https://finance.yahoo.com/news/5g-flaws-track-phone-locations-163014364.html4、McAfee杀毒软件代码执行误差(CVE-2019-3648)
原文链接：
https://www.zdnet.com/article/mcafee-antivirus-software-impacted-by-code-execution-vulnerability/5、高通芯片组QSEE误差可致Android装备数据泄露
凭证清静厂商CheckPoint的一份报告，高通芯片组中的清静执行情形（QSEE）中保存误差（CVE-2019-10574），可导致Android装备中的小我私家数据泄露。QSEE是基于ARM TrustZone手艺的受信托执行情形（TEE）的实现，是主处置惩罚器上的一个硬件隔离的清静区域，其中通常包括专用加密密钥、密码、信用卡和借记卡凭证等敏感信息。Check Point研究职员逆向了该系统，并使用模糊测试对三星、LG和摩托罗拉装备举行了测试。总体而言，研究职员发明三星的受信托代码包括四个误差，摩托罗拉和LG划分包括一个误差，但所有代码均来自高通公司。三星、高通和LG已针对这些QSEE误差宣布了补丁更新。
原文链接：
https://thehackernews.com/2019/11/qualcomm-android-hacking.html
京公网安备11010802024551号