《维他命》逐日清静简讯20180823

宣布时间 2018-08-23

【误差补丁】Struts2官网披露最新RCE误差S2-057（CVE-2018-11776）


2018年8月22日，Apache Struts宣布最新清静通告，披露可导致远程代码执行的清静误差（S2-057/CVE-2018-11776）。受影响的版本包括Apache Struts 2.3 - Struts 2.3.34以及Apache Struts 2.5 - Struts 2.5.16，建议用户升级至最新版本Apache Struts 2.3.35或Struts 2.5.17。

 

原文链接：https://cwiki.apache.org/confluence/display/WW/S2-057


【误差补丁】Adobe宣布紧迫清静更新，修复PS中的两个RCE误差


Adobe宣布紧迫清静更新，修复Windows和macOS平台上的Adobe Photoshop CC中的两个可导致远程代码执行的高危误差。这两个误差（CVE-2018-12810和CVE-2018-12811）影响了19.1.5及更早的19.x版本以及18.1.5及更早的18.x版本。建议用户更新至版本19.1.6和18.1.6。

 

原文链接：https://thehackernews.com/2018/08/adobe-photoshop-update.html

【清静误差】研究职员发明Ghostscript保存多个-dSAFER沙箱绕过误差


Google Project Zero清静研究职员Tavis Ormandy披露了Ghostscript中的多个-dSAFER沙箱绕过误差。Ghostscript是Adobe PostScript和PDF的诠释语言，普遍应用在ImageMagick、Evince、GIMP、PDF阅读器等软件中。攻击者可通过恶意的PostScript、PDF、EPS或XPS文件触发误差。现在这些误差还没有被分派CVE编号，也没有官方修复补丁。

 

原文链接：https://thehackernews.com/2018/08/ghostscript-postscript-vulnerability.html


【政策规则】欧洲电信标准协会ETSI宣布清静会见控制的加密标准


欧洲电信标准协会ETSI宣布两个基于属性加密（ABE）的规范，形貌了怎样通详尽粒度的会见控制来�；ば∥宜郊沂莸那寰�。这两个规范是ETSI TS 103 458和ETSI TS 103 532，划分形貌了ABE的高规格要求和使用ABE会见控制时的信托模子、功效以及协议。这两个规范都遵照2018年5月起实验的GDPR。

 

原文链接：https://www.etsi.org/news-events/news/1328-2018-08-press-etsi-releases-cryptographic-standards-for-secure-access-control


【恶意软件】研究团队发明新勒索软件Ryuk与Hermes保存关联


Check Point研究团队发明已经袭击了全球多个组织的新勒索软件Ryuk，攻击者已经获得了凌驾64万美元的赎金。研究职员还不可确定Ryuk的撒播方法，Ryuk需要治理员权限来执行，但其自己没有获得治理员权限的功效，也没有发明用于实现这一目的的邮件、文档和剧本等。因此Ryuk很有可能是手动入侵的效果。研究职员发明Ryuk和勒索软件Hermes共享了大宗的代码，这意味着其背后的攻击者保存关联。Hermes现在仍然活跃，Hermes 2.1通过大规模垃圾邮件举行分发，而Ryuk主要用于有针对性的攻击。

 

原文链接：https://research.checkpoint.com/ryuk-ransomware-targeted-campaign-break/

 


【数据泄露】保姆服务Sitter因MongoDB设置过失导致凌驾9.3万用户的信息泄露


8月14日清静研究职员Bob Diachenko发明保姆服务Sitter的一个MongoDB可通过互联网果真会见（无需登录凭证），凌驾9.3万名用户的敏感数据泄露。泄露的数据包括账户的密码哈希、每个家庭的孩子数、家庭地点、电话号码、联系人列表、支付卡号以及app内的谈天信息等。数据总量凌驾2GB。

 

原文链接：https://www.bleepingcomputer.com/news/security/mongodb-server-exposes-babysitting-apps-database/