信息安全周报-2019年第32周
发布时间 2019-08-19> 本周安全态势综述
2019年8月12日至18日共收录安全漏洞55个,值得关注的是Microsoft Windows Remote Desktop Services CVE-2019-1181内存破坏代码执行漏洞;Microsoft Bluetooth Driver BR/EDR密钥协商漏洞;Adobe Photoshop CC多个堆溢出漏洞;SAS Web Infrastructure Platform反序列化远程代码执行漏洞;Apache httpd mod_http2内存错误应用拒绝服务漏洞。
本周值得关注的网络安全事件是微软多个供应商的40多个驱动程序存在提权漏洞;Sweet Chat意外泄露近1000万用户的照片及聊天内容;微软修复RDP服务中的新蠕虫级漏洞;HTTP/2曝出8个新漏洞,可用于发起DoS攻击;卡巴斯基杀软中的漏洞可允许跨站点跟踪用户。
> 重要安全漏洞列表
1. Microsoft Windows Remote Desktop Services CVE-2019-1181内存破坏代码执行漏洞
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-1181
2. Microsoft Bluetooth Driver BR/EDR密钥协商漏洞
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-9506
3. Adobe Photoshop CC多个堆溢出漏洞
https://helpx.adobe.com/security/products/photoshop/apsb19-44.html
4. SAS Web Infrastructure Platform反序列化远程代码执行漏洞
http://support.sas.com/kb/63/391.html
5. Apache httpd mod_http2内存错误应用拒绝服务漏洞
http://httpd.apache.org/security/vulnerabilities_24.html
> 重要安全事件综述
原文链接:https://www.bleepingcomputer.com/news/security/over-40-windows-hardware-drivers-vulnerable-to-privilege-escalation/
2、Sweet Chat意外泄露近1000万用户的照片及聊天内容
安全研究员Darryl Burke发现聊天应用Sweet Chat的一个不安全的服务器暴露了超过1000万用户的敏感信息,这些信息包括实时聊天内容以及私人照片等。Burke表示任何拥有MQTT攻击工具的人都可以在线查看这些信息。研究人员于7月21日通知了该公司,但该公司直至8月12日才对该服务器进行了临时修复。
原文链接:https://blog.burke-consulting.net/sweet-chat/
3、微软修复RDP服务中的新蠕虫级漏洞
微软在8月份的Windows安全更新中修复了94个漏洞,其中包括4个新的RDP远程代码执行漏洞(CVE-2019-1181、CVE-2019-1182、CVE-2019-1222、CVE-2019-1226)。其中CVE-2019-1181和CVE-2019-1182与5月份曝出的BlueKeep漏洞(CVE-2019-0708)类似,可实现蠕虫化攻击,受影响的系统版本包括win 7 SP1、win 8.1、win 10以及windows server 2008 R2 SP1、2012、2012 R2、2016及2019等。XP、windows server 2003及2008不受影响。目前尚未发现这些漏洞在野外被利用,但微软强烈建议用户尽快更新修复补丁。
原文链接:https://www.bleepingcomputer.com/news/security/microsoft-fixes-critical-windows-10-wormable-remote-desktop-flaws/
4、HTTP/2曝出8个新漏洞,可用于发起DoS攻击
研究人员披露HTTP/2协议实现中的8个新漏洞,攻击者可利用这些漏洞向未修补的服务器发起拒绝服务攻击。这些漏洞(CVE-2019-9511~CVE-2019-9518)是由Netflix研究员Jonathan Looney以及Google研究员Piotr Sikora发现的,可用于触发服务器的资源耗尽,但不能用于入侵服务器。根据CERT发布的公告,受影响的厂商包括NGINX、Apache、H2O、Nghttp2、Microsoft(IIS)、Cloudflare、Akamai、Apple(SwiftNIO)、Amazon、Facebook(Proxygen)、Node.js以及Envoy proxy,大多数厂商都已经发布了修复补丁。
原文链接:https://thehackernews.com/2019/08/http2-dos-vulnerability.html
5、卡巴斯基杀软中的漏洞可允许跨站点跟踪用户
原文链接:https://thehackernews.com/2019/08/kaspersky-antivirus-online-tracking.html