Android libpac库RCE漏洞；Intel CPU TPM-FAIL漏洞使数十亿台设备面临风险
发布时间 2019-11-18
1、NowSecure披露Android libpac库中的RCE漏洞
NowSecure研究人员发现Android系统使用的libpac库中存在RCE漏洞（CVE-2019-2205）。libpac是一个基于Chromium项目代码的库，该库使用静态链接的V8 JS引擎来解析JavaScript，这为平台应用程序带来了巨大的攻击面。研究人员发现JS函数FindProxyForUrl上下文中的ArrayBuffers分配器声明不正确，可致栈上的VPTR被覆盖，这可能被用于执行任意代码。谷歌在11月Android安全更新中修复了该漏洞。
2、Intel CPU TPM-FAIL漏洞使数十亿台设备面临风险
研究人员在基于英特尔固件的TPM（fTPM）和STMicroelectronics的TPM芯片中发现了两个被称为TPM-FAIL的新漏洞，这两个漏洞（CVE-2019-11090和CVE-2019-16863）使黑客可以规避安全屏障，并窃取TPM中存储的敏感数据，包括签名密钥等。提取到密钥后，攻击者就能利用它伪造数字签名、篡改操作系统或绕过身份验证。大多数便携式计算机、台式机和服务器都容易受到TPM-FAIL攻击，包括戴尔、惠普和联想等品牌制造商。这两个漏洞都已在新的固件或TPM芯片中修复。
3、Wizards of Coast泄露45万游戏玩家数据
《Magic：The Gathering》游戏的开发商Wizards of Coast已经确认数十万游戏玩家的数据遭泄露。英国安全厂商Fidus Information Security发现了暴露的数据库文件，这些文件被保存在没有密码的Amazon存储桶中。数据库中一共包含452634名玩家的数据，涉及姓名和用户名、电子邮件地址、账户的创建时间以及经过哈希和加盐处理的密码。根据研究人员对数据的审查，这些账户的日期最早可追溯至2012年，最新则为2018年中期。
4、Sunshine Behavioral泄露9.3万份患者档案
Sunshine Behavioral Health是美国一家治疗毒品和酒精成瘾患者的医疗公司，分布在加利福尼亚州、德克萨斯州和科罗拉多州。由于AWS s3存储桶配置错误，该公司的大约9.3万个患者档案遭泄露。档案中包含的信息包括姓名、出生日期、邮政地址和电子邮件地址、电话号码、完整的信用卡号码和CVV码及部分有效日期（月/日）、医疗保险账号、已支付金额等。该公司对数据库进行了保护，但没有在网站上发布泄露通知，也未表示是否已通知患者/监管机构。
原文链接：
https://www.databreaches.net/exclusive-more-than-90000-patient-billing-files-from-an-alcohol-and-drug-addiction-treatment-network-exposed-online/
5、澳大利亚国会在2019年初遭到黑客入侵
根据澳大利亚广播公司（ABC）的报道，澳大利亚国会的计算机网络在今年早些时候被黑客入侵，并从几位当选官员的计算机中窃取了数据。该攻击发生在2019年1月31日，当时澳大利亚安全机构发现了入侵并对其进行一周的监视，然后关闭网络并试图追捕攻击者。澳大利亚政府未提供有关该黑客攻击的更多详细信息。
原文链接：
https://securityaffairs.co/wordpress/93898/cyber-warfare-2/australian-parliament-hacked.html
6、微软发布Intel CPU驱动程序漏洞的修复指南
微软发布了帮助用户修复Intel CPU拒绝服务漏洞（CVE-2018-12207）和TSX异步中止漏洞（CVE-2019-11135）的指南。该DoS漏洞影响了第8代及以下的Intel酷睿处理器，微软在11月安全更新中修复了该漏洞，但在默认情况下该保护功能被禁用，用户必须设置特定的注册表项启用该功能。而TSX功能中的推测执行漏洞则影响了Intel第10代之前的处理器，微软指导用户在易受攻击的Intel处理器上禁用Intel TSX功能，以阻止潜在的Zombieload 2攻击。
NowSecure研究人员发现Android系统使用的libpac库中存在RCE漏洞（CVE-2019-2205）。libpac是一个基于Chromium项目代码的库，该库使用静态链接的V8 JS引擎来解析JavaScript，这为平台应用程序带来了巨大的攻击面。研究人员发现JS函数FindProxyForUrl上下文中的ArrayBuffers分配器声明不正确，可致栈上的VPTR被覆盖，这可能被用于执行任意代码。谷歌在11月Android安全更新中修复了该漏洞。
