试用App卸载后直接扣费,全球近6亿Android用户中招;MicroSoft发布1月Office安全更新,修复3个RCE漏洞

发布时间 2020-01-17


1.试用App卸载后直接扣费,全球近6亿Android用户中招



Sophos安全研究人员发现了一组新的fleeceware APP,这些APP已经被超过6亿Android用户下载安装。fleeceware是指GOOGLEPlay商店中存在的一种新型金融欺诈行为,这些APP滥用Android应用的试用期功能向用户收费。默认情况下Android用户在注册使用具有试用期的APP时必须手动取消试用,然而大多数用户只是在不喜欢的时候卸载APP,绝大多数开发者将这种卸载行为视为取消试用,但一些开发者在用户卸载后没有取消试用并且继续收费。Sophos最初发现的24个APP包括二维码扫描器、计算器等,它们以这种方式向用户收取每年100美金到240美金的订阅费用。在近日发布的一份报告中,Sophos发现了另外25个此类APP,其总安装量超过6亿,完整的APP列表请参考以下链接。


  原文链接:

https://www.zdnet.com/article/more-than-600-million-users-installed-android-fleeceware-apps-from-the-play-store/


2.MicroSoft发布1月Office安全更新,修复3个RCE漏洞



MicroSoft在1月Office安全更新中为5个不同的产品发布了总共7个安全更新和3个累计更新,其中6个更新与远程代码实行漏洞有关。这些RCE漏洞被跟踪为CVE-2020-0650、CVE-2020-0651和CVE-2020-0652,受影响的产品包括Office 2016、Office 2013、Office 2010、Excel 2016、Excel 2013和Excel 2010。此外被跟踪为CVE-2020-0647的另一个漏洞是影响Office Online Server的欺骗漏洞,它是由跨域通信中的原始验证不正确引起的,成功利用此漏洞的攻击者可以在受影响的系统上进行跨域攻击。


 原文链接:

https://www.bleepingcomputer.com/news/security/microsoft-office-january-security-updates-fix-code-execution-bugs/


3.VMware发布VMware Tools 11,修复10版本中的LPE漏洞



VMware已发布VMware Tools 11.0.0,修复了版本10.xy中的本地提权漏洞(CVE-2020-3941)。该漏洞被归类为竞争条件漏洞,攻击者可能利用此漏洞在虚拟机中提升特权。该漏洞的CVSS评分为7.8分。此外,VMware还修复了Workspace ONE SDK中的信息泄露漏洞(CVE-2020-3940),该漏洞影响了相关的iOS和Android APP,包括Workspace ONE Boxer、Content、Intelligent Hub、Notebook、People、PIV-D、Web以及适用于Apache Cordova和Xamarin的SDK插件。根据安全公告,如果启用了SSL Pinning,则在受影响的移动APP和Workspace ONE UEM设备服务之间的中间人(MITM)攻击者可能捕获传输中的敏感数据。


 原文链接:

https://securityaffairs.co/wordpress/96446/security/vmware-tools-and-workspace-one-sdk-flaws.html


4.Peekaboo Moments意外泄露80万用户的邮箱信息



安全研究员Dan Ehrlich发现Peekaboo Moments APP的Elasticsearch数据库暴露了数千个婴儿的照片和视频以及至少80万个电子邮件地址。该数据库属于Peekaboo Moments的开发商Bithouse,数据库中存有7000万个日志文件。除了婴儿的视频和照片外,该数据库还包含婴儿的出生日期、身长和体重以及经度和纬度位置数据。此外,泄露的数据疑为Peekaboo Moments的脸书 API密钥,父母可使用该密钥将照片等发布到脸书。根据Ehrlich的说法,攻击者可能会利用这些密钥来访问用户脸书页面上的内容。Bithouse在接到报告后迅速对服务器进行了保护。


 原文链接:

https://hotforsecurity.bitdefender.com/blog/peekaboo-moments-app-left-baby-videos-photos-and-800000-users-email-addresses-exposed-on-the-internet-22067.html


5.加拿大网上药店PlanetDrugsDirect泄露部分客户支付信息



加拿大网上药店PlanetDrugsDirect正在通过电子邮件通知客户其个人和财务信息受到数据泄露事件的影响。PlanetDrugsDirect称自己为客户提供获得处方药和非处方药的机会,其客户数量约为40万。根据该药店的通知,可能泄露的数据包括客户的姓名、住址、电子邮件地址、电话号码以及处方的医疗信息和付款信息,但没有证据表明用户的密码受到损害。PlanetDrugsDirect还指出该事件目前正在调查中,将尽快提供更多详细信息。


 原文链接:

https://www.bleepingcomputer.com/news/security/online-pharmacy-planetdrugsdirect-discloses-security-breach/


6.数百个医学成像系统在网上暴露了数百万患者的数据



德国安全厂商Greenbone称数百个可公开访问的医学成像系统在互联网上暴露了全球数百万患者的数据。该项研究重点分析在网上暴露的医学图片存档和通信系统(PACS),在所有受分析的PACS服务器中,有将近1/4的系统将数据暴露在互联网上。具体来说,在2019年7月至2019年9月之间分析的2300个系统中,有590个可从Internet访问并且未设密码,共有超过2450万条患者数据暴露,在11月份的研究中,该企业透露有3500万条患者记录可公开访问。在9月至11月之间,包含医疗图像的暴露患者记录数量已从440万增加了一倍,达到900万。


 原文链接:

https://www.securityweek.com/unprotected-medical-systems-expose-data-millions-patients