博通Wi-Fi芯片KrØØk加密漏洞,影响超过十亿台设备;英国金融监管机构承认泄露消费者隐私信息

发布时间 2020-02-27

1.博通Wi-Fi芯片KrØØk加密漏洞,影响超过十亿台设备



ESET研究人员在Broadcom(博通)和Cypress的Wi-Fi芯片中发现新漏洞KrØØk,该漏洞(CVE-2019-15126)可导致易受攻击的设备使用全零加密密钥来加密用户的部分通信信息。在成功的攻击中,攻击者可以解密由易受攻击的设备传输的某些无线网络数据包。该漏洞影响的设备包括亚马逊(Echo、Kindle)、苹果(iPhone、iPad、MacBook)、谷歌(Nexus)、三星(Galaxy)、树莓派(Pi 3)、小米(RedMi)的某些客户端设备以及华硕和华为的某些AP和路由器设备,保守估计有超过十亿设备受影响。Cypress已经向供应商发布了固件修复程序,用户可通过其设备制造商获取相应更新。研究人员没有在高通、Realtek、Ralink和Mediatek的WiFi芯片中发现该漏洞。


原文链接:

https://www.welivesecurity.com/2020/02/26/krook-serious-vulnerability-affected-encryption-billion-wifi-devices/


2.Exchange Server远程代码执行漏洞(CVE-2020-0688)



ZDI披露微软Exchange Server中远程代码执行漏洞(CVE-2020-0688)的技术细节。微软最初称该漏洞是由内存损坏导致的,但后来将描述修正为该漏洞是由Exchange Server在安装时未能正确创建唯一的加密密钥导致的。该漏洞存在于Exchange控制面板(ECP)组件中,由于使用了静态密钥,经过身份验证的攻击者可以诱使服务器反序列化恶意制作的ViewState数据,从而在服务器上ECP应用(SYSTEM权限)的上下文中执行任意.NET代码。


原文链接:

https://www.zerodayinitiative.com/blog/2020/2/24/cve-2020-0688-remote-code-execution-on-microsoft-exchange-server-through-fixed-cryptographic-keys


3.Verizon发布2020年移动安全指数报告



根据Verizon的2020年移动安全指数报告,2019年全球有五分之二(39%)的企业在移动安全方面遭受重大损害,其中许多是通过IoT设备进行的。该报告指出遭受损害(成功的攻击导致“系统防御失效”)的企业所占百分比从2018年的27%上升,攻击的主要结果包括停机(59%)、数据丢失(56%)和其他设备受到损害(46%)。在其它方面,不安全的Wi-Fi热点仍然是网络安全风险的主要来源(20%)。网络钓鱼也是一个主要威胁,但在移动设备上只有一小部分(15%)的攻击是通过电子邮件发送的,更多(85%)的钓鱼攻击则是通过聊天、生产力工具、游戏等应用发生的。


原文链接:

https://enterprise.verizon.com/resources/reports/mobile-security-index/


4.趋势科技发布2019年度安全综述报告



根据趋势科技发布的2019年度安全综述报告,该公司在2019年阻止了超过520亿次不同的网络威胁,其中有6100万次与勒索软件攻击有关。电子邮件仍然是最受欢迎的威胁媒介,占所有威胁的91%。2019年趋势科技检测到的电子邮件威胁比2018年增长了15%,其中BEC攻击的检测数量增长了5%。尽管新勒索软件家族的数量同比下降了55%,但检测到新变种的总体数量却增长了10%。2019年恶意Android应用程序增长了6%,达到近3200万,其中有数百万的下载来自官方Play商店。


原文链接:

https://documents.trendmicro.com/assets/rpt/rpt-the-sprawling-reach-of-complex-threats.pdf


5.英国金融监管机构承认泄露消费者隐私信息



周二英国金融行为监管局(FCA)承认发生数据泄露事件,它表示错误地公布了约1600名向监管机构提交投诉的消费者隐私信息。FCA称,其网站错误地允许访问者查看投诉者的姓名、地址和电话号码,以及他们在截至2019年7月的18个月中所投诉的详细信息。这些数据于去年11月至本月之间可公开访问,但FCA补充称没有消费者的财务信息泄露。


原文链接:

https://www.securityweek.com/uk-financial-regulator-admits-data-breach


6.三星英国官网泄露个人数据,或因“技术错误”



三星宣布因英国官网(http://samsung.com/UK)上出现“技术错误”,导致约150名用户的个人信息泄露,但没有透露信息被外泄有多长时间。据美联社报道,泄露的信息包括用户的姓名、电话号码、地址、电子邮件地址和过往的订单资料,但不涉及信用卡信息。


原文链接:

https://securityaffairs.co/wordpress/98501/data-breach/samsung-data-leak.html