《维他命》逐日清静简讯20180910
宣布时间 2018-09-1001
美国政府问责办公室GAO宣布关于Equifax数据泄露事务的回首报告
美国政府问责办公室（GAO）宣布关于2017年Equifax数据泄露事务的回首报告，报告中详细说明晰Equifax遭到黑客入侵的情形以及该公司在事务爆发时代和之后的响应 。2017年3月8日Apache修复了Struts Java框架中的误差（CVE-2017-5638），统一天US-CERT针对该误差宣布了清静警报 。Equifax IT管理员向内部邮件列表转发了此误差警报，但该邮件列表已过时，并没有包括所有的系统管理员，这间接导致了服务器的补丁修复事情不完整 。
原文链接：
https://www.gao.gov/assets/700/694158.pdf
02
研究团队发明数十个iOS应用网络并与第三方共享用户的位置信息
GuardianApp研究团队发明数十个iOS应用网络用户的位置数据，并将这些数据与第三方共享 。这些数据网络不是神秘举行的，所有的应用都会要求用户的允许，但问题在于，这些应用很少或基础没有提及会将位置数据与第三方共享，以用于与APP无关的目的 。大大都情形下这些应用会网络GPS坐标、蓝牙LE信标数据以及Wi-Fi SSID（网络名称）和BSSID（网络MAC地址）数据 � Ｉ杏幸恍┯τ没嵬鏕PS高度和速率信息、电池充电状态、蜂窝网络名称、加速率计信息和IDFA广告标识符等数据 。
原文链接：
https://guardianapp.com/ios-app-location-report-sep2018.html
03
研究职员称可果真会见的.Git目录导致凌驾39万个网站易受攻击
Lynt Services的研究职员VladimírSmitka发明可果真会见的.git目录导致凌驾39万个网站易受攻击 。许多Web开发职员使用开源工具Git来构建页面，但他们往往将.git文件夹遗留在网站的公共可会见部分，甚至包括一些主要的信息，例如网站结构的信息、数据库密码、API密钥、开发IDE设置等 。
原文链接：
https://threatpost.com/open-git-directories-leave-390k-websites-vulnerable/137299/
04
研究职员发明Supermicro服务器的BMC更新机制保存误差
Eclypsium的研究职员发明Supermicro服务器的BMC更新机制保存清静误差，攻击者可能使用该误差装置长期性恶意软件或者完全擦除并重新装置操作系统 。BMC在底层运行，其级别低于主机的操作系统和系统固件，因此往往成为攻击者的目的 。研究职员发明Supermicro服务器的BMC更新机制没有实现代码的署名验证机制，也没有检查固件是否是从正当泉源下载的 。
原文链接：
https://securityaffairs.co/wordpress/75999/hacking/flaw-supermicro-servers.html
05
Google宣布9月Android清静更新，共修复50多个误差
9月的Android清静更新包括两个部分，其中清静补丁级别2018-09-01修复了24个误差，清静补丁级别2018-09-05修复了35个误差 。受影响的组件包括Android runtime、framework、Library、System和媒体框架等 。严重性较高的误差包括三个System特权提升误差和两个媒体框架中的远程代码执行误差 。Google还宣布了2018年9月的Pixel/Nexus清静通告，修复了内核和高通组件中的15个清静误差 。
原文链接：
https://source.android.com/security/bulletin/2018-09-01
06
Fraunhofer SIT研究职员演示怎样诱骗证书揭晓机构
凭证The Register的一份报告，德国Fraunhofer清静信息手艺研究所（SIT）的研究职员演示怎样诱骗证书揭晓机构 。Haya Shulman博士体现，他们可以通过DNS缓存中毒攻击将CA重定向至攻击者的盘算机 。由于基于域验证（DV）的证书可以被诱骗，组织应该转移到通过其它更清静的要领验证的证书，例如扩展验证（EV）或组织验证（OV） 。
原文链接：
https://www.infosecurity-magazine.com/news/german-researchers-spoof-protected/
1、美国政府问责办公室GAO宣布关于Equifax数据泄露事务的回首报告
美国政府问责办公室（GAO）宣布关于2017年Equifax数据泄露事务的回首报告，报告中详细说明晰Equifax遭到黑客入侵的情形以及该公司在事务爆发时代和之后的响应 。2017年3月8日Apache修复了Struts Java框架中的误差（CVE-2017-5638），统一天US-CERT针对该误差宣布了清静警报 。Equifax IT管理员向内部邮件列表转发了此误差警报，但该邮件列表已过时，并没有包括所有的系统管理员，这间接导致了服务器的补丁修复事情不完整 。
原文链接：
https://www.gao.gov/assets/700/694158.pdf
2、研究团队发明数十个iOS应用网络并与第三方共享用户的位置信息
GuardianApp研究团队发明数十个iOS应用网络用户的位置数据，并将这些数据与第三方共享 。这些数据网络不是神秘举行的，所有的应用都会要求用户的允许，但问题在于，这些应用很少或基础没有提及会将位置数据与第三方共享，以用于与APP无关的目的 。大大都情形下这些应用会网络GPS坐标、蓝牙LE信标数据以及Wi-Fi SSID（网络名称）和BSSID（网络MAC地址）数据 � Ｉ杏幸恍┯τ没嵬鏕PS高度和速率信息、电池充电状态、蜂窝网络名称、加速率计信息和IDFA广告标识符等数据 。
原文链接：
https://guardianapp.com/ios-app-location-report-sep2018.html
3、研究职员称可果真会见的.Git目录导致凌驾39万个网站易受攻击
Lynt Services的研究职员VladimírSmitka发明可果真会见的.git目录导致凌驾39万个网站易受攻击 。许多Web开发职员使用开源工具Git来构建页面，但他们往往将.git文件夹遗留在网站的公共可会见部分，甚至包括一些主要的信息，例如网站结构的信息、数据库密码、API密钥、开发IDE设置等 。
原文链接：
https://threatpost.com/open-git-directories-leave-390k-websites-vulnerable/137299/
4、研究职员发明Supermicro服务器的BMC更新机制保存误差
Eclypsium的研究职员发明Supermicro服务器的BMC更新机制保存清静误差，攻击者可能使用该误差装置长期性恶意软件或者完全擦除并重新装置操作系统 。BMC在底层运行，其级别低于主机的操作系统和系统固件，因此往往成为攻击者的目的 。研究职员发明Supermicro服务器的BMC更新机制没有实现代码的署名验证机制，也没有检查固件是否是从正当泉源下载的 。
原文链接：
https://securityaffairs.co/wordpress/75999/hacking/flaw-supermicro-servