信息安全周报-2018年第31周
发布时间 2018-08-07一、本周安全态势综述
2018年07月30日至08月05日共收录安全漏洞51个，值得关注的是Samsung SmartThings Hub video-core HTTP服务器缓冲区溢出漏洞；Intel Smart Sound Technology驱动程序模块权限提升漏洞；Foxit PDF Reader JavaScript引擎释放后利用漏洞；Apple iOS Wi-Fi内存破坏漏洞；SoftNAS Cloud OS命令注入漏洞。
本周值得关注的网络安全事件是英国电子商务服务商数据库泄露，约140万用户受影响；Boys Town国家研究医院遭黑客入侵，超过10万名患者和员工的信息泄露；ICS-CERT发布联网视频监控系统网络安全态势报告；Reddit遭黑客入侵，部分用户的数据泄露；KickICO平台遭黑客入侵，价值约770万美元的令牌被窃。
根据以上综述，本周安全威胁为中。
二、重要安全漏洞列表
1、Samsung SmartThings Hub video-core HTTP服务器缓冲区溢出漏洞
Samsung SmartThings Hub video-core HTTP服务器处理‘clips’表存在缓冲区溢出，允许远程攻击者利用漏洞提交特殊的请求，以应用程序上下文执行任意代码。
用户可参考如下厂商提供的安全补丁以修复该漏洞：https://www.talosintelligence.com/vulnerability_reports/TALOS-2018-0583
2、Intel Smart Sound Technology驱动程序模块权限提升漏洞
Intel Smart Sound Technology驱动模块存在安全漏洞，允许本地攻击者利用漏洞构建特殊的请求，以管理员权限执行任意代码。
用户可参考如下厂商提供的安全补丁以修复该漏洞：https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00163.html
3、Foxit PDF Reader JavaScript引擎释放后利用漏洞
Foxit PDF Reader JavaScript引擎存在释放后使用漏洞，允许远程攻击者利用漏洞构建特殊的文件请求，诱使用户解析，以应用程序权限执行任意代码。
用户可参考如下厂商提供的安全补丁以修复该漏洞：https://www.talosintelligence.com/vulnerability_reports/TALOS-2018-0588
4、Apple iOS Wi-Fi内存破坏漏洞
Apple iOS Wi-Fi组件存在内存破坏漏洞，允许远程攻击者利用漏洞构建特殊的应用程序，诱使用户解析，可绕过沙盒提升权限。
用户可参考如下厂商提供的安全补丁以修复该漏洞：https://lists.apple.com/archives/security-announce/2018/Jul/msg00001.html
5、SoftNAS Cloud OS命令注入漏洞
SoftNAS Cloud OS web管理员控制台中的snserv脚本没有过滤用户输入，允许远程攻击者利用漏洞构建特殊的请求，以应用程序上下文执行任意命令。
用户可参考如下厂商提供的安全补丁以修复该漏洞：https://www.softnas.com/docs/softnas/v3/html/updating_to_the_latest_version.html
三、重要安全事件综述
1、英国电子商务服务商数据库泄露，约140万用户受影响
研究人员Taylor Ralston发现英国电子商务服务商Fashion Nexus的一个数据库可公开访问，多个服装和配饰网站的用户信息泄露，包括Jaded London、AX Paris和Elle Belle Attire等品牌。泄露的数据包含约140万用户的个人信息，包括MD5哈希密码、姓名、电子邮件地址和电话号码等。没有迹象表明用户的银行卡信息存在风险。
原文链接：https://www.grahamcluley.com/online-fashion-shoppers-exposed-ecommerce-breach/
2、Boys Town国家研究医院遭黑客入侵，超过10万名患者和员工的信息泄露
Boys Town国家研究医院发布通知称该组织于2018年5月23日遭黑客入侵，超过10万名患者和员工的信息泄露。这可能是有关儿童医疗服务的最大规模的数据泄露。泄露的信息包括姓名、出生日期、社保号码、诊断或治疗信息、银行账号、用户名和密码等信息。攻击者入侵了该组织员工的电子邮件帐户，并通过未授权访问获取了这些信息。
原文链接：https://thehackernews.com/2018/07/data-breach-healthcare.html
3、ICS-CERT发布联网视频监控系统网络安全态势报告
国家工业互联网安全应急响应中心（ICS-CERT）发布联网视频监控系统网络安全态势报告，报告从地域分布、品牌分布、威胁分布等多个角度阐述国内网络视频监控系统的安全态势情况，并针对近年来发生的网络视频监控系统安全事件起因提出了相应的风险防范和安全应对方案，给相关政府部门、组织和研究机构提供参考和借鉴。
原文链接：https://www.ics-cert.org.cn/portal/page/121/be9def54499644afb6ce4b119e5e7d42.html
4、Reddit遭黑客入侵，部分用户的数据泄露
Reddit宣布其遭黑客入侵，部分用户的数据泄露。攻击者绕过双因素认证（2FA）进入了几名员工的账户，并窃取了部分电子邮件地址、日志记录以及包含加盐哈希密码的一个2007年的数据库备份。该攻击事件发生在6月14日至6月18日之间，攻击者窃取的数据库备份包含2005年至2007年5月期间的用户数据，如账户凭据（用户名和加盐哈希密码）、电子邮件地址和公开/私人消息。在2007年5月之后注册的用户和发布的帖子被认为是安全的。
5、KickICO平台遭黑客入侵，价值约770万美元的令牌被窃
ICO平台KickICO遭到黑客入侵，超过7000万KICK令牌被窃（价值约770万美元）。根据KickICO首席执行官Anti Danilevski的说法，该攻击事件发生在7月26日星期四的UTC时间09:04。攻击者获取了开发人员的私钥，并修改智能合约的行为，摧毁了40个地址中的KICK令牌然后在40个自己的钱包中创建等量的新令牌。KickICO开发人员目前已重新获得智能合约的访问权。
原文链接：https://www.bleepingcomputer.com/news/security/kickico-platform-loses-77-million-in-recent-hack/
京公网安备11010802024551号