Libarchive代码执行漏洞影响Linux及BSD发行版；趋势科技内部员工窃取超过12万用户信息并出售
发布时间 2019-11-07
1、Libarchive代码执行漏洞影响Linux及BSD发行版
谷歌安全研究人员在Libarchive中发现一个代码执行漏洞（CVE-2019-18408），攻击者可诱使用户打开恶意存档文件在其系统上执行代码。Debian、Ubuntu、Gentoo、Arch Linux以及FreeBSD和NetBSD发行版均受影响，但Windows和macOS不受影响。Libarchive团队在新版本3.4.0中修复了该漏洞，目前尚未在野外发现该漏洞的PoC或利用代码。
2、谷歌发布11月Android安全更新，修复40个漏洞
谷歌本周发布11月Android安全更新，修复了近40个漏洞。谷歌在2019-11-01安全补丁程序级别中修复了Framework、Library、媒体框架和系统中的17个漏洞，其中最严重的漏洞是系统组件中的三个RCE漏洞（CVE-2019-2204~CVE-2019-2206），受影响的系统版本为8.0、8.1、9和10。谷歌还在2019-11-05安全补丁程序级别中修复了21个漏洞，其中最严重的是高通组件中的5个漏洞。
3、NVIDIA修复显卡驱动及GeForce Experience 12个漏洞
NVIDIA发布安全更新，修复其显卡驱动程序和GFE软件中的12个漏洞，漏洞范围涵盖代码执行、权限提升、信息泄露和拒绝服务。所有的漏洞都不能被远程利用，必须本地用户访问，并且攻击者必须依赖用户交互来利用它们。这些漏洞的CVSS V3评分为5.1到7.8之间，其中4个高危漏洞为显卡驱动中的缓冲区溢出（CVE‑2019‑5690）、空指针解引用（CVE‑2019‑5691）、数组索引越界（CVE‑2019‑5692）以及GFE中的DLL劫持（CVE‑2019‑5701）。
4、Facebook再曝隐私泄露，开发人员违规访问用户信息
Facebook再曝隐私泄露事件，约100名开发人员可违规访问用户信息。本周二Facebook平台合作总监Konstantinos Papamiltiadis在一篇博文中透露，尽管2018年4月曾对其权限进行限制，但部分开发人员仍可以访问用户的姓名、个人资料图片以及系统API等信息。总共约有100名开发人员可以访问此信息，Facebook确认至少有11名开发人员在过去60天内访问了这些数据。该公司表示已经取消了这一访问权限，并表示会对相关情况进行审查。该公司没有透露有多少用户受到影响。
原文链接：
https://www.zdnet.com/article/facebook-reveals-another-data-breach-this-time-involving-developers/
5、趋势科技内部员工窃取超过12万用户信息并出售
趋势科技内部员工窃取公司客户信息并将其出售给第三方诈骗团伙。在客户遭到技术支持诈骗后，趋势科技展开调查并发现该员工非法访问了客户支持数据库。可能被窃的信息包括客户的姓名、电子邮件地址、技术支持单号以及电话号码，但该公司强调没有迹象表明财务或信用卡信息被窃，并且没有涉及到企业或政府客户。根据其内部调查，受影响的客户只占趋势科技1200万客户群的不到1%，即12万。
原文链接：
https://www.bleepingcomputer.com/news/security/trendmicro-employee-sold-customer-info-to-tech-support-scammers/
6、Anonymous和LulzSecITA入侵意大利运营商Lyca Mobile
Anonymous和LulzSecITA入侵意大利通信运营商Lyca Mobile，从该公司窃取了5.4GB的文件。从泄露的文件来看，文档中包含Lyca Mobile用户的公共ID、护照、驾照、电话记录及信用卡信息等。其中一个文件夹的内容似乎属于该公司的官方邮箱账户lycamobile[at]lycamobile[.]it。目前尚无法验证这些文档的真实性。幸运的是黑客组织发起这些攻击只是为了验证其安全性，而不是对用户进行欺诈。
谷歌安全研究人员在Libarchive中发现一个代码执行漏洞（CVE-2019-18408），攻击者可诱使用户打开恶意存档文件在其系统上执行代码。Debian、Ubuntu、Gentoo、Arch Linux以及FreeBSD和NetBSD发行版均受影响，但Windows和macOS不受影响。Libarchive团队在新版本3.4.0中修复了该漏洞，目前尚未在野外发现该漏洞的PoC或利用代码。
