信息清静周报-2019年第37周
宣布时间 2019-09-23> 本周清静态势综述
2019年9月16日至22日共收录清静误差43个，，，，，值得关注的是Fastjson<=1.2.60远程代码执行误差；；；；；；e-cology远程代码执行误差；；；；；；CODESYS V3 Web Server栈溢出误差；；；；；；VMware ESXi 'busybox'下令注入误差；；；；；；Schneider Electric BMXNOR0200H Ethernet/Serial RTU module拒绝效劳误差。 。。。 。。。
本周值得关注的网络清静事务是厄瓜多尔大部分公民隐私泄露，，，，，包括670万儿童信息；；；；；；狮子航空公司数万万用户纪录在暗网泄露；；；；；；MITRE宣布2019年CWE最危险软件过失列表Top25；；；；；；AMD Radeon驱动程序被曝保存虚拟机逃逸误差；；；；；；三星和LG智能装备将用户敏感数据发送到相助公司。 。。。 。。。
凭证以上综述，，，，，本周清静威胁为中。 。。。 。。。
> 主要清静误差列表
1. Fastjson<=1.2.60远程代码执行误差
Fastjson保存反序列化误差，，，，，允许远程攻击者使用误差提交特殊的请求，，，，，可使应用程序崩�；；；；；；蛑葱许б獯搿� 。。。 。。。
https://github.com/alibaba/fastjson/commit/05a7aa7f748115018747f7676fd2aefdc545d17a
2. e-cology远程代码执行误差
e-cology BeanShell组件保存清静误差，，，，，允许远程攻击者使用误差提交特殊的请求，，，，，可执行恣意下令。 。。。 。。。
https://help.aliyun.com/noticelist/articleid/1060057523.html?spm=5176.2020520154.sas.20.36a91e43Zt9Vx7
3. CODESYS V3 Web Server栈溢出误差
CODESYS V3 Web Servers保存栈溢出误差，，，，，允许远程攻击者可以使用误差提交特殊的请求，，，，，可执行恣意代码或使应用程序瓦解。 。。。 。。。
https://www.codesys.com/fileadmin/data/customers/security/2019/Advisory2019-06_CDS-64543.pdf
4. VMware ESXi 'busybox'下令注入误差
VMware ESXi 'busybox'处置惩罚文件名保存清静误差，，，，，允许远程攻击者可以使用误差提交特殊的请求，，，，，可执行恣意下令。 。。。 。。。
https://www.vmware.com/security/advisories/VMSA-2019-0013.html
5. Schneider Electric BMXNOR0200H Ethernet/Serial RTU module拒绝效劳误差
Schneider Electric BMXNOR0200H Ethernet/Serial RTU module处置惩罚大宗IEC 60870-5-104报文保存清静误差，，，，，允许远程攻击者可以使用误差提交特殊的请求，，，，，可使应用程序瓦解。 。。。 。。。
https://www.schneider-electric.com/en/download/document/SEVD-2019-225-03/
> 主要清静事务综述
1、厄瓜多尔大部分公民隐私泄露，，，，，包括670万儿童信息
研究职员发明一家外地公司Novaestrat的Elasticsearch效劳器袒露了厄瓜多尔大大都公民的隐私信息。 。。。 。。。厄瓜多尔的生齿基数为1660万，，，，，而该数据库包括近2080万条用户纪录，，，，，凌驾了该国的生齿数据，，，，，其缘故原由是数据库中包括一些重复纪录和殒命公民的纪录。 。。。 。。。泄露的数据包括姓名、家庭成员/家族树、公民注册数据、财务及事情信息、车辆信息等。 。。。 。。。数据库中还包括政府员工信息和677万儿童信息，，，，，以及700万条财务纪录和250万条车辆纪录。 。。。 。。。
原文链接：
https://www.zdnet.com/article/database-leaks-data-on-most-of-ecuadors-citizens-including-6-7-million-children/
