信息清静周报-2020年第33周

宣布时间 2020-08-17

> 本周清静态势综述


2020年08月10日至08月16日共收录清静误差77个，，值得关注的是Apache Struts CVE-2019-0230代码执行误差；；Citrix Systems XenMobile Server CVE-2020-8211未明恣意代码执行误差；；Schneider Electric APC Easy UPS On-Line `FileUploadServlet`路径遍历误差；；SAP Business Objects Business Intelligence Platform Xvfb验证绕过误差; Shenzhen Hichip Vision Technology Firmware P2P效劳代码执行误差。。。。。。


本周值得关注的网络清静事务是FBI忠言伊朗黑客使用F5 BIG-IP误差攻击ADC装备；；Check Point发明高通的Snapdragon芯片保存400多个误差；；Nusenu发明未知组织挟制Tor近四分之一的出口节点；；Adobe宣布清静更新，，修复多款产品中的26个误差；；FBI和NSA联合披露俄罗斯针对Linux的恶意软件Drovorub。。。。。。


凭证以上综述，，本周清静威胁为中。。。。。。


> 主要清静误差列表


1. Apache Struts CVE-2019-0230代码执行误差


Apache Struts框架在被强制使用时，，会对标签的属性举行二次求值误差，，允许远程攻击者使用误差提交特殊的请求，，可执行恣意代码。。。。。。只有在Struts标签属性中强制使用OGNL表达式时，，才华触发误差。。。。。。

https://cwiki.apache.org/confluence/display/ww/s2-059


2. Citrix Systems XenMobile Server CVE-2020-8211未明恣意代码执行误差


Citrix Systems XenMobile Server保存未明清静误差，，允许远程攻击者使用误差提交特殊的请求，，可以应用程序上下文执行恣意代码。。。。。。

https://www.auscert.org.au/bulletins/ESB-2020.2780/


3. Schneider Electric APC Easy UPS On-Line `FileUploadServlet`路径遍历误差


Schneider Electric APC Easy UPS On-Line `FileUploadServlet`保存目录遍历误差，，允许远程攻击者可以使用误差提交特殊的请求，，可上传恣意文件到恣意目录。。。。。。

https://us-cert.cisa.gov/ics/advisories/icsa-20-224-02


4. SAP Business Objects Business Intelligence Platform Xvfb验证绕过误差


SAP Business Objects Business Intelligence Platform Xvfb保存验证绕过误差，，允许远程攻击者使用误差提交特殊的请求，，可未授权会见应用。。。。。。

https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=552603345


5. Shenzhen Hichip Vision Technology Firmware P2P效劳代码执行误差


Shenzhen Hichip Vision Technology Firmware P2P效劳保存清静误差，，允许远程攻击者使用误差提交特殊的请求，，可以应用程序上下文执行恣意代码。。。。。。

https://redprocyon.com



> 主要清静事务综述


1、FBI忠言伊朗黑客使用F5 BIG-IP误差攻击ADC装备


凯旋国际游戏(中国)官方网站


原文链接：

https://www.bleepingcomputer.com/news/security/fbi-iranian-hackers-trying-to-exploit-critical-f5-big-ip-flaw/


2、Check Point发明高通的Snapdragon芯片保存400多个误差


凯旋国际游戏(中国)官方网站


原文链接：

https://www.hackread.com/chip-flaws-turn-android-phones-into-spying-tool/


3、Nusenu发明未知组织挟制Tor近四分之一的出口节点


凯旋国际游戏(中国)官方网站


原文链接：

https://www.zdnet.com/article/a-mysterious-group-has-hijacked-tor-exit-nodes-to-perform-ssl-stripping-attacks/


4、Adobe宣布清静更新，，修复多款产品中的26个误差


凯旋国际游戏(中国)官方网站

原文链接：

https://www.bleepingcomputer.com/news/security/adobe-fixes-critical-code-execution-bugs-in-acrobat-and-reader/    


5、FBI和NSA联合披露俄罗斯针对Linux的恶意软件Drovorub


凯旋国际游戏(中国)官方网站


原文链接：

https://www.zdnet.com/article/fbi-and-nsa-expose-new-linux-malware-drovorub-used-by-russian-state-hackers/