信息安全周报-2020年第36周
颁布功夫 2020-09-08> 本周安全态势综述
2020年08月31日至09月06日共收录安全缝隙56个 ，值得关注的是Gigadevice GD32F103代码执行缝隙；Gigadevice GD32F103固件提取缝隙；NETGEAR R8300号令注入缝隙；Education openSIS SQL注入缝隙；Education openSIS EmailCheck.php SQL注入缝隙。
本周值得关注的网络安全事务是工信部传递101款APP加害用户权利 ，轻松筹等平台上榜；挪威议会邮件系统遭攻击 ，工党和中心党均受影响；Cisco忠告其IOS XR存在0day并已被在野利用；Cisco Jabber存在远程执行代码缝隙 ，现已被建复；英特尔颁布微代码安全更新 ，重要合用于Win10系列。
凭据以上综述 ，本周安全威胁为中。
> 沉要安全缝隙列表
1.Gigadevice GD32F103代码执行缝隙
Gigadevice GD32F103安全�；ご嬖诎踩煜� ，允许物理能接见攻击者能够利用缝隙提交特殊的要求 ，沉定向节造流执行肆意代码。
https://www.usenix.org/system/files/woot20-paper-obermaier.pdf
2. Gigadevice GD32F103固件提取缝隙
Gigadevice GD32F103闪存读出�；ご嬖诎踩煜� ，允许物理能接见攻击者能够利用缝隙提交特殊的要求 ，可从调试接口获取固件。
https://www.usenix.org/system/files/woot20-paper-obermaier.pdf
3.NETGEAR R8300号令注入缝隙
NETGEAR R8300存在输入验证缝隙 ，允许远程攻击者能够利用缝隙提交特殊的要求 ，能够利用法式高低文执行肆意代码。
https://kb.netgear.com/000062158/Security-Advisory-for-Pre-Authentication-Command-Injection-on-R8300-PSV-2020-0211
4. Education openSIS SQL注入缝隙
Open Solutions for Education openSIS存在SQL注入缝隙 ，允许远程攻击者能够利用缝隙提交特殊的SQL要求 ，操作数据库 ，可获取敏感信息或执行肆意代码。
https://talosintelligence.com/vulnerability_reports/TALOS-2020-1081
5. Education openSIS EmailCheck.php SQL注入缝隙
Open Solutions for Education EmailCheck.php存在SQL注入缝隙 ，允许远程攻击者能够利用缝隙提交特殊的SQL要求 ，操作数据库 ，可获取敏感信息或执行肆意代码。。
https://talosintelligence.com/vulnerability_reports/TALOS-2020-1073
> 沉要安全事务综述
1、工信部传递101款APP加害用户权利 ，轻松筹等平台上榜
工业和信息化部官网颁布关于侵害用户权利行为的APP传递。蛋壳公寓、轻松筹、宝宝树生长、ZAKER新闻、网易公开课、驾考宝典、俏丽说、蚂蚁短租、快剪辑、360算帐大家、得物、搜狐视频、映客直播等101款APP存在侵害用户权利行为。这些利用软件重要涉及问题是违规网络幼我信息 ，另表还涉及APP强造、频仍、过度索取权限 ，强造用户使用定向推送职能 ，超领域网络幼我信息等问题。
原文链接：
http://tech.cnr.cn/techgd/20200831/t20200831_525234083.shtml
2、挪威议会邮件系统遭攻击 ，工党和中心党均受影响
挪威议会（Storting）颁布申明 ，暗示有黑客攻击其成员的电子邮件帐户并窃取数据。该事务在调查中 ，目前尚不明显被盗数据的数量、种类以及攻击的粉碎水平。挪威工党的Jarle RoheimH?konsen证实 ，工党成员和政客在这次攻击中均受到影响 ，同时中心党也确认其代表和员工受到了影响。
原文链接：
https://www.bleepingcomputer.com/news/security/hackers-breached-norwegian-parliament-emails-to-steal-data/
3、Cisco忠告其IOS XR存在0day并已被在野利用
思科上周六忠告说 ，其IOS XR存在一个新的0day ，目前已被黑客在野利用。该缝隙被跟踪CVE-2020-3566 ，影响了操作系统IOS XR版本附带的距离矢量组播路由和谈(DVMRP)职能 ，该版本的操作系统通常装置在电信级和数据中心路由器上。思科暗示 ，该缝隙是由于Internet组治理和谈（IGMP）数据包的队列治理不及所致 ，攻击者能够通过发送特造的IGMP流量来利用此缝隙。成功利用该缝隙可导致内存耗尽 ，从而导致其他过程（如内部和表部路由和谈）不不变。
原文链接：
https://www.zdnet.com/article/cisco-warns-of-actively-exploited-ios-xr-zero-day/
4、Cisco Jabber存在远程执行代码缝隙 ，现已被建复
Watchcom的Olav Sortland Thoresen发现Windows版Cisco Jabber中存在严沉的代码执行缝隙 ，现已被建复。该缝隙被跟踪为CVE-2020-3495 ， CVSS为9.9分 ，是由于传入新闻内容的输入验证不正确引起的。经过身份验证的远程攻击者能够使用恶意的可扩大新闻和状态和谈（XMPP）新闻利用该缝隙 ，成功利用后攻击者可在指标系统上执行肆意法式。思科产品安全事务响应幼组（PSIRT）暗示 ，该缝隙目前尚未被宽泛利用。
原文链接：
https://www.bleepingcomputer.com/news/security/cisco-fixes-critical-code-execution-bug-in-jabber-for-windows/
5、英特尔颁布微代码安全更新 ，重要合用于Win10系列
Microsoft颁布了Intel微代码更新 ，以建复Intel CPU中的硬件缝隙。这次更新颁布了八个可选更新 ，重要针对Windows 10 2004、1909、1903、1809、1803、1709、1703和1607等版本 ，建复了Amber Lake、Avoton、Broadwell和Cascade Lake等56款CPU中缝隙。此表 ，英特尔微码更新并不能通过Windows Update装置 ，必须手动装置。
原文链接：
https://www.bleepingcomputer.com/news/microsoft/new-intel-microcode-updates-for-windows-10-fix-cpu-hardware-bugs/
京公网安备11010802024551号