网络空间安全:行业资讯、技术分享、法规研讨、趋势分析……

“游侠安全网”创建了网络安全从业者QQ大群(群号:1255197) ,欢迎各位同仁加入!有其它问题如合作等,请联系站长“网路游侠”,QQ:55984512


【安全帮】SaltStack远程命令执行漏洞(CVE-2020-11651、CVE-2020-11652)通告

2020-05-04 09:30 推荐: 浏览: 173 views 字号:

摘要: ——更多安全资讯和情报,可关注微信公众号:安全帮—— SaltStack远程命令执行漏洞(CVE-2020-11651、CVE-2020-11652)通告 近日国外某安全团队披露了SaltStack存在认证绕过漏洞(CVE-2020-11651)和目录遍历...

——更多安全资讯和情报,可关注微信公众号:安全帮——

  1. SaltStack远程命令执行漏洞(CVE-2020-11651CVE-2020-11652)通告

近日国外某安全团队披露了SaltStack存在认证绕过漏洞(CVE-2020-11651)和目录遍历漏洞(CVE-2020-11652)。在CVE-2020-11651认证绕过漏洞中,攻击者通过构造恶意请求,可以绕过Salt Master的验证逻辑,调用相关未授权函数功能,从而可以造成远程命令执行漏洞。在CVE-2020-11652目录遍历漏洞中,攻击者通过构造恶意请求,读取服务器上任意文件。建议相关用户尽快更新补丁。

参考来源:

https://mp.weixin.qq.com/s/VULk8JtGq5QInW_y96VTPA

 

  1. 为打击垃圾扩展程序 谷歌修改Chrome网上应用商店政策

Chrome Web Store 拥有目前业内最丰富的浏览器扩展资源,但其中也混入了不少具有欺骗性质、甚至带有恶意的垃圾扩展。 好消息是,为了打击这些恶意扩展程序,谷歌已经宣布了新的 Chrome 网上应用店政策。根据新订的规则,店中超过 20 万个扩展程序的开发人员,必须在 8 月 27 日前实施必要的更改,否则可能被谷歌官方下架。

参考来源:

https://news.pconline.com.cn/1340/13401404.html

 

  1. 恶意攻击活动PhantomLance,疑似与APT组织OceanLotus有关

卡巴斯基研究人员在Google Play中发现了数十款与PhantomLance相关的恶意应用,其中包含新的木马。此外,在APK下载网站APKpure上也发现了恶意应用,恶意应用主要通过应用程序市场进行分发。一些迹象表明,APT组织OceanLotus,也就是APT32,参与其中。特别是PhantomLance有效负载与旧版OceanOtus Android攻击活动的有效负载相似度为20%,后门基础设施也有部分重叠。

参考来源:

https://securelist.com/apt-phantomlance/96772/

 

  1. 黑客破坏公司的MDM服务器以传播Android恶意软件

攻击者使用公司的受害移动设备管理器(MDM)服务器,通过Cerberus银行木马感染了跨国集团管理的Android设备中超过75%的设备。Cerberus银行木马于2019年6月首次发现,  它使用恶意软件即服务(MaaS)商业模型,允许租借其服务的客户丢弃其有效载荷,并配置和控制在攻击过程中遭到破坏的设备。

参考来源:

https://www.bleepingcomputer.com/news/security/hackers-breach-company-s-mdm-server-to-spread-android-malware/

 

  1. 富士通发布智能建筑集成新平台

富士通RunMyProcess于2020年4月28日在柏林创新局(BIA)智能城市中心在线会议上演示智能建筑集成的最新可行产品(MVP)版本。RunMyProcess服务门户旨在使设施管理员可以查看、预定和管理建筑物或园区中的所有物理和数字服务,目的使增加功能,并将其集成到更广泛的智慧城市数字环境中。

参考来源:

http://security.asmag.com.cn/news/202004/103545.html

 

  1. MozillaFirefox服务将为在线表格生成唯一电邮地址

Mozilla 新 Firefox 服务 Private Relay 将为在线表格生成随机电邮地址,保护用户真正的电邮地址免受广告商和垃圾信息发送者的侵扰。该服务上个月开始测试,目前处于封闭式测试阶段,计划今年晚些时候公测。Mozilla 表示它会将随机电邮地址的邮件转发给用户真正的邮箱,如果用户收到的邮件是垃圾信息,用户可以删除这个电邮地址。

参考来源:

https://www.cnbeta.com/articles/tech/974573.htm

 

  1. 现代关键基础设施的混合威胁和脆弱性:大规模侵扰武器

2019年11月,欧盟与北约资助的独立智库欧洲应对混合威胁卓越中心负责“脆弱性和弹性”研究部门总监尤卡·萨沃莱宁发表了《现代关键基础设施的混合威胁和脆弱性–大规模侵扰武器?》,总结了该部门成立两年来对关键基础设施脆弱性和弹性的研究成果。据悉,该部门致力于了解欧盟与北约成员国关键基础设施的脆弱性,并通过共享最佳解决方案来提高其抵御能力。

参考来源:

https://www.secrss.com/articles/19177

 

联系站长租广告位!

中国首席信息安全官