信息安全周报-2020年第52周
发布时间 2020-12-28> 本周安全态势综述
2020年12月21日至12月27日共收录安全漏洞56个，值得关注的是ABB Symphony Plus Operations SQL注入漏洞；D-link DSL-2888A execute_cmd.cgi OS命令注入漏洞；Zyxel USG Series默认凭据漏洞；BrowserUp Proxy Java EL表达式注入漏洞；QNAP QES CVE-2020-2499硬编码漏洞。
本周值得关注的网络安全事件是Acronis发布如何应对COVID-19的影响的报告；CISA发布SolarWinds Orion攻击事件的补充指南；SolarWinds供应链攻击活动中存在新的SUPERNOVA后门；Nintendo数据泄露，揭示曾雇佣黑客为其工作；Kaspersky发布Lazarus针对COVID-19情报的分析报告。
根据以上综述，本周安全威胁为中。
> 重要安全漏洞列表
1.ABB Symphony Plus Operations SQL注入漏洞
ABB Symphony Plus Operations存在SQL注入漏洞，允许远程攻击者可以利用漏洞提交特殊的SQL请求，操作数据库，可获取敏感信息或执行任意代码。
https://search.abb.com/library/Download.aspx?DocumentID=2PAA123980&LanguageCode=en&DocumentPartId=&Action=Launch
2.D-link DSL-2888A execute_cmd.cgi OS命令注入漏洞
D-link DSL-2888A execute_cmd.cgi存在输入验证漏洞，允许远程攻击者可以利用漏洞提交特殊的请求，可注入恶意OS命令并执行。
https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/d-link-multiple-security-vulnerabilities-leading-to-rce/
3.Zyxel USG Series默认凭据漏洞
Zyxel USG Series存在zyfwp默认账户及不可更改其密码，允许远程攻击者可以利用漏洞提交特殊的请求，未授权访问服务器。
https://businessforum.zyxel.com/discussion/5254/whats-new-for-zld4-60-patch-1-available-on-dec-15
4.BrowserUp Proxy Java EL表达式注入漏洞
BrowserUp Proxy存在输入验证漏洞，允许远程攻击者利用漏洞提交特殊的请求，可以注入任意Java EL表达式并以应用程序上下文执行任意代码。
https://github.com/browserup/browserup-proxy/commit/4b38e7a3e20917e5c3329d0d4e9590bed9d578ab
5.QNAP QES CVE-2020-2499硬编码漏洞
QNAP QES存在硬编码漏洞，允许远程攻击者利用漏洞提交特殊的请求，未授权访问系统。
https://www.qnap.com/zh-tw/security-advisory/qsa-20-19
> 重要安全事件综述
1、Acronis发布如何应对COVID-19的影响的报告
Acronis发布了如何应对COVID-19的影响的报告。Acronis在2020年6月至7月期间对全球3400家公司和远程工人进行了调查，以研究组织如何适应COVID-19对其IT运营和网络安全态势的影响。报告显示，31%的公司每天都会遭到网络攻击，69％的远程工作者需要依靠Zoom、Cisco Webex等工具进行协作，而39％的公司遭受了视频会议攻击。此外，只有2％的公司在评估网络安全解决方案时考虑使用URL过滤。
原文链接：
https://www.acronis.com/en-us/blog/posts/acronis-cyber-readiness-report-pandemic-reveals-cybersecurity-gaps-need-new-solutions
2、CISA发布SolarWinds Orion攻击事件的补充指南
CISA最初于12月17日发布了有关政府机构、关键基础设施和公司组织的APT攻击活动的警报，之后针对该紧急指令发布了补充指南。补充指南包括受影响版本的更新、针对使用第三方服务提供商的代理的指南以及对所需措施的进一步说明。此外，CISA还更新了该警报，提供了新的缓解方案并修订了IOC表格。
原文链接：
https://us-cert.cisa.gov/ncas/current-activity/2020/12/19/cisa-updates-alert-and-releases-supplemental-guidance-emergency
3、SolarWinds供应链攻击活动中存在新的SUPERNOVA后门
研究人员发现SolarWinds Orion供应链攻击活动中存在新的SUPERNOVA后门，可能来自另一个黑客组织。SUPERNOVA是植入Orion网络和应用程序监视平台代码中的Web shell，攻击者可利用该恶意软件在计算机上运行任意代码。该恶意代码仅包含一种DynamicRun方法，可将参数动态编译到内存中的.NET程序集中，因此不会在受感染设备上留下任何痕迹。经调查，SUPERNOVA没有数字签名，这与最初发现的SunBurst不同，或许属于另一黑客组织。
原文链接：
https://www.zdnet.com/article/a-second-hacking-group-has-targeted-solarwinds-systems/
4、Nintendo数据泄露，揭示曾雇佣黑客为其工作
Nintendo再次发生严重的数据泄露事件，揭示曾雇佣黑客为其工作。此次泄露的数据仍是首先出现在4chan论坛上，包含与Switch的开发相关的文件，例如Switch早期的设计参数，比如使用1G内存、480P分辨率的摄像头、兼容3DS游戏、可以通过Miracast投屏等。此外，此次泄露还揭示了任天堂曾雇佣知名的3DS黑客为其工作，甚至还制定了一份公关计划，以解决在发现该雇佣关系后如何处理公众反应。
原文链接：
https://www.videogameschronicle.com/news/nintendo-has-reportedly-suffered-another-major-data-leak-now-related-to-switch/
5、Kaspersky发布Lazarus针对COVID-19情报的分析报告
Kaspersky发布有关黑客组织Lazarus针对COVID-19情报的攻击活动的分析报告。报告指出，Lazarus于2020年9月25日入侵了一家制药公司，并于2020年10月27日攻击了政府卫生部，并损坏了两台Windows服务器。这两次攻击活动使用了不同的战术、技术和程序（TTP）以及恶意软件集群，但有证据表明都与Lazarus有关，并证明该组织对与COVID-19相关的情报感兴趣。
原文链接：
https://securelist.com/lazarus-covets-covid-19-related-intelligence/99906/
京公网安备11010802024551号