MacOS 0day可模拟鼠标点击以执行恶意代码；SUPRA智能电视严重漏洞，可导致设备被劫持
发布时间 2019-06-04
1MacOS 0day可模拟鼠标点击以执行恶意代码
Digita Security研究人员Patrick Wardle披露macOS中的一个0day，该漏洞可允许攻击者通过模拟鼠标点击以绕过macOS的安全措施并执行恶意代码。该漏洞与macOS验证应用程序的方式有关，一些应用程序在安装之前不需要任何“允许”或“拒绝”安全对话框，例如VLC媒体播放器，攻击者可通过恶意版本的VLC来执行恶意行为，例如打开麦克风或窃取GPD坐标信息等。
2SUPRA智能电视严重漏洞，可导致设备被劫持
研究人员Dhiraj Mishra发现SUPRA智能电视受到未修补的远程文件包含漏洞的影响，该漏洞（CVE-2019-12477）可允许WiFi攻击者在未经身份验证的情况下劫持电视屏幕播放虚假视频。SUPRA是一个俄罗斯电子品牌，其产品主要在俄罗斯、中国和阿联酋销售。该漏洞存在于Supra Smart Cloud TV的“openLiveURL”功能中，虽然该漏洞已获得CVE ID，但可能不会得到修补。
3Quest修复Kace K1000设备中的多个安全漏洞
根据卡内基梅隆大学CERT/CC发布的一份报告，Quest公司的Kace K1000设备受到多个漏洞的影响，包括SQL盲注漏洞（CVE-2018-5404，该漏洞可允许攻击者窃取敏感信息）、JavaScript代码注入漏洞（CVE-2018-5405，该漏洞可允许攻击者劫持管理员会话）以及可允许攻击者添加管理员账户或更改设备配置信息的漏洞（CVE-2018-5406）等。Quest已在9.0.270及更高版本中修复了这些漏洞。
4黑客通过弱密码入侵数百名埃塞俄比亚特工邮箱
埃塞俄比亚信息网络安全局（INSA）的数百名特工的电子邮箱因使用弱密码被黑客入侵。根据Safety Detective研究人员的调查，攻击者利用易于猜测的用户名和密码获得了对这些特工邮箱的未授权访问。在受损的300个凭据中，有142个使用了弱密码“p@$$w0rd”，此外，有62个密码包含“123”序列。并且INSA并未对密码进行加盐和哈希。
5AMCA遭黑客入侵，导致1190万Quest Diagnostics患者信息泄露
美国账单服务公司AMCA遭黑客入侵，该事件导致血液检测公司Quest Diagnostics的1190万患者信息泄露。根据AMCA的公告，该事件发生在2018年8月1日至2019年3月30日期间，未经授权的攻击者访问了AMCA的系统，该系统包含Quest Diagnostics的患者信息。泄露的信息包括银行账户数据和信用卡号等财务信息以及医疗信息和社会安全号码等个人信息。Quest和AMCA正在对此事件进行调查。
6美Lewes公共工程委员会遭黑客入侵，客户信息泄露
根据美国国土安全部的警告，Lewes公共工程委员会遭到黑客入侵，部分客户信息泄露。泄露的信息包括客户的姓名、电子邮件地址、信用卡信息、银行账户详细信息、账号、凭据和到期日期。该委员会在5月28日发现了数据泄露事件，并立刻隔离了客户信息系统和通知相关软件供应商。该事件正在进一步的调查之中。
Digita Security研究人员Patrick Wardle披露macOS中的一个0day，该漏洞可允许攻击者通过模拟鼠标点击以绕过macOS的安全措施并执行恶意代码。该漏洞与macOS验证应用程序的方式有关，一些应用程序在安装之前不需要任何“允许”或“拒绝”安全对话框，例如VLC媒体播放器，攻击者可通过恶意版本的VLC来执行恶意行为，例如打开麦克风或窃取GPD坐标信息等。
原文链接：
https://threatpost.com/macos-zero-day-malicious-code/145259/2SUPRA智能电视严重漏洞，可导致设备被劫持
研究人员Dhiraj Mishra发现SUPRA智能电视受到未修补的远程文件包含漏洞的影响，该漏洞（CVE-2019-12477）可允许WiFi攻击者在未经身份验证的情况下劫持电视屏幕播放虚假视频。SUPRA是一个俄罗斯电子品牌，其产品主要在俄罗斯、中国和阿联酋销售。该漏洞存在于Supra Smart Cloud TV的“openLiveURL”功能中，虽然该漏洞已获得CVE ID，但可能不会得到修补。
原文链接：
https://thehackernews.com/2019/06/supra-smart-tv-hack.html3Quest修复Kace K1000设备中的多个安全漏洞
根据卡内基梅隆大学CERT/CC发布的一份报告，Quest公司的Kace K1000设备受到多个漏洞的影响，包括SQL盲注漏洞（CVE-2018-5404，该漏洞可允许攻击者窃取敏感信息）、JavaScript代码注入漏洞（CVE-2018-5405，该漏洞可允许攻击者劫持管理员会话）以及可允许攻击者添加管理员账户或更改设备配置信息的漏洞（CVE-2018-5406）等。Quest已在9.0.270及更高版本中修复了这些漏洞。
原文链接：
https://www.securityweek.com/serious-vulnerabilities-found-kace-k1000-appliance4黑客通过弱密码入侵数百名埃塞俄比亚特工邮箱
埃塞俄比亚信息网络安全局（INSA）的数百名特工的电子邮箱因使用弱密码被黑客入侵。根据Safety Detective研究人员的调查，攻击者利用易于猜测的用户名和密码获得了对这些特工邮箱的未授权访问。在受损的300个凭据中，有142个使用了弱密码“p@$$w0rd”，此外，有62个密码包含“123”序列。并且INSA并未对密码进行加盐和哈希。
原文链接：
https://cyware.com/news/emails-of-hundreds-of-ethiopias-information-network-security-agency-agents-hacked-due-to-predictable-passwords-40bbc3585AMCA遭黑客入侵，导致1190万Quest Diagnostics患者信息泄露
美国账单服务公司AMCA遭黑客入侵，该事件导致血液检测公司Quest Diagnostics的1190万患者信息泄露。根据AMCA的公告，该事件发生在2018年8月1日至2019年3月30日期间，未经授权的攻击者访问了AMCA的系统，该系统包含Quest Diagnostics的患者信息。泄露的信息包括银行账户数据和信用卡号等财务信息以及医疗信息和社会安全号码等个人信息。Quest和AMCA正在对此事件进行调查。
原文链接：
https://www.bleepingcomputer.com/news/security/billing-details-for-119m-quest-diagnostics-clients-exposed/6美Lewes公共工程委员会遭黑客入侵，客户信息泄露
根据美国国土安全部的警告，Lewes公共工程委员会遭到黑客入侵，部分客户信息泄露。泄露的信息包括客户的姓名、电子邮件地址、信用卡信息、银行账户详细信息、账号、凭据和到期日期。该委员会在5月28日发现了数据泄露事件，并立刻隔离了客户信息系统和通知相关软件供应商。该事件正在进一步的调查之中。
原文链接：
https://cyware.com/news/lewes-board-of-public-works-notifies-customers-of-potential-data-breach-b5f45004
京公网安备11010802024551号