信息安全周报-2020年第41周

发布时间 2020-10-13

> 本周安全态势综述


2020年10月05日至10月11日共收录安全漏洞57个,值得关注的是谷歌 Android Qualcomm闭源组件CVE-2020-3654代码实行漏洞;谷歌 Android Qualcomm闭源组件CVE-2020-3657代码实行漏洞;谷歌 Android system组件CVE-2020-0416代码实行漏洞;D-Link DAP-136 IP参数命令实行漏洞;脸书 WhatsApp RTP Extension栈溢出漏洞。


本周值得关注的网络安全事件是:CISA发布2019财年风险漏洞评估的信息图;安全企业Arctic Wolf发布安全运营年度报告;谷歌发布的Chrome安全更新修复多个漏洞;Adobe因服务中断导致用户无法登录Creative Cloud;Android版脸书中存在漏洞,或将导致远程代码实行。


根据以上综述,本周安全威胁为中。


重要安全漏洞列表


1.谷歌 Android Qualcomm闭源组件CVE-2020-3654代码实行漏洞


谷歌 Android Qualcomm闭源组件实现存在安全漏洞,允许远程攻击者利用漏洞提交特殊的请求,可使服务程序崩溃或以应用程序上下文实行任意代码。

https://source.android.com/security/bulletin/2020-10-01


2.谷歌 Android Qualcomm闭源组件CVE-2020-3657代码实行漏洞


谷歌 Android Qualcomm闭源组件实现存在安全漏洞,允许远程攻击者利用漏洞提交特殊的请求,可使服务程序崩溃或以应用程序上下文实行任意代码。

https://source.android.com/security/bulletin/2020-10-01


3.谷歌 Android system组件CVE-2020-0416代码实行漏洞


谷歌 Android Framework组件实现存在安全漏洞,允许远程攻击者利用漏洞提交特殊的请求,可使服务程序崩溃或以应用程序上下文实行任意代码。

https://source.android.com/security/bulletin/2020-10-01


4.D-Link DAP-136 IP参数命令实行漏洞


D-Link DAP-136处理IP参数存在输入验证漏洞,允许远程攻击者利用漏洞提交特殊的请求,可以应用程序上下文实行任意命令。

https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10191


5.脸书 WhatsApp RTP Extension栈溢出漏洞


脸书 WhatsApp RTP Extension解析存在栈溢出漏洞,允许远程攻击者利用漏洞提交特殊的请求,可使应用程序崩溃或以应用程序上下文实行任意代码。

https://www.whatsapp.com/security/advisories/2020/


> 重要安全事件综述


1、CISA发布2019财年风险漏洞评估的信息图



1.png


网络安全和信息安全机构(CISA)发布了2019财年进行的44项风险和漏洞评估(RVA),以及MITER对抗策略、技术和常识(ATT&CK)框架的分析信息图。该信息图表确定了CISA在跨多个部门的RVAs期间观察到的常规成功攻击路径,网络攻击者可以利用这些攻击途径来攻击组织。CISA鼓励网络管理员和IT专业人员查看信息图并应用推荐的防御策略,以防止受到已知战术和技术的攻击。


原文链接:

https://us-cert.cisa.gov/ncas/current-activity/2020/10/07/cisa-releases-fy2019-risk-vulnerability-assessment-infographic


2、安全企业Arctic Wolf发布安全运营年度报告


2.png


安全企业Arctic Wolf发布了一份安全运营年度报告。报告显示,自3月以来,暗网上公开的企业凭据数量增加了429%。在观察到的高风险安全事件中,有35%发生在8:00 PM和8:00 AM之间,而14%发生在周末,这是许多内部安全团队不在线的时间。此外,网络钓鱼和勒索App攻击次数增加了64%,黑客更多的以COVID-19主题为诱饵,来针对远程工编辑。


原文链接:

https://arcticwolf.com/resources/analyst-reports/security-operations-annual-report


3、谷歌发布的Chrome安全更新修复多个漏洞


3.png


谷歌发布的Chrome安全更新针对Windows、Mac和Linux版本修复了35个漏洞。其中较为严重的漏洞为支付中的释放后使用漏洞(CVE-2020-15967),其次为Blink、WebRTC、NFC、打印、音频、自动填充和密码管理器中的释放后使用漏洞(CVE-2020-15968、CVE-2020-15969、CVE-2020-15970、CVE-2020-15971、CVE-2020-15972、CVE-2020-15990和CVE-2020-15991)。


原文链接:

https://us-cert.cisa.gov/ncas/current-activity/2020/10/07/google-releases-security-updates-chrome


4、Adobe因服务中断导致用户无法登录Creative Cloud


4.png


Adobe因服务中断,导致用户无法登录Creative Cloud或访问其订阅的应用程序或存储的数据。自美国东部时间上午9:30以来,Adobe Creative Cloud用户开始报告无法登录该服务或访问保存的图像和数据,当他们试图登录的时候,就会显示“发生了一些错误”的提示。目前,Adobe已在status.adobe.com页面上发布通知确认了中断,但并未提供任何有关此次中断的详细信息。


原文链接:

https://www.bleepingcomputer.com/news/technology/adobe-creative-cloud-down-users-report-login-data-access-issues/


5、Android版脸书中存在漏洞,或将导致远程代码实行


5.png


安全研究员Sayed Abdelhafiz发现,Android版脸书中存在严重漏洞,该漏洞或将导致远程代码实行,利用该漏洞可能导致应用崩溃以及设备接管。脸书允许通过两种方式下载文件,其中一种是使用“文件”选项卡,将文件先提取到DownloadManager,然后保存到Download Director。Abdelhafiz发现可以创建并下载一个恶意文件,然后在目标设备上实行任意代码。脸书在得到漏洞报告后,已于2020年6月修复了该漏洞。


原文链接:

https://latesthackingnews.com/2020/10/08/code-execution-vulnerability-found-in-脸书-for-android/