原文链接：
https://www.zdnet.com/article/libarchive-vulnerability-can-lead-to-code-execution-on-linux-freebsd-netbsd/2、谷歌发布11月Android安全更新，修复40个漏洞
谷歌本周发布11月Android安全更新，修复了近40个漏洞。谷歌在2019-11-01安全补丁程序级别中修复了Framework、Library、媒体框架和系统中的17个漏洞，其中最严重的漏洞是系统组件中的三个RCE漏洞（CVE-2019-2204~CVE-2019-2206），受影响的系统版本为8.0、8.1、9和10。谷歌还在2019-11-05安全补丁程序级别中修复了21个漏洞，其中最严重的是高通组件中的5个漏洞。
原文链接：
https://www.securityweek.com/google-patches-critical-flaws-androids-system-component3、NVIDIA修复显卡驱动及GeForce Experience 12个漏洞
NVIDIA发布安全更新，修复其显卡驱动程序和GFE软件中的12个漏洞，漏洞范围涵盖代码执行、权限提升、信息泄露和拒绝服务。所有的漏洞都不能被远程利用，必须本地用户访问，并且攻击者必须依赖用户交互来利用它们。这些漏洞的CVSS V3评分为5.1到7.8之间，其中4个高危漏洞为显卡驱动中的缓冲区溢出（CVE‑2019‑5690）、空指针解引用（CVE‑2019‑5691）、数组索引越界（CVE‑2019‑5692）以及GFE中的DLL劫持（CVE‑2019‑5701）。
原文链接：
https://www.bleepingcomputer.com/news/security/nvidia-fixes-security-flaws-in-gpu-driver-geforce-experience/4、Facebook再曝隐私泄露，开发人员违规访问用户信息
Facebook再曝隐私泄露事件，约100名开发人员可违规访问用户信息。本周二Facebook平台合作总监Konstantinos Papamiltiadis在一篇博文中透露，尽管2018年4月曾对其权限进行限制，但部分开发人员仍可以访问用户的姓名、个人资料图片以及系统API等信息。总共约有100名开发人员可以访问此信息，Facebook确认至少有11名开发人员在过去60天内访问了这些数据。该公司表示已经取消了这一访问权限，并表示会对相关情况进行审查。该公司没有透露有多少用户受到影响。
原文链接：
https://www.zdnet.com/article/facebook-reveals-another-data-breach-this-time-involving-developers/
5、趋势科技内部员工窃取超过12万用户信息并出售
趋势科技内部员工窃取公司客户信息并将其出售给第三方诈骗团伙。在客户遭到技术支持诈骗后，趋势科技展开调查并发现该员工非法访问了客户支持数据库。可能被窃的信息包括客户的姓名、电子邮件地址、技术支持单号以及电话号码，但该公司强调没有迹象表明财务或信用卡信息被窃，并且没有涉及到企业或政府客户。根据其内部调查，受影响的客户只占趋势科技1200万客户群的不到1%，即12万。
原文链接：
https://www.bleepingcomputer.com/news/security/trendmicro-employee-sold-customer-info-to-tech-support-scammers/
6、Anonymous和LulzSecITA入侵意大利运营商Lyca Mobile
Anonymous和LulzSecITA入侵意大利通信运营商Lyca Mobile，从该公司窃取了5.4GB的文件。从泄露的文件来看，文档中包含Lyca Mobile用户的公共ID、护照、驾照、电话记录及信用卡信息等。其中一个文件夹的内容似乎属于该公司的官方邮箱账户lycamobile[at]lycamobile[.]it。目前尚无法验证这些文档的真实性。幸运的是黑客组织发起这些攻击只是为了验证其安全性，而不是对用户进行欺诈。
原文链接：
https://securityaffairs.co/wordpress/93474/hacktivism/lulzsecita-lyca-mobile.html
京公网安备11010802024551号