GOOGLE披露Windows中存在20年的漏洞,影响所有系统版本;蓝牙漏洞KNOB,可破解密钥和篡改数据

发布时间 2019-08-15
1、MicroSoft修复RDP服务中的新蠕虫级漏洞


MicroSoft在8月份的Windows安全更新中修复了94个漏洞,其中包括4个新的RDP远程代码实行漏洞(CVE-2019-1181、CVE-2019-1182、CVE-2019-1222、CVE-2019-1226)。其中CVE-2019-1181和CVE-2019-1182与5月份曝出的BlueKeep漏洞(CVE-2019-0708)类似,可实现蠕虫化攻击,受影响的系统版本包括win 7 SP1、win 8.1、win 10以及windows server 2008 R2 SP1、2012、2012 R2、2016及2019等。XP、windows server 2003及2008不受影响。目前尚未发现这些漏洞在野外被利用,但MicroSoft强烈建议用户尽快更新修复补丁。


原文链接:https://www.bleepingcomputer.com/news/security/microsoft-fixes-critical-windows-10-wormable-remote-desktop-flaws/


2、Intel发布NUC固件更新,修复多个漏洞


Intel发布NUC Kit的固件更新,修复可导致提权、拒绝服务以及信息泄露的漏洞。该漏洞(CVE-2019-11140,CVSS评分为7.5)是由于不充分的验证导致的,可被具有本地访问权限的攻击者所利用,受影响的产品型号包括Intel NUC Kit NUC7i7DNx、NUC7i5DNx、NUC7i3DNx以及Compute Stick STK2MV64CC和Compute Card CD1IV128MK。此外,Intel还修复了处理器识别工具中的漏洞(CVE-2019-11163,CVSS评分为8.2)以及RAID管理App中的漏洞(CVE-2019-0173,CVSS评分6.8)。更多漏洞列表请参考以下链接。


原文链接:https://www.bleepingcomputer.com/news/security/intel-updates-nuc-firmware-to-patch-high-severity-bug/


3、HTTP/2曝出8个新漏洞,可用于发起DoS攻击


研究人员披露HTTP/2协议实现中的8个新漏洞,攻击者可利用这些漏洞向未修补的服务器发起拒绝服务攻击。这些漏洞(CVE-2019-9511~CVE-2019-9518)是由Netflix研究员Jonathan Looney以及谷歌研究员Piotr Sikora发现的,可用于触发服务器的资源耗尽,但不能用于入侵服务器。根据CERT发布的公告,受影响的厂商包括NGINX、Apache、H2O、Nghttp2、微软(IIS)、Cloudflare、Akamai、Apple(SwiftNIO)、亚马逊、脸书(Proxygen)、Node.js以及Envoy proxy,大多数厂商都已经发布了修复补丁。


原文链接:https://thehackernews.com/2019/08/http2-dos-vulnerability.html


4、新蓝牙漏洞KNOB,可破解密钥和篡改数据



研究人员披露蓝牙中的新漏洞(CVE-2019-9506),该漏洞可允许攻击者暴力破解配对设备在传输数据时使用的密钥并篡改数据。该漏洞影响了版本在1.0至5.1之间的Bluetooth BR/EDR设备。根据研究人员的表述,攻击者可干扰两台配对设备设置加密连接的过程,减少使用的密钥的长度,使得密钥的安全性骤减。极端情况下,密钥长度可能被减少为1个字节。为了缓解该漏洞,蓝牙技术联盟更新了蓝牙核心规范,建议最小密钥长度为7个字节。MicroSoft也在漏洞(CVE-2019-9506)的补丁中将默认最小密钥长度设置为7个字节。

原文链接:https://www.bleepingcomputer.com/news/security/new-bluetooth-knob-flaw-lets-attackers-manipulate-traffic/

5、GOOGLE披露Windows中存在20年的漏洞,影响所有系统版本



GOOGLE研究人员Tavis Ormandy披露Windows系统中存在长达20年的一个未修复漏洞。该漏洞影响了Windows XP以来的所有Windows版本,包括Win 10。该漏洞存在于MicroSoft的文本服务框架(MSCTF)中,与MSCTF客户端和服务器之间的通信缺少访问控制/身份验证机制有关,攻击者可以利用该漏洞连接到CTF会话、读写其它窗口/会话的内容、伪造线程ID/进程ID/HWND、伪装成CTF服务器、进行沙箱逃逸以及提权。攻击者还可以绕过用户接口权限隔离(UIPI),获取SYSTEM权限以及控制UAC对话框等。研究人员还发布了在Win 10中获取SYSTEM的PoC视频。

原文链接:https://thehackernews.com/2019/08/ctfmon-windows-vulnerabilities.html

6、BioStar 2生物识别数据库泄露,波及数百万用户


vpnMentor研究人员发现BioStar 2的一个Elasticsearch数据库可公开访问,导致数百万人的生物识别数据泄露。该数据库包含23GB数据(超过2780万条记录),这些数据包括指纹/面部识别数据、未加密的用户名和密码以及员工的隐私信息。Biostar 2被集成到第三方系统中,例如Nedap的AEOS访问控制系统,该系统已被83个国家的5700多个组织使用,包括英国大都会警察局。受影响的企业还包括英国家居装饰商Tile Mountain以及印度和斯里兰卡的健身房Power World Gyms等。


原文链接:https://www.infosecurity-magazine.com/news/millions-of-records-exposed/