《维他命》每日安全简讯20190117
发布时间 2019-01-17
1、机票预订系统Amadeus严重漏洞，影响全球141家航空公司
以色列安全研究员Noam Rotem发现机票预订系统Amadeus存在一个严重的安全漏洞，可导致用户信息泄露和账户更改。Rotem在以色列航空公司ELAL预订机票时发现了这一问题，在预订航班后，旅客会收到PNR号码和用于查看预订信息的链接。Rotem发现通过将该链接上的RULE_SOURCE_1_ID参数修改为其它人的PNR号码即可查看他人的预订信息，攻击者还可利用这些信息访问ELAL门户网站并更改受害者的账户信息，包括兑换里程、更改邮件地址和电话号码等。由于Amadeus开发的机票预订系统被全球至少141家航空公司使用（包括美国联合航空公司、德国汉莎航空公司和加拿大航空公司等），因此该漏洞可能影响了数亿旅客。目前Amadeus已经修复了该问题。
2、OVH、Dreamhost等五大托管服务商存在多个安全漏洞
3、研究团队披露楼宇自动化系统BAS中的6个0day
ForeScout研究团队发现楼宇自动化系统（BAS）中的6个0day。这些漏洞存在于BAS的PLC和网关协议等组件中，漏洞范围包括XSS、路径遍历、任意文件删除和身份验证绕过，攻击者可利用这些漏洞窃取敏感信息、访问或删除关键文件和执行恶意操作等。研究人员通过Shodan和Censys发现了超过9000个易受攻击的设备，此外还有超过1万个IP摄像机易受攻击。BAS系统不仅用于住宅和商业建筑中，还存在于医院、机场、学校和数据中心等。建议用户尽快安装修复补丁。
4、堡垒之夜多个漏洞可允许攻击者接管玩家账户
Check Point研究人员发现Fortnite（堡垒之夜）中的多个安全漏洞，其中一个漏洞可导致远程攻击者完全接管玩家的账号。根据研究人员的说法，漏洞的范围包括SQL注入、XSS、WAF绕过以及账户接管。研究人员称Epic Games子域上的xss和恶意重定向问题允许攻击者通过欺骗用户点击恶意链接来窃取用户的身份验证令牌。Fortnite在全球拥有8000万玩家，这些用户都可能受到影响。Epic Games已在2018年12月中旬修复了这些漏洞。
5、VoIP服务商VOIPO意外泄露过去四年的客户数据
研究人员Justin Paine通过Shodan发现一个可公开访问的ElasticSearch数据库，该数据库属于VoIP服务商VOIPO，其中包含了该公司过去四年的客户数据。根据Paine的说法，该数据库包含可追溯至2017年7月的670万条通话记录、可追溯至2015年12月的600万条短信/彩信日志以及100万条包含内部系统API KEY的日志。研究人员于1月8日向VOIPO通报了这一发现，该公司在同一天将数据库进行了脱机保护。
6、Magecart Group 12通过供应链攻击感染277个电子商务网站
声明：本资讯由启明星辰维他命安全小组翻译和整理
以色列安全研究员Noam Rotem发现机票预订系统Amadeus存在一个严重的安全漏洞，可导致用户信息泄露和账户更改。Rotem在以色列航空公司ELAL预订机票时发现了这一问题，在预订航班后，旅客会收到PNR号码和用于查看预订信息的链接。Rotem发现通过将该链接上的RULE_SOURCE_1_ID参数修改为其它人的PNR号码即可查看他人的预订信息，攻击者还可利用这些信息访问ELAL门户网站并更改受害者的账户信息，包括兑换里程、更改邮件地址和电话号码等。由于Amadeus开发的机票预订系统被全球至少141家航空公司使用（包括美国联合航空公司、德国汉莎航空公司和加拿大航空公司等），因此该漏洞可能影响了数亿旅客。目前Amadeus已经修复了该问题。
原文链接：
https://thehackernews.com/2019/01/airlines-flight-hacking.html2、OVH、Dreamhost等五大托管服务商存在多个安全漏洞
安全研究人员Paulos Yibelo发现全球五大托管服务商（Bluehost、Dreamhost、HostGator、OVH和iPage）存在多个安全漏洞，使得它们的客户和托管的网站面临黑客攻击的风险。这些服务商大概托管了700万个网站。Yibelo共发现了约12个漏洞，包括CORS配置不当导致的信息泄露、账户接管、中间人攻击、XSS、API配置错误和CSP绕过等。Yibelo向这些服务商报告了他的调查结果，目前除了OVH尚未进行回应之外，其它服务商已经修复了漏洞。
原文链接：
https://thehackernews.com/2019/01/web-hosting-server-security.html3、研究团队披露楼宇自动化系统BAS中的6个0day
ForeScout研究团队发现楼宇自动化系统（BAS）中的6个0day。这些漏洞存在于BAS的PLC和网关协议等组件中，漏洞范围包括XSS、路径遍历、任意文件删除和身份验证绕过，攻击者可利用这些漏洞窃取敏感信息、访问或删除关键文件和执行恶意操作等。研究人员通过Shodan和Censys发现了超过9000个易受攻击的设备，此外还有超过1万个IP摄像机易受攻击。BAS系统不仅用于住宅和商业建筑中，还存在于医院、机场、学校和数据中心等。建议用户尽快安装修复补丁。
原文链接：
https://www.bleepingcomputer.com/news/security/zero-day-vulnerabilities-leave-smart-buildings-open-to-cyber-attacks/4、堡垒之夜多个漏洞可允许攻击者接管玩家账户
Check Point研究人员发现Fortnite（堡垒之夜）中的多个安全漏洞，其中一个漏洞可导致远程攻击者完全接管玩家的账号。根据研究人员的说法，漏洞的范围包括SQL注入、XSS、WAF绕过以及账户接管。研究人员称Epic Games子域上的xss和恶意重定向问题允许攻击者通过欺骗用户点击恶意链接来窃取用户的身份验证令牌。Fortnite在全球拥有8000万玩家，这些用户都可能受到影响。Epic Games已在2018年12月中旬修复了这些漏洞。
原文链接：
https://thehackernews.com/2019/01/fortnite-account-hacked.html5、VoIP服务商VOIPO意外泄露过去四年的客户数据
研究人员Justin Paine通过Shodan发现一个可公开访问的ElasticSearch数据库，该数据库属于VoIP服务商VOIPO，其中包含了该公司过去四年的客户数据。根据Paine的说法，该数据库包含可追溯至2017年7月的670万条通话记录、可追溯至2015年12月的600万条短信/彩信日志以及100万条包含内部系统API KEY的日志。研究人员于1月8日向VOIPO通报了这一发现，该公司在同一天将数据库进行了脱机保护。
原文链接：
https://thehackernews.com/2019/01/voip-service-database-hacking.html6、Magecart Group 12通过供应链攻击感染277个电子商务网站
根据RiskIQ和趋势科技的报告，一个新的Magecart犯罪团伙（Magecart Group 12）通过供应链攻击成功感染了近277个电子商务网站。遭到Magecart Group 12攻击的是法国在线广告公司Adverline提供的JavaScript库。欧洲数百个电子商务网站都利用Adverline的服务来展示广告。在接到通知后，Adverline立刻从其JavaScript库中删除了恶意代码。研究人员在报告中还发布了与Magecart Group 12相关的IoC。
原文链接：
https://thehackernews.com/2019/01/magecart-hacking-credit-cards.html声明：本资讯由启明星辰维他命安全小组翻译和整理
京公网安备11010802024551号