信息清静周报-2021年第41周

宣布时间 2021-10-11

>本周清静态势综述


本周共收录清静误差49个 ，值得关注的是Apache HTTP Server HTTP/2剖析空指针引用拒绝服务误差；Zoho ManageEngine ADManager Plus CVE-2021-37931文件上传代码执行误差；Google Android框架CVE-2021-0652代码执行误差；Visual Tools DVR VX cgi-bin/slogin/login.py下令执行误差; Google chrome Safe Browsing内存过失引用代码执行误差。


本周值得关注的网络清静事务是由于Firebase设置过失14个应用可能泄露1.4亿用户信息；Facebook路由设置过失导致全球规模内服务中止；英国逐日电讯报Elasticsearch设置过失泄露10TB数据；Twitch因服务器设置过失泄露125GB源代码等信息；Cyberint发明Vidar使用Mastodon的新一轮攻击运动。


凭证以上综述 ，本周清静威胁为中。


>主要清静误差列表


1. Apache HTTP Server HTTP/2剖析空指针引用拒绝服务误差


Apache HTTP Server保存目录遍历误差 ，允许远程攻击者可以使用误差提交特殊的请求 ，可以应用程序上下文审查系统文件内容或者以应用程序上下文执行恣意代码。


https://httpd.apache.org/security/vulnerabilities_24.html


2. Zoho ManageEngine ADManager Plus CVE-2021-37931文件上传代码执行误差


Zoho ManageEngine ADManager Plus保存恣意文件上传误差 ，允许远程攻击者可以使用误差提交特殊的请求 ，可上传恶意文件 ，以应用程序上下文执行恣意代码。


https://www.manageengine.com/products/ad-manager/release-notes.html#7111


3. Google Android框架CVE-2021-0652代码执行误差


Google Android框架保存清静误差 ，允许远程攻击者使用误差提交特殊的请求 ，可以应用程序上下文执行恣意代码 ，提升权限。


https://source.android.com/security/bulletin/2021-10-01


4. Visual Tools DVR VX cgi-bin/slogin/login.py下令执行误差


Visual Tools DVR VX16  cgi-bin/slogin/login.py Uaer-Agent HTTP处置惩罚保存清静误差 ，允许远程攻击者可以使用误差提交特殊的请求 ，可执行恣意代码。


https://www.exploit-db.com/exploits/50098


5. Google chrome Safe Browsing内存过失引用代码执行误差


Google chrome Safe Browsing保存释放后使用误差 ，允许远程攻击者使用误差提交特殊的WEB页请求 ，诱使用户剖析 ，可以应用程序上下文执行恣意代码或者使应用程序瓦解。


https://chromereleases.googleblog.com/2021/09/stable-channel-update-for-desktop_30.html


 >主要清静事务综述


1、由于Firebase设置过失14个应用可能泄露1.4亿用户信息


9月30日 ， CyberNews 研究员 Martynas Vareikis 宣布报告称 ，由于 Firebase 数据库设置过失 ，导致数以千计的 iOS / Android 应用程序泄露了凌驾1.4亿条信息。Firebase 是 Google 提供的“后端即服务”产品 ，其中包括了大宗发服务 ，旨在利便移动开发职员建设基于这些服务的移动或 Web 应用。


原文链接：

https://cybernews.com/security/research-popular-android-apps-with-142-5-million-collective-downloads-are-leaking-user-data/


2、Facebook路由设置过失导致全球规模内服务中止


10月4日 ，Facebook旗下多个平台和服务 ，包括 Facebook、Instagram、Messenger和 WhatsApp等 ，相继泛起严重服务中止。用户无法登入程序 ，程序无法联机和更新 ，没法收发信息 ，就连以 Facebook账号登入的程序和服务亦受到牵连 ，不可正常登入。Facebook厥后发声明指 ，内部路由器泛起问题 ，连锁反应导致服务周全中止 ，虽然服务已回复 ，但内部仍在全力改善系统 ，以回复正常事情状态。


原文链接：

https://www.bleepingcomputer.com/news/technology/facebook-outage-caused-by-faulty-routing-configuration-changes/


3、英国逐日电讯报Elasticsearch设置过失泄露10TB数据


10月6日 ，研究员 Bob Diachenko 发明了一个属于英国报纸“电讯报”的未受�；さ� 10 TB 数据库。不清静的数据库于9 月 14 日被发明 ，其中包括内部日志和订阅者信息。数据存储在袒露的 Elasticsearch 集群上 ，大部分数据都经由加密 ，但至少 1,200 名 Telegraph 订阅者和注册者的小我私家详细信息以及大宗内部服务器日志都已经由明确测试。


原文链接：

https://securityaffairs.co/wordpress/123020/data-breach/the-telegraph-data-leak.html


4、Twitch因服务器设置过失泄露125GB源代码等信息


10月6日 ，黑客在4chan果真了包括125GB数据的torrent链接 ，称这是从约莫6000个内部Twitch Git存储库中窃取的 ，包括源代码和支付纪录等信息。别的 ，攻击者还使用了标签#DoBetterTwitch ，证实此次攻击事务可能旨在针对Twitch 8月份没有回应和抵御对主播的攻击运动。Twitch在10月7日确认其数据泄露是由于服务器设置过失导致的 ，没有登录凭证和信用卡号泄露。


原文链接：

https://www.bleepingcomputer.com/news/security/twitch-no-credentials-or-card-numbers-exposed-in-data-breach/


5、Cyberint发明Vidar使用Mastodon的新一轮攻击运动


Cyberint发明恶意软件Vidar在新一轮攻击运动中回归。Vidar自2018年10月以来最先活跃 ，旨在从目的系统中窃取电子邮件凭证、谈天帐户详细信息、cookie等数据。此次运动中 ，攻击者首先建设Mastodon账号 ，并在小我私家资料形貌部分添加恶意软件使用的C2的IP。其还使用了另一种分发要领 ，直接在社交媒体平台上发送新闻 ，或者是使用破解游戏的torrent。


原文链接：

https://www.bleepingcomputer.com/news/security/vidar-stealer-abuses-mastodon-to-silently-get-c2-configuration/