针对英特尔CPU的新LVI侧信道攻击；微软捣毁僵尸网络Necurs；罗克韦尔及江森自控修复多个误差
宣布时间 2020-03-121.研究职员发明针对英特尔CPU的新LVI侧信道攻击
研究职员发明针对Intel CPU的新LVI（负载值注入）攻击，该攻击允许攻击者更改程序的正常执行和窃取SGX清静区域内的密码、证书私钥等敏感数据。该问题被追踪为CVE-2020-0551，由一组研究团队在2019年4月4日报告给Intel，Bitdefender研究职员还自力发明了LVI类攻击的一种变体（LVI-LFB），并于2020年2月报告给了Intel。只管该攻击仅被视为理论上的威胁，但Intel已宣布了响应的固件补丁以减轻对目今CPU的攻击，并将在下一代（硬件设计）中安排该修复程序。从手艺上讲，LVI是Meltdown攻击的反向，它允许攻击者将代码注入CPU内并使其作为过渡的“暂时”操作执行，从而使攻击者获得更好的控制权。在现实测试中只有英特尔CPU被确认受新的LVI攻击影响，但研究职员并不扫除AMD和ARM也可能受到影响。
原文链接：
https://www.bleepingcomputer.com/news/security/new-lvi-intel-cpu-data-theft-vulnerability-requires-hardware-fix/
2.微软捣毁僵尸网络Necurs，熏染全球900万台电脑
微软宣布捣毁垃圾邮件僵尸网络Necurs，Necurs是目今全球最大的僵尸网络之一，据称它在全球熏染了凌驾900万台盘算机。3月5日美国纽约东区地要领院宣布了一项下令，允许微软接受Necurs在美国的基础设施。别的，微软通太过析和破解Necurs使用的域名天生算法（DGA），能够准确地展望在未来25个月内Necurs将建设并用作基础设施的凌驾600万个域名。微软将这些域名报告给了天下各国的注册治理机构，从而阻止这些域名被注册和成为Necurs基础架构的一部分。通过控制其现有基础设施和抑制其未来注册新域名的能力，微软乐成捣毁Necurs。
原文链接：
https://www.bleepingcomputer.com/news/security/microsoft-takes-control-of-necurs-us-based-infrastructure/
3.微软宣布3月Windows清静更新，修复115个误差
微软宣布的3月Windows清静更新修复了115个误差，这是该公司历史上最大的一个周二补丁更新。其中Windows LNK快捷文件中的误差（CVE-2020-0684）需要关注，该误差可导致攻击者以用户权限远程执行代码。攻击者可以向用户提供包括恶意.LNK文件和相关恶意二进制文件的可移动驱动器或远程共享，当用户在Windows资源治理器或任何其他剖析.LNK文件的应用程序中翻开此驱动器（或远程共享）时，恶意二进制文件将在目的系统上执行攻击者的代码。完整误差列表请参考以下链接。
原文链接：
https://www.zdnet.com/article/microsoft-march-2020-patch-tuesday-fixes-115-vulnerabilities/
4.罗克韦尔及江森自控修复ICS装备中的多个误差
罗克韦尔自动化（Rockwell Automation）和江森自控（Johnson Controls）修复其ICS装备中的多个误差。罗克韦尔自动化修复的多个要害误差影响了MicroLogix 1400控制器、MicroLogix 1100控制器和RSLogix 500软件，误差规模包括硬编码的加密密钥（CVE-2020-6990）、弱密码�；に惴ǎ–VE-2020-6984）、身份验证绕过（CVE-2020-6988）以及明文存储敏感信息（CVE-2020-6980）。江森自控则修复了Kantech EntraPass产品中的不准确输入验证误差（CVE-2019-7589）。这些误差的CVSS v3评分均为9.8分，建议用户尽快应用更新或缓解步伐。
原文链接：
https://threatpost.com/critical-bugs-in-rockwell-johnson-controls-ics-gear/153602/
5.Intel宣布清静更新，修复多个产品中的27个误差
英特尔本周宣布清静更新，修复图形驱动程序、FPGA、处置惩罚器NUC、BlueZ等产品中的27个误差。Intel在图形驱动程序中修复了17个误差，其中最严重的误差是缓冲区溢出误差（CVE-2020-0504），该误差可能导致拒绝服务，其CVSS评分为8.4。Intel在FPGA PAC N3000中修复了两个误差，包括特权升级误差（CVE-2019-14626）和拒绝服务误差（CVE-2019-14625），这两个误差均为中危误差。别的，Intel还为NUC固件修复了不适当的缓冲区限制和输入验证误差，这两个误差划分被跟踪为CVE-2020-0530和CVE-2020-0526，其CVSS评分划分为7.8和7.7，都可能导致特权升级。
原文链接：
https://www.securityweek.com/intel-patches-27-vulnerabilities-across-product-portfolio
6.Whisper数据库可果真会见，泄露约9亿条纪录
据《华盛顿邮报》报道，匿名神秘共享应用Whisper由于数据库可果真会见，导致约9亿条纪录泄露。研究职员Matthew Porter和Dan Ehrlich发明了该数据库，数据库中存储的数据是从2012年该APP宣布一直到现在的所有数据。只管纪录中不包括用户名，但其中包括昵称、年岁、种族、性别、家乡、整体成员关系以及与发帖相关的位置数据。这些位置信息包括来自用户最近发帖的坐标，例如特定的学校、事情场合和住民区。Whisper在接到通知后作废了该数据库的会见权限，并通知了联邦执法机构。
原文链接：
https://www.zdnet.com/article/whisper-an-anonymous-secret-sharing-app-failed-to-keep-messages-profiles-private/
京公网安备11010802024551号