Python库窃取SSH和GPG密钥；Avast和AVG插件监视Chrome和Firefox用户；生物识别数据威胁报告
宣布时间 2019-12-051.GoAhead Web服务器RCE误差影响大宗IoT装备
思科Talos的清静专家在GoAhead嵌入式Web服务器中发明了两个误差，其中包括一个要害的远程代码执行误差（CVE-2019-5096）。该误差与GoAhead处置惩罚multi-part/form-data请求的方法有关，未经身份验证的攻击者可使用该误差触发use-after-free，并通过发送恶意HTTP请求在服务器上执行恣意代码。第二个误差（CVE-2019-5097）保存于统一组件中，可导致拒绝服务攻击。受影响的版本包括v5.0.1、v.4.1.1和v3.6.5。凭证Shodan的搜索效果，袒露在公网上的GoAhead服务器数目已凌驾130万。
原文链接：
https://thehackernews.com/2019/12/goahead-web-server-hacking.html
2.思科Talos披露Accusoft ImageGear库中的RCE误差
思科Talos发明Accusoft的文档和图片处置惩罚库ImageGear保存多个RCE误差。第一个误差（CVE-2019-5083）与igcore19d.dll中的TIF_decode_thunderscan函数有关，是一个越界写入问题，攻击者可使用恶意TIFF文件触发远程代码执行。第二个误差（CVE-2019-5076）影响了PNG标头剖析器，第三个误差（CVE-2019-5132）是GEM Raster剖析器中的越界写误差，第四个误差（CVE-2019-5133）与BMP剖析器有关。为了使用这些误差，攻击者需要诱使用户翻开恶意文档。受影响的版本包括Accusoft ImageGear 19.3.0，该公司已经宣布了相关修复补丁。
原文链接：
https://www.securityweek.com/code-execution-vulnerabilities-patched-accusoft-imagegear
3.两个恶意Python库被发明窃取SSH和GPG密钥
Python清静团队从PyPI（Python软件包索引）中删除了两个窃取SSH和GPG密钥的恶意Python库。这两个库是由统一位开发职员建设的，第一个是python3-dateutil，模拟了盛行的dateutil库，第二个库是jeIlyfish库，模拟了jellyfish库。虽然python3-dateutil是在两天前建设并上传到PyPI上的，但jeIlyfish库则保存了快要一年的时间。凭证研究职员的发明，恶意代码仅保存于jeIlyfish库中，python3-dateutil软件包中导入了jeIlyfish库。该恶意代码试图从用户盘算机中窃取SSH和GPG密钥，并将它们发送到以下IP地点：http://68.183.212.246:32258。
原文链接：
https://www.zdnet.com/article/two-malicious-python-libraries-removed-from-pypi/
4.Avast和AVG插件被发明监视Chrome和Firefox用户
清静研究职员Wladimir Palant发明Avast和AVG的四个浏览器插件保存跟踪Chrome和Firefox用户的行为，并向Mozilla和谷歌报告了该发明，Mozilla已经暂时删除了这些插件。受影响的插件包括Avast Online Security、AVG Online Security、Avast SafePrice和AVG SafePrice，这些插件旨在当用户会见恶意网站或垂纶网站时向用户发出忠言，SafePrice插件可资助购物者举行比价。研究职员发明这些插件网络大宗有关用户浏览习惯的数据发送到公司的服务器，包括URL、UID、页面问题、泉源网址、怎样会见该页面（例如直接输入地点或使用书签或点击链接）、国家代码、浏览器名称及版本号、操作系统及版本号等。
原文链接：
https://thehackernews.com/2019/12/avast-and-avg-browser-plugins.html
5.卡巴斯基宣布针对生物识别数据的威胁趋势报告
卡巴斯基研究职员发明，在第三季度用于网络、处置惩罚和存储生物识别数据的盘算机中有三分之一（37％）遭到恶意软件攻击，所涉及的恶意软件包括特工软件和远控木马（5.4%）、垂纶攻击中使用的恶意软件-主要是特工软件Downloader和Dropper（5.1%）、勒索软件（1.9％）和银行木马（1.5％）。在威胁泉源方面，互联网（14.4％）是生物识别数据处置惩罚系统的主要威胁源，其次是可移动媒体（8％）和网络共享文件夹（6.1％）。随着生物识别认证手艺越来越多地被用于政府和商业办公室、工业自动化系统、公司和小我私家条记本电脑以及手机等，生物识别数据的清静现状需要引起行业和政府羁系机构、清静社区及公众的注重。
原文链接：
https://securelist.com/biometric-data-processing-and-storage-system-threats/95364/
6.英国运动零售商Sweaty Betty遭到Magecart攻击
英国运动零售商Sweaty Betty的网站遭到黑客攻击，客户的支付信息可能被窃。此类攻击被统称为Magecart攻击，凭证该公司发送给客户的通知邮件，该事务影响了11月19日下昼6:24（GMT）到11月27日下昼2:52 PM（GMT）时代在该网站上购物的客户�？赡鼙坏恋男畔ㄐ彰⒚苈搿⒄说サ氐恪⒔桓兜氐恪⒌缱佑始氐恪⒌缁昂怕搿⑿庞每�/借记卡号、CVV数字和有用期。Sweaty Betty指出使用PayPal或Apple Pay举行购物的客户不受影响。
原文链接：
https://www.bleepingcomputer.com/news/security/uk-retailer-sweaty-betty-hacked-to-steal-customer-payment-info/
京公网安备11010802024551号