绿盟威胁情报周报(20200302~20200308)

一、威胁通告

  • V8类型混淆漏洞

【发布时间】2020-03-04 20:00:00 GMT

【概述】2月25日,谷歌Chrome浏览器与微软Edge浏览器发布了安全更新,在Google Chrome 浏览器80.0.3987.122以下与MicrosoftEdge浏览器80.0.361.62以下的版本中,开源 JavaScript和WebAssembly引擎V8中存在一个类型混淆漏洞(CVE-2020-6418),可能导致攻击者非法访问数据,从而执行恶意代码。有研究人员发现,在更新发布前,该漏洞就已经被攻击者用于实际攻击。

http://blog.nsfocus.net/cve-2020-6418-2/

  • Oracle Coherence反序列化远程代码执行漏洞

【发布时间】2020-03-06 22:00:00 GMT

【概述】2020年1月15日,Oracle官方发布了2020年1月关键补丁更新公告,修复了334个不同程度的漏洞。其中包括一个Oracle Coherence反序列化远程代码执行漏洞(CVE-2020-2555),CVSS评分为9.8;该漏洞允许未经身份验证的攻击者通过构造T3网络协议请求进行攻击,成功利用该漏洞可实现在目标主机上执行任意代码。使用了Oracle Coherence库的产品受此漏洞影响,在WebLogic Server 11g Release(10.3.4)及以上版本的安装包中默认集成了Oracle Coherence库。

http://blog.nsfocus.net/cve-2020-2555/

  • Spring-cloud-config-server路径遍历漏洞

【发布时间】2020-03-06 22:00:00 GMT

【概述】绿盟科技安全研究员发现spring-cloud-config-server组件中存在路径遍历漏洞(CVE-2020-5405),2月26日Spring官方发布了漏洞通告并致谢。攻击者利用此漏洞可以实现目录遍历,读取未授权文件的内容,请相关用户尽快升级spring-cloud-config-server至修复版本,对此漏洞进行防护。

http://blog.nsfocus.net/cve-2020-5405/

  • Linux系统pppd远程代码执行漏洞

【发布时间】2020-03-06 22:00:00 GMT

【概述】3月6日,US-CERT发布了一个关于影响PPP daemon(pppd)软件的存在17年之久的远程代码执行漏洞的公告,影响几乎所有基于Linux的操作系统以及网络设备固件。该漏洞为栈缓冲溢出漏洞(CVE-2020-8597),CVSS评分为9.8分;pppd中的eap.c在 eap_request和eap_response函数中rhostname参数存在缓冲区溢出,未经身份验证的攻击者发送恶意伪造的EAP包,可在受影响的系统中远程执行任意代码。

http://blog.nsfocus.net/cve-2020-8597/

二、热点资讯

  • Jackson-databind/Fastjson远程代码执行漏洞

【概述】近日,Jackson-databind修复了2个远程代码执行漏洞(CVE-2020-9547/CVE-2020-9548)。这2个漏洞源于2种新的组件(ibatis-sqlmap以及anteros-core)利用该漏洞可以绕过黑名单限制,在受害机器上远程执行代码。另外,fastjson在使用上述受影响组件时,若开启了autoType功能(autoType功能默认关闭),则也存在对应漏洞。

参考:https://github.com/FasterXML/jackson-databind/issues/2634

  • Weblogic Coherence远程代码执行漏洞

【概述】近日,绿盟科技检测到有国外研究员发布了关于Oracle Coherence反序列化远程代码执行漏洞(CVE-2020-2555)的细节报告。Oracle Coherence在Weblogic 12c后的版本中默认与Weblogic server一起安装。绿盟科技研究员已复现该漏洞,虽然Oracle在今年1月份的关键补丁更新(Critical Patch Update)中已经修复了该漏洞,但鉴于危害较大,建议客户及时检查并安装补进行防护。

参考:https://www.zerodayinitiative.com/blog/2020/3/5/cve-2020-2555-rce-through-a-deserialization-bug-in-oracles-weblogic-server

  • Molerats向政府和电信组织提供后门

【概述】Molerats威胁组织利用鱼叉式网络钓鱼攻击向政府、电信组织提供Spark后门,该后门可让攻击者在受感染系统上打开应用程序并执行命令。Molerats(又名Gaza cybergang)是一个出于政治动机的威胁组织,自2012年以来一直活跃,该组织的受害者主要在中东、欧洲和美国。

参考:https://unit42.paloaltonetworks.com/molerats-delivers-spark-backdoor/

  • APT34组织利用Karkoff针对黎巴嫩政府

【概述】近期APT34组织针对黎巴嫩政府进行网络间谍活动,活动中使用新恶意软件Karkoff实现侦察逻辑,将最终的有效负载分配到特定目标,利用Microsoft Exchange Server作为通信渠道,收集系统信息、域名、主机名和正在运行的操作系统。APT34是一个伊朗威胁组织,至少从2014年开始活跃,该组织在中东发起攻击活动,主要针对金融、政府、能源、化工、电信和其他行业。根据基础设施细节评估该组织为伊朗政府工作。

参考:https://blog.yoroi.company/research/karkoff-2020-a-new-apt34-espionage-operation-involves-lebanon-government/

  • 朝鲜Kimsuky组织威胁韩国发展其TTP

【概述】Kimsuky,也被称为Kimsuki、Velvet Chollima,是一个归属于朝鲜的威胁组织,至少从2013年开始活跃,针对韩国智囊团、工业、核电运营商和统一部等进行间谍活动。近期Kimsuky组织使用一种新恶意软件植入物对韩国发动系列攻击活动。

参考:https://blog.yoroi.company/research/the-north-korean-kimsuky-apt-keeps-threatening-south-korea-evolving-its-ttps/

  • CIA攻击组织(APT-C-39)长期对中国关键领域的网络渗透攻击

【概述】美国中央情报局CIA攻击组织(APT-C-39)对中国进行的长达十一年的网络攻击渗透。在此期间,中国航空航天、科研机构、石油行业、大型互联网公司以及政府机构等多个单位均遭到不同程度的攻击,并主要集中在北京、广东、浙江等省份。

参考:https://mil.huanqiu.com/article/3xHSlXNmuvU

发表评论