Android libpac库RCE误差；Intel CPU TPM-FAIL误差使数十亿台装备面临危害
宣布时间 2019-11-18
1、NowSecure披露Android libpac库中的RCE误差
NowSecure研究职员发明Android系统使用的libpac库中保存RCE误差（CVE-2019-2205）。libpac是一个基于Chromium项目代码的库，该库使用静态链接的V8 JS引擎来剖析JavaScript，这为平台应用程序带来了重大的攻击面。研究职员发明JS函数FindProxyForUrl上下文中的ArrayBuffers分派器声明不准确，可致栈上的VPTR被笼罩，这可能被用于执行恣意代码。谷歌在11月Android清静更新中修复了该误差。
2、Intel CPU TPM-FAIL误差使数十亿台装备面临危害
研究职员在基于英特尔固件的TPM（fTPM）和STMicroelectronics的TPM芯片中发明了两个被称为TPM-FAIL的新误差，这两个误差（CVE-2019-11090和CVE-2019-16863）使黑客可以规避清静屏障，并窃取TPM中存储的敏感数据，包括署名密钥等。提取到密钥后，攻击者就能使用它伪造数字署名、改动操作系统或绕过身份验证。大大都便携式盘算机、台式机和服务器都容易受到TPM-FAIL攻击，包括戴尔、惠普和遐想等品牌制造商。这两个误差都已在新的固件或TPM芯片中修复。
3、Wizards of Coast泄露45万游戏玩家数据
《Magic：The Gathering》游戏的开发商Wizards of Coast已经确认数十万游戏玩家的数据遭泄露。英国清静厂商Fidus Information Security发明了袒露的数据库文件，这些文件被生涯在没有密码的Amazon存储桶中。数据库中一共包括452634名玩家的数据，涉及姓名和用户名、电子邮件地点、账户的建设时间以及经由哈希和加盐处置惩罚的密码。凭证研究职员对数据的审查，这些账户的日期最早可追溯至2012年，最新则为2018年中期。
4、Sunshine Behavioral泄露9.3万份患者档案
Sunshine Behavioral Health是美国一家治疗毒品和酒精成瘾患者的医疗公司，漫衍在加利福尼亚州、德克萨斯州和科罗拉多州。由于AWS s3存储桶设置过失，该公司的约莫9.3万个患者档案遭泄露。档案中包括的信息包括姓名、出生日期、邮政地点和电子邮件地点、电话号码、完整的信用卡号码和CVV码及部分有用日期（月/日）、医疗包管账号、已支付金额等。该公司对数据库举行了�；�，但没有在网站上宣布泄露通知，也未体现是否已通知患者/羁系机构。
原文链接：
https://www.databreaches.net/exclusive-more-than-90000-patient-billing-files-from-an-alcohol-and-drug-addiction-treatment-network-exposed-online/
5、澳大利亚国会在2019年头遭到黑客入侵
凭证澳大利亚广播公司（ABC）的报道，澳大利亚国会的盘算机网络在今年早些时间被黑客入侵，并从几位中选官员的盘算机中窃取了数据。该攻击爆发在2019年1月31日，其时澳大利亚清静机构发明了入侵并对其举行一周的监视，然后关闭网络并试图追捕攻击者。澳大利亚政府未提供有关该黑客攻击的更多详细信息。
原文链接：
https://securityaffairs.co/wordpress/93898/cyber-warfare-2/australian-parliament-hacked.html
6、微软宣布Intel CPU驱动程序误差的修复指南
微软宣布了资助用户修复Intel CPU拒绝服务误差（CVE-2018-12207）和TSX异步中止误差（CVE-2019-11135）的指南。该DoS误差影响了第8代及以下的Intel酷睿处置惩罚器，微软在11月清静更新中修复了该误差，但在默认情形下该�；すπП唤�，用户必需设置特定的注册表项启用该功效。而TSX功效中的推测执行误差则影响了Intel第10代之前的处置惩罚器，微软指导用户在易受攻击的Intel处置惩罚器上禁用Intel TSX功效，以阻止潜在的Zombieload 2攻击。
NowSecure研究职员发明Android系统使用的libpac库中保存RCE误差（CVE-2019-2205）。libpac是一个基于Chromium项目代码的库，该库使用静态链接的V8 JS引擎来剖析JavaScript，这为平台应用程序带来了重大的攻击面。研究职员发明JS函数FindProxyForUrl上下文中的ArrayBuffers分派器声明不准确，可致栈上的VPTR被笼罩，这可能被用于执行恣意代码。谷歌在11月Android清静更新中修复了该误差。
