信息安全周报-2018年第45周
发布时间 2018-11-12一、本周安全态势综述
本周值得关注的网络安全事件是研究人员披露VirtualBox中的虚拟机逃逸0day；思科今年内第七次删除产品中的后门账户；柬埔寨多家ISP遭到该国历史上最大规模的DDoS攻击；美芝加哥CPS约8万员工的个人信息被窃；霍尼韦尔发布关于工业设施中的USB威胁的分析报告。
根据以上综述，本周安全威胁为中。
二、重要安全漏洞列表
1. Cisco Unity Express JAVA反序列化处理任意命令执行漏洞
Cisco Unity Express对用户提供的内容进行反序列化操作是没有进行足够的过滤，允许远程攻击者可以利用漏洞提交特殊的java序列化对象请求，可以ROOT权限执行任意命令。
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20181107-cue2. AVEVA InduSoft Web Studio/InTouch Edge HMI远程代码执行漏洞
https://sw.aveva.com/hubfs/assets-2018/pdf/security-bulletin/SecurityBulletin_LFSec130.pdf
3. HPE Integrated Lights-Out 5固件更新安全限制绕过漏洞
https://support.hpe.com/hpsc/doc/public/display?docId=hpesbhf03894en_us
4. QEMU 'NBD_OPT_LIST'缓冲区溢出漏洞
https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2017-2630
5. Brocade Fabric OS ROOT权限提取漏洞
https://www.broadcom.com/support/fibre-channel-networking/security-advisories/brocade-security-advisory-2018-731
三、重要安全事件综述
俄罗斯漏洞研究人员Sergey Zelenyuk披露VirtualBox中的一个虚拟机逃逸0day，该漏洞影响了VirtualBox 5.2.20及之前的版本。该漏洞适用于网卡为Intel PRO/1000 MT Desktop (82540EM) 并处于NAT模式的虚拟机，攻击者可利用该漏洞逃逸至主机ring3权限，并利用其它技术提权至ring0。研究人员在Github上详细描述了该漏洞背后的机制，并发布了相关PoC视频。
原文链接：
https://www.bleepingcomputer.com/news/security/virtualbox-zero-day-vulnerability-details-and-exploit-are-publicly-available/
2、思科今年内第七次删除产品中的后门账户
思科发布了多款产品的15个安全更新，其中包括删除了小型企业交换机中的一个后门账户。这是今年来思科第七次删除产品中的后门账户。这些后门账户漏洞包括3月份的CVE-2018-0141和CVE-2018-0150、5月份的CVE-2018-0222、6月份的CVE-2018-0329、7月份的CVE-2018-0375、9月份的CVE-2018-15427以及本月（11月份）的CVE-2018-15439。
原文链接：
https://www.zdnet.com/article/cisco-removed-its-seventh-backdoor-account-this-year-and-thats-a-good-thing/
3、柬埔寨多家ISP遭到该国历史上最大规模的DDoS攻击
本周柬埔寨最大的几家互联网服务提供商（ISP）遭到了大规模的DDoS攻击，包括EZECOM、SINET、Telcotech和Digi。据当地媒体报道，此次DDoS攻击是该国历史上最大规模的攻击之一，本周一的DDoS攻击流量达近150Gbps。关于此次攻击的原因和动机尚不清楚，也没有攻击者宣称对此负责。一种可能的情况是ISP竞争对手之间的相互攻击。
原文链接：
https://www.zdnet.com/article/cambodias-isps-hit-by-some-of-the-biggest-ddos-attacks-in-the-countrys-history/
4、美芝加哥CPS约8万员工的个人信息被窃
根据芝加哥太阳报的报道，芝加哥公立学校的一名前雇员Kristi Sims窃取了约8万名员工、志愿者和供应商的个人信息，这些信息包括姓名、员工ID、电话号码、地址、出生日期、犯罪历史和DCFS调查结果等，不包括任何社保号码。Krims目前已被芝加哥警方逮捕和拘留，并将面临多项罪名的指控。
原文链接：
https://news.softpedia.com/news/80-000-individuals-had-their-personal-info-stolen-by-former-cps-employee-523592.shtml
5、霍尼韦尔发布关于工业设施中的USB威胁的分析报告
根据霍尼韦尔发布的一份新报告，USB设备是针对工业设施的恶意软件攻击的主要媒介。该报告是基于霍尼韦尔的安全媒体交换（SMX）技术收集的数据，涵盖了能源、石油和天然气、化学、纸张制造等行业。数据表明，26%的威胁可能导致工业企业失去ICS环境的可见性或控制权，从而造成重大中断。16%的威胁专门针对ICS和IoT系统，其中包括恶意软件Mirai（6％）、Stuxnet（2％）、Triton（2％）和WannaCry（1％）。
原文链接：
https://honeywellprocess.blob.core.windows.net/public/Support/Customer/Honeywell-USB-Threat-Report.pdf
声明：本资讯由启明星辰维他命安全小组翻译和整理
京公网安备11010802024551号