原文链接：
https://www.nowsecure.com/blog/2019/11/13/nowsecure-discovers-critical-android-vuln-that-may-lead-to-remote-code-execution/2、Intel CPU TPM-FAIL漏洞使数十亿台设备面临风险
研究人员在基于英特尔固件的TPM（fTPM）和STMicroelectronics的TPM芯片中发现了两个被称为TPM-FAIL的新漏洞，这两个漏洞（CVE-2019-11090和CVE-2019-16863）使黑客可以规避安全屏障，并窃取TPM中存储的敏感数据，包括签名密钥等。提取到密钥后，攻击者就能利用它伪造数字签名、篡改操作系统或绕过身份验证。大多数便携式计算机、台式机和服务器都容易受到TPM-FAIL攻击，包括戴尔、惠普和联想等品牌制造商。这两个漏洞都已在新的固件或TPM芯片中修复。
原文链接：
https://www.bleepingcomputer.com/news/security/tpm-fail-security-flaws-impact-modern-devices-with-intel-cpus/3、Wizards of Coast泄露45万游戏玩家数据
《Magic：The Gathering》游戏的开发商Wizards of Coast已经确认数十万游戏玩家的数据遭泄露。英国安全厂商Fidus Information Security发现了暴露的数据库文件，这些文件被保存在没有密码的Amazon存储桶中。数据库中一共包含452634名玩家的数据，涉及姓名和用户名、电子邮件地址、账户的创建时间以及经过哈希和加盐处理的密码。根据研究人员对数据的审查，这些账户的日期最早可追溯至2012年，最新则为2018年中期。
原文链接：
https://techcrunch.com/2019/11/16/magic-the-gathering-wizards-data-exposure/4、Sunshine Behavioral泄露9.3万份患者档案
Sunshine Behavioral Health是美国一家治疗毒品和酒精成瘾患者的医疗公司，分布在加利福尼亚州、德克萨斯州和科罗拉多州。由于AWS s3存储桶配置错误，该公司的大约9.3万个患者档案遭泄露。档案中包含的信息包括姓名、出生日期、邮政地址和电子邮件地址、电话号码、完整的信用卡号码和CVV码及部分有效日期（月/日）、医疗保险账号、已支付金额等。该公司对数据库进行了保护，但没有在网站上发布泄露通知，也未表示是否已通知患者/监管机构。
原文链接：
https://www.databreaches.net/exclusive-more-than-90000-patient-billing-files-from-an-alcohol-and-drug-addiction-treatment-network-exposed-online/
5、澳大利亚国会在2019年初遭到黑客入侵
根据澳大利亚广播公司（ABC）的报道，澳大利亚国会的计算机网络在今年早些时候被黑客入侵，并从几位当选官员的计算机中窃取了数据。该攻击发生在2019年1月31日，当时澳大利亚安全机构发现了入侵并对其进行一周的监视，然后关闭网络并试图追捕攻击者。澳大利亚政府未提供有关该黑客攻击的更多详细信息。
原文链接：
https://securityaffairs.co/wordpress/93898/cyber-warfare-2/australian-parliament-hacked.html
6、微软发布Intel CPU驱动程序漏洞的修复指南
微软发布了帮助用户修复Intel CPU拒绝服务漏洞（CVE-2018-12207）和TSX异步中止漏洞（CVE-2019-11135）的指南。该DoS漏洞影响了第8代及以下的Intel酷睿处理器，微软在11月安全更新中修复了该漏洞，但在默认情况下该保护功能被禁用，用户必须设置特定的注册表项启用该功能。而TSX功能中的推测执行漏洞则影响了Intel第10代之前的处理器，微软指导用户在易受攻击的Intel处理器上禁用Intel TSX功能，以阻止潜在的Zombieload 2攻击。
原文链接：
https://www.bleepingcomputer.com/news/security/microsoft-issues-guidance-for-intel-cpu-driver-security-flaws/
京公网安备11010802024551号