原文链接：
https://www.nowsecure.com/blog/2019/11/13/nowsecure-discovers-critical-android-vuln-that-may-lead-to-remote-code-execution/2、Intel CPU TPM-FAIL误差使数十亿台装备面临危害
研究职员在基于英特尔固件的TPM（fTPM）和STMicroelectronics的TPM芯片中发明了两个被称为TPM-FAIL的新误差，这两个误差（CVE-2019-11090和CVE-2019-16863）使黑客可以规避清静屏障，并窃取TPM中存储的敏感数据，包括署名密钥等。提取到密钥后，攻击者就能使用它伪造数字署名、改动操作系统或绕过身份验证。大大都便携式盘算机、台式机和服务器都容易受到TPM-FAIL攻击，包括戴尔、惠普和遐想等品牌制造商。这两个误差都已在新的固件或TPM芯片中修复。
原文链接：
https://www.bleepingcomputer.com/news/security/tpm-fail-security-flaws-impact-modern-devices-with-intel-cpus/3、Wizards of Coast泄露45万游戏玩家数据
《Magic：The Gathering》游戏的开发商Wizards of Coast已经确认数十万游戏玩家的数据遭泄露。英国清静厂商Fidus Information Security发明了袒露的数据库文件，这些文件被生涯在没有密码的Amazon存储桶中。数据库中一共包括452634名玩家的数据，涉及姓名和用户名、电子邮件地点、账户的建设时间以及经由哈希和加盐处置惩罚的密码。凭证研究职员对数据的审查，这些账户的日期最早可追溯至2012年，最新则为2018年中期。
原文链接：
https://techcrunch.com/2019/11/16/magic-the-gathering-wizards-data-exposure/4、Sunshine Behavioral泄露9.3万份患者档案
Sunshine Behavioral Health是美国一家治疗毒品和酒精成瘾患者的医疗公司，漫衍在加利福尼亚州、德克萨斯州和科罗拉多州。由于AWS s3存储桶设置过失，该公司的约莫9.3万个患者档案遭泄露。档案中包括的信息包括姓名、出生日期、邮政地点和电子邮件地点、电话号码、完整的信用卡号码和CVV码及部分有用日期（月/日）、医疗包管账号、已支付金额等。该公司对数据库举行了�；�，但没有在网站上宣布泄露通知，也未体现是否已通知患者/羁系机构。
原文链接：
https://www.databreaches.net/exclusive-more-than-90000-patient-billing-files-from-an-alcohol-and-drug-addiction-treatment-network-exposed-online/
5、澳大利亚国会在2019年头遭到黑客入侵
凭证澳大利亚广播公司（ABC）的报道，澳大利亚国会的盘算机网络在今年早些时间被黑客入侵，并从几位中选官员的盘算机中窃取了数据。该攻击爆发在2019年1月31日，其时澳大利亚清静机构发明了入侵并对其举行一周的监视，然后关闭网络并试图追捕攻击者。澳大利亚政府未提供有关该黑客攻击的更多详细信息。
原文链接：
https://securityaffairs.co/wordpress/93898/cyber-warfare-2/australian-parliament-hacked.html
6、微软宣布Intel CPU驱动程序误差的修复指南
微软宣布了资助用户修复Intel CPU拒绝服务误差（CVE-2018-12207）和TSX异步中止误差（CVE-2019-11135）的指南。该DoS误差影响了第8代及以下的Intel酷睿处置惩罚器，微软在11月清静更新中修复了该误差，但在默认情形下该�；すπП唤�，用户必需设置特定的注册表项启用该功效。而TSX功效中的推测执行误差则影响了Intel第10代之前的处置惩罚器，微软指导用户在易受攻击的Intel处置惩罚器上禁用Intel TSX功效，以阻止潜在的Zombieload 2攻击。
原文链接：
https://www.bleepingcomputer.com/news/security/microsoft-issues-guidance-for-intel-cpu-driver-security-flaws/
京公网安备11010802024551号