狮子航空公司数万万用户纪录在暗网泄露；；； ；研究职员在13款路由器和NAS装备中发明125个误差
宣布时间 2019-09-181.研究职员在13款路由器和NAS装备中发明125个误差
研究职员在13款SOHO路由器和NAS装备中发明125个新误差，，，，该研究是SOHOpelessly Broken 2.0项目的一部分。 。。。。研究职员发明的误差清单包括授权绕过、身份验证绕过、缓冲区溢出、下令注入、SQL注入（SQLi）、XSS、CSRF和路径遍历误差。 。。。。受影响的品牌包括Buffalo、群晖、TerraMaster、Zyxel、Drobo、华硕及其子品牌Asustor、希捷、QNAP、遐想、网件、小米和Zioncom（TOTOLINK）。 。。。。研究职员向受影响的供应商披露了这些误差，，，，大大都供应商迅速回应并修复了误差，，，，但Drobo、Buffalo和Zioncom尚未举行回应。 。。。。
原文链接：
https://thehackernews.com/2019/09/hacking-soho-routers.html
2.3S-Smart修复CODESYS工业产品中的多个误差
美国CISA宣布了关于德国3S-Smart厂商制造的CODESYS工业产品中多个误差的清静咨询，，，，其中许多误差可被用于提倡远程代码执行、DoS攻击等。 。。。。受影响的软件被许多第三方供应商用于数百种工业产品中。 。。。。误差包括CODESYS ENI效劳器中的缓冲区溢出误差，，，，该误差可被低手艺水平的攻击者远程使用以提倡代码执行或DoS攻击；；； ；CODESYS V3自动化平台的网关组件中的DoS误差；；； ；Web效劳器组件中的可用于会见文件、触发效劳器崩�；；； ；蛑葱许б獯氲奈蟛畹�。 。。。。3S-Smart体现尚未发明任何针对这些误差的果真使用，，，，但至少有一个清静误差有足够的果真信息可用于开发误差使用。 。。。。所有误差都已通过软件更新举行修复，，，，只有一个误差预计将在2020年2月更新修复。 。。。。
原文链接：
https://www.securityweek.com/serious-flaws-codesys-products-expose-industrial-systems-remote-attacks
3.狮子航空公司数万万用户纪录在暗网泄露
狮子航空旗下两家航空公司的数万万条游客纪录在暗网论坛上泄露。 。。。。这些数据存储在可果真会见的Amazon存储桶中，，，，共有两个数据库，，，，一个包括2100万条纪录，，，，另一个包括1400万条纪录，，，，该目录下还包括2019年5月份建设的备份文件，，，，主要属于Malindo Air和Thai Lion Air。 。。。。另一个备份文件的名称是Batik Air，，，，该公司的母公司也是狮子航空。 。。。。泄露的信息包括游客的预订ID、栖身地点、电话号码、邮箱地点、姓名、出生日期、护照号码和到期日期等。 。。。。现在还不清晰这些数据首次泄露的时间，，，，但据称至少从8月10日起该数据库已在论坛上流通。 。。。。
原文链接：
https://www.bleepingcomputer.com/news/security/millions-of-lion-air-passenger-records-exposed-and-exchanged-on-forums/
4.数千名用户的谷歌日历因设置过失袒露敏感信息
印度清静研究员Avinash Jain发明数以千计的谷歌用户意外果真了其谷歌日历，，，，导致敏感信息泄露。 。。。。该问题是由过失设置的谷歌日历导致的，，，，可果真会见意味着可通过公共引擎举行搜索（包括谷歌），，，，允许任何人会见其中的隐私或是使用恶意信息或链接添加新事务。 。。。。Jain发明有凌驾8000个谷歌日历可果真会见，，，，其中200多个袒露了大宗隐私信息，，，，例如电子邮件ID、活动名称、活动详情、位置、zoom聚会链接、内部演示链接等。 。。。。
原文链接：
https://thehackernews.com/2019/09/google-calendar-search.html
5.研究职员发明2430万患者的医疗影像信息在网上袒露
Greenbone Networks研究职员发明数万万患者的X射线、CT和MRI扫描图像在全球医疗效劳机构的数百台效劳器上袒露。 。。。。凭证该团队在已往两个月的研究，，，，全球2300个医疗影像存档系统中有590个可果真会见，，，，其中包括52个差别国家的2430万名患者纪录。 。。。。袒露的信息包括患者的姓名、出生日期、检查日期、主治医生以及有关检查目的的一些医疗信息。 。。。。别的，，，，1370万条纪录中包括美国患者的社会清静号码。 。。。�；；； ；颊呒吐贾泄亓囊搅朴跋窳杓�7.37亿个，，，，其中约4亿个可通过互联网下载。 。。。。在某些情形下，，，，效劳器甚至允许通过未加密的HTTP毗连下载患者数据。 。。。。
原文链接：
https://www.grahamcluley.com/medical-images-and-details-of-24-3-million-patients-left-exposed-on-the-internet/
6.恶意软件Gootkit因设置过失导致数据库在网上袒露
恶意软件Gootkit背后的犯法团伙意外将MongoDB数据库毗连到互联网而没有设置密码，，，，这使得清静研究员Bob Diachenko能够下载这些数据和深入剖析其攻击活动。 。。。。Gootkit的主要功效是从浏览器窃取数据，，，，包括历史浏览纪录、密码、cookie文件、信用卡信息等，，，，它支持多种主流浏览器。 。。。。7月份该恶意软件的两个C2效劳器可果真会见，，，，并一连了一周的时间，，，，现在还不清晰是该团伙遗忘设置密码照旧效劳器防火墙泛起故障。 。。。。这两台效劳器都运行MongoDB，，，，其内容似乎聚合了三个Gootkit子僵尸网络的数据，，，，涵盖总共38653个受熏染的主机。 。。。。数据库中包括该恶意软件窃取的信用卡信息、用户名和凭证、受熏染主机的设置文件、cookie文件、用户屏幕截图等。 。。。。
原文链接：
https://www.zdnet.com/article/gootkit-malware-crew-left-their-database-exposed-online-without-a-password/
京公网安备11010802024551号