江苏龙网

  1. 首页 > 人文 > >

SecMind近期安全资讯第十九期

MicrosoftExcel内存破坏代码执行漏洞（CNVD-2020-50118）；IBMSecurityGuardiumDataEncryption(GDE)任意命令执行漏洞（CNVD-2020-49945）；GoogleChrome代码执行漏洞（CNCD-2020-49906） 。本周值得关注的网络安全事件是：
再见 ， 旧证书:SSLTLS证书寿命缩短至398天Level3网络故障导致全球流量下跌3.5%；新型Windows恶意软件KryptoCibule ， 专门针对加密货币用户 。 为了提高安全性 ， 苹果、谷歌和Mozilla将拒绝在各自的浏览器中使用创建日期已超过13个月（或398天）的公开数字证书 。
对于一些企业来说 ， 并不想每年更换证书 ， 但基于安全性 ， 却不得不这么做 。 一方面 ， 短期更换证书能确保Web开发人员始终使用最新的SSL证书加密标准和技术 ， 另外 ， 还能降低黑客利用旧的或被忽略的SSL证书进行网络钓鱼或恶意软件攻击的风险 。 反之 ， 有效期的缩短给管理证书的Web开发人员或网站所有者带来了更多的工作量 ， 将要求他们增加证书替换的频率 ， 这也意味着成本的提高 ， 而企业如果忽略证书的有效期 ， 导致证书过期 ， 那么频繁的过期证书警告可能导致Web访问者更容易绕过安全警告 ， 还可能造成服务中断从而给企业带来财产损失 。 因此 ， 如何管理大规模寿命短暂的证书 ， 将是企业需要思考的问题 。
Level3网络故障导致全球流量下跌3.5%
8月30日标准时间上午十点 ， 美国网络服务商CenturyLink/Level(3)发现一个存在问题的Flowspec规则防止了BGP广播 ， 导致其整个网络出现问题 ， 而下游ISP和CDN服务商跟着出现访问问题 。
Flowspec是BGP的一个扩展 ， 允许防火墙规则在整个网络之间快速发布 ， 它可以在极短时间内推送新防火墙规则 ， 如果正确使用的话 ， 它是一个强大的工具 ， 但如果出现错误的话 ， 它可能会造成巨大的影响 。
Level3网络故障的起源很可能是它试图发出新的Flowspec规则去屏蔽网络中的攻击或其他问题 。
Level3宕机期间导致全球流量下跌了3.5% 。
网络安全公司ESET今天发布了一份报告 ， 详细介绍了该公司命名为KryptoCibule的新型Windows恶意软件 。 ESET表示 ， 该恶意软件至少从2018年12月开始传播 ， 但直到现在才浮出水面 。 据该公司称 ， KryptoCibule面向加密货币用户 ， 该恶意软件的主要三个功能是（1）在受害者的系统上安装一个加密货币矿工;（2）窃取与加密货币钱包相关的文件;以及（3）替换其中的钱包地址 。 操作系统的剪贴板来劫持加密货币支付 。 这些功能是恶意软件创建者长久开发工作的结果 ， 自2018年末第一个版本以来 ， 他们就在KryptoCibule的代码中缓慢添加了新项目 。
根据ESET的说法 ， 该恶意软件已缓慢演变为复杂的多组件威胁 ， 远远超过了我们在其他大多数恶意软件中所看到的 。 目前 ， 该恶意软件是通过用于盗版软件的种子文件传播的 。 ESET表示 ， 下载这些种子的用户将安装盗版软件的同时运行恶意软件的安装程序 。
MicrosoftExcel是美国微软（Microsoft）公司的一款Office套件中的电子表格处理软件 。
MicrosoftExcel中存在远程代码执行漏洞 ， 该漏洞源于程序未能正确处理内存中的对象 。 攻击者可借助特制文件利用该漏洞运行任意代码 。
IBMSecurityGuardiumDataEncryption（GDE）任意命令执行（CNVD-2020-49945）
IBMSecurityGuardiumDataEncryption(GDE)提供了一组模块化的加密解决方案 ， 可帮助安全团队有效地实现整个组织的静态数据安全性 。
IBMSecurityGuardiumDataEncryption(GDE)3.0.0.2存在任意命令执行漏洞 ， 远程认证攻击者可通过发送特制请求利用该漏洞在系统上执行任意命令 。
GoogleChrome代码执行漏洞（CNVD-2020-49906）
GoogleChrome是美国谷歌（Google）公司一款Web浏览器 。
GoogleChrome85.0.4183.83之前版本中的WebUSB存在安全漏洞 。 远程攻击者可以利用此漏洞在系统上执行任意代码或造成拒绝服务情况 。
公司官网/SecMind安全管家/豌豆学院/服务案例
上海豌豆信息技术有限公司为企业提供优质的安全服务
关注我们获取更多安全资讯 ， 关注同名公众号（ID：SecMind安全管家）还可使用【漏洞扫描】、【反薅羊毛】等等网络安全产品！


    推荐阅读


    上一篇：西班牙今秋将全面部署5G网络

    下一篇：CVC8.0降噪+32h续航，漫步者W3漫威定制版重构你想象