信息安全周报-2021年第3周
发布时间 2021-01-18> 本周安全态势综述
2021年01月11日至01月17日共收录安全漏洞70个，值得关注的是Microsoft Word CVE-2021-1715代码执行漏洞；Siemens JT2Go JT解析类型混淆代码执行漏洞；Cisco Connected Mobile Experiences CVE-2021-1144权限提升漏洞；Adobe Photoshop堆缓冲区溢出代码执行漏洞；Xiaomi AX1800登录验证绕过漏洞。
本周值得关注的网络安全事件是新西兰储备银行遭到攻击，敏感信息或已泄露；联合国环境规划署的Git存储库泄露超过10万个的员工信息；Socialarks泄露400GB数据，影响全球2亿多用户；新SolarLeaks网站出售SolarWinds供应链攻击中的历史数据；Skype在全球范围内服务中断，原因尚不明确。
根据以上综述，本周安全威胁为中。
> 重要安全漏洞列表
1.Microsoft Word CVE-2021-1715代码执行漏洞
Microsoft Word存在安全漏洞，允许远程攻击者利用漏洞提交特殊的文件请求，诱使用户解析，可以应用程序上下文执行任意代码。
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-1715
2.Siemens JT2Go JT解析类型混淆代码执行漏洞
Siemens JT2Go JT文件解析存在类型混淆漏洞，允许远程攻击者利用漏洞提交特殊的文件请求，可以应用程序上下文执行任意代码。
https://us-cert.cisa.gov/ics/advisories/icsa-21-012-03
3.Cisco Connected Mobile Experiences CVE-2021-1144权限提升漏洞
Cisco Connected Mobile Experiences更改密码授权存在安全漏洞，允许远程攻击者利用漏洞提交特殊的请求，可更改任意用户密码，提升特权。
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cmxpe-75Asy9k
4.Adobe Photoshop堆缓冲区溢出代码执行漏洞
Adobe Photoshop处理文件存在堆缓冲区溢出漏洞，允许远程攻击者利用漏洞提交特殊的文件请求，诱使用户解析，可使应用程序崩溃或以应用程序上下文执行任意代码。
https://helpx.adobe.com/security/products/photoshop/apsb21-01.html
5.Xiaomi AX1800登录验证绕过漏洞
Xiaomi AX1800存在路由器重启后时间不同步的问题，允许远程攻击者利用漏洞提交特殊的请求，可绕过登录验证未授权访问。
https://privacy.mi.com/trust#/security/vulnerability-management/vulnerability-announcement/detail?id=22&locale=en
> 重要安全事件综述
1、新西兰储备银行遭到攻击，敏感信息或已泄露
位于惠灵顿的新西兰储备银行于周日声称其遭到攻击。据悉，该银行用来共享和存储敏感信息的第三方文件共享服务的数据系统遭到破坏，黑客可能已经访问了其中的商业和个人敏感信息。目前，该系统已被脱机保护，直到银行完成其初步调查为止才会恢复。该银行表示其正在确定泄露信息的范围，并且拒绝透露有关此次攻击更多的细节。
原文链接：
https://www.securityweek.com/new-zealand-central-bank-hit-cyber-attack
2、联合国环境规划署的Git存储库泄露超过10万个的员工信息
该公开的git目录中包含了大量敏感文件，如与环境署和联合国国际劳工组织其他在线系统相关的纯文本数据库凭据，管理员的数据库凭据和环境署的源代码库等。此外，此次事件还泄露了员工的PII，如员工旅行历史、人口统计数据（国籍、性别和薪级）、项目资金来源记录、员工记录和就业评估报告等。
原文链接：
https://www.bleepingcomputer.com/news/security/united-nations-data-breach-exposed-over-100k-unep-staff-records/
3、Socialarks泄露400GB数据，影响全球2亿多用户
安全公司Safety Detectives发现，中国初创公司Socialarks（笨鸟社交）泄露了400GB数据。此次数据泄露是由于ElasticSearch数据库设置错误，泄露了总计408GB，超过3.18亿条用户记录，涉及到11651162个Instagram用户、66117839个领英用户和81551567个Facebook用户。值得注意的是，Socialarks在2020年8月也发生了类似的事件，泄露了1.5亿个用户的个人数据。
原文链接：
https://www.safetydetectives.com/blog/socialarks-leak-report/
4、新SolarLeaks网站出售SolarWinds供应链攻击中的历史数据
新SolarLeaks网站出售SolarWinds供应链攻击中Microsoft、Cisco、FireEye和SolarWinds等公司的失窃数据。该网站以60万美元的价格出售Microsoft源代码和存储库，以5万美元的价格出售FireEye的源代码和红队工具，以25万美元的价格出售SolarWinds源代码和客户门户，并以100万美元的价格出售全部泄露数据。solarleaks.net域是通过俄罗斯Fancy Bear和Cozy Bear使用的已知注册商NJALLA进行注册。
原文链接：
https://www.bleepingcomputer.com/news/security/solarleaks-site-claims-to-sell-data-stolen-in-solarwinds-attacks/
5、Skype在全球范围内服务中断，原因尚不明确
1月13日上午，Skype在全球范围内服务中断，目前该问题已被解决。根据在线消息平台DownDetector统计，中断主要集中在美国、欧洲、亚洲和世界其他地区。用户在访问Skype网站时，会显示我们无法完成您的请求的提示。Microsoft在Skype状态页上表示发现了该问题，其影响了Skype登录、呼叫、消息、搜索、移动共享、支付系统、SMS和其他服务。问题现已恢复，Skype可再次联机。
原文链接：
https://www.bleepingcomputer.com/news/microsoft/skype-is-down-worldwide-microsoft-working-on-issues/
京公网安备11010802024551号