狮子航空公司数千万用户记录在暗网泄露；研究人员在13款路由器和NAS设备中发现125个漏洞
发布时间 2019-09-181.研究人员在13款路由器和NAS设备中发现125个漏洞
研究人员在13款SOHO路由器和NAS设备中发现125个新漏洞，该研究是SOHOpelessly Broken 2.0项目的一部分。研究人员发现的漏洞清单包括授权绕过、身份验证绕过、缓冲区溢出、命令注入、SQL注入（SQLi）、XSS、CSRF和路径遍历漏洞。受影响的品牌包括Buffalo、群晖、TerraMaster、Zyxel、Drobo、华硕及其子品牌Asustor、希捷、QNAP、联想、网件、小米和Zioncom（TOTOLINK）。研究人员向受影响的供应商披露了这些漏洞，大多数供应商迅速回应并修复了漏洞，但Drobo、Buffalo和Zioncom尚未进行回应。
原文链接：
https://thehackernews.com/2019/09/hacking-soho-routers.html
2.3S-Smart修复CODESYS工业产品中的多个漏洞
美国CISA发布了关于德国3S-Smart厂商制造的CODESYS工业产品中多个漏洞的安全咨询，其中许多漏洞可被用于发起远程代码执行、DoS攻击等。受影响的软件被许多第三方供应商用于数百种工业产品中。漏洞包括CODESYS ENI服务器中的缓冲区溢出漏洞，该漏洞可被低技能水平的攻击者远程利用以发起代码执行或DoS攻击；CODESYS V3自动化平台的网关组件中的DoS漏洞；Web服务器组件中的可用于访问文件、触发服务器崩溃或执行任意代码的漏洞等。3S-Smart表示尚未发现任何针对这些漏洞的公开利用，但至少有一个安全漏洞有足够的公开信息可用于开发漏洞利用。所有漏洞都已通过软件更新进行修复，只有一个漏洞预计将在2020年2月更新修复。
原文链接：
https://www.securityweek.com/serious-flaws-codesys-products-expose-industrial-systems-remote-attacks
3.狮子航空公司数千万用户记录在暗网泄露
狮子航空旗下两家航空公司的数千万条旅客记录在暗网论坛上泄露。这些数据存储在可公开访问的Amazon存储桶中，共有两个数据库，一个包含2100万条记录，另一个包含1400万条记录，该目录下还包含2019年5月份创建的备份文件，主要属于Malindo Air和Thai Lion Air。另一个备份文件的名称是Batik Air，该公司的母公司也是狮子航空。泄露的信息包括旅客的预订ID、居住地址、电话号码、邮箱地址、姓名、出生日期、护照号码和到期日期等。目前还不清楚这些数据首次泄露的时间，但据称至少从8月10日起该数据库已在论坛上流通。
原文链接：
https://www.bleepingcomputer.com/news/security/millions-of-lion-air-passenger-records-exposed-and-exchanged-on-forums/
4.数千名用户的谷歌日历因配置错误暴露敏感信息
印度安全研究员Avinash Jain发现数以千计的谷歌用户意外公开了其谷歌日历，导致敏感信息泄露。该问题是由错误配置的谷歌日历导致的，可公开访问意味着可通过公共引擎进行搜索（包括谷歌），允许任何人访问其中的隐私或是使用恶意信息或链接添加新事件。Jain发现有超过8000个谷歌日历可公开访问，其中200多个暴露了大量隐私信息，例如电子邮件ID、活动名称、活动详情、位置、zoom会议链接、内部演示链接等。
原文链接：
https://thehackernews.com/2019/09/google-calendar-search.html
5.研究人员发现2430万患者的医疗影像信息在网上暴露
Greenbone Networks研究人员发现数千万患者的X射线、CT和MRI扫描图像在全球医疗服务机构的数百台服务器上暴露。根据该团队在过去两个月的研究，全球2300个医疗影像存档系统中有590个可公开访问，其中包含52个不同国家的2430万名患者记录。暴露的信息包括患者的姓名、出生日期、检查日期、主治医生以及有关检查目的的一些医疗信息。此外，1370万条记录中包含美国患者的社会安全号码。患者记录中关联的医疗影像超过7.37亿个，其中约4亿个可通过互联网下载。在某些情况下，服务器甚至允许通过未加密的HTTP连接下载患者数据。
原文链接：
https://www.grahamcluley.com/medical-images-and-details-of-24-3-million-patients-left-exposed-on-the-internet/
6.恶意软件Gootkit因配置错误导致数据库在网上暴露
恶意软件Gootkit背后的犯罪团伙意外将MongoDB数据库连接到互联网而没有设置密码，这使得安全研究员Bob Diachenko能够下载这些数据和深入分析其攻击活动。Gootkit的主要功能是从浏览器窃取数据，包括历史浏览记录、密码、cookie文件、信用卡信息等，它支持多种主流浏览器。7月份该恶意软件的两个C2服务器可公开访问，并持续了一周的时间，目前还不清楚是该团伙忘记设置密码还是服务器防火墙出现故障。这两台服务器都运行MongoDB，其内容似乎聚合了三个Gootkit子僵尸网络的数据，涵盖总共38653个受感染的主机。数据库中包含该恶意软件窃取的信用卡信息、用户名和凭据、受感染主机的配置文件、cookie文件、用户屏幕截图等。
原文链接：
https://www.zdnet.com/article/gootkit-malware-crew-left-their-database-exposed-online-without-a-password/
京公网安备11010802024551号