2、狮子航空公司数万万用户纪录在暗网泄露
狮子航空旗下两家航空公司的数万万条游客纪录在暗网论坛上泄露。 。。。 。。。这些数据存储在可果真会见的Amazon存储桶中，，，，，共有两个数据库，，，，，一个包括2100万条纪录，，，，，另一个包括1400万条纪录，，，，，该目录下还包括2019年5月份建设的备份文件，，，，，主要属于Malindo Air和Thai Lion Air。 。。。 。。。另一个备份文件的名称是Batik Air，，，，，该公司的母公司也是狮子航空。 。。。 。。。泄露的信息包括游客的预订ID、栖身地点、电话号码、邮箱地点、姓名、出生日期、护照号码和到期日期等。 。。。 。。。现在还不清晰这些数据首次泄露的时间，，，，，但据称至少从8月10日起该数据库已在论坛上流通。 。。。 。。。
原文链接：
https://www.bleepingcomputer.com/news/security/millions-of-lion-air-passenger-records-exposed-and-exchanged-on-forums/
3、MITRE宣布2019年CWE最危险软件过失列表Top25
非营利组织MITER宣布2019年最危险的软件误差和过失列表Top25。 。。。 。。。凭证MITRE，，，，，最危险的软件过失是CWE-119，，，，，它被形貌为“对内存缓冲区界线内操作的不准确限制”，，，，，即缓冲区溢出导致的越界读或写。 。。。 。。。排在第二位的是CWE-79，，，，，被形貌为“网页天生时代输入造成的不准确反应”，，，，，即XSS攻击。 。。。 。。。第三名则是CWE-20，，，，，即“不准确的输入验证”。 。。。 。。。该列表是基于MITER数据库中的CVE数据及NVD数据库和CVSS获得的信息，，，，，总共有约莫2.5万个CVE提供了源数据。 。。。 。。。完整列表请参考以下链接。 。。。 。。。
原文链接：
https://www.zdnet.com/article/these-software-vulnerabilities-top-mitres-most-dangerous-list-in-2019/
4、AMD Radeon驱动程序被曝保存虚拟机逃逸误差
思科Talos披露AMD ATI Radeon ATIDXX64.DLL驱动程序中的虚拟机逃逸误差。 。。。 。。。该误差保存于AMD Radeon RX 550及550系列显卡中，，，，，并且只能在运行VMWare Workstation 15时触发。 。。。 。。。研究职员诠释称，，，，，可在VMware虚拟机系统中通过恶意像素着色器在AMD ATIDXX64.DLL驱动程序中触发内存越界写入，，，，，这可能会触发VMware来宾模式的误差，，，，，从而在宿主机上执行代码。 。。。 。。。该误差影响了ATIDXX64.DLL驱动程序版本25.20.15031.5004和25.20.15031.9002。 。。。 。。。该误差（CVE-2019-5049）的CVSS评分为9.0。 。。。 。。。
原文链接：
https://threatpost.com/amd-radeon-cards-vmware-workstations/148406/
5、三星和LG智能装备将用户敏感数据发送到相助公司
研究职员发明纵然是在装备闲置时，，，，，三星、LG和Roku等公司的智能电视也会向相助的科技公司发送敏感的用户数据。 。。。 。。。凭证两个团队的自力研究，，，，，智能电视的OTT平台会将用户的敏感数据泄露给Facebook、亚马逊、谷歌和Netflix等公司。 。。。 。。。第一份报告研究了81台装备，，，，，发明有72台装备将数据发送到非制造商的其它公司。 。。。 。。。第二份报告发明从智能电视发送的数据也与谷歌和Facebook治理的跟踪器有关，，，，，研究职员称89%的Amazon Fire TV频道和69%的Roku频道都包括用于跟踪用户收看习惯和偏好信息的跟踪器。 。。。 。。。这些跟踪器还可以识别装备和使用位置，，，，，包括装备序列号和ID、Wi-Fi名称和MAC地点等。 。。。 。。。
原文链接：
https://threatpost.com/smart-tvs-leak-data/148482/
京公网安备11010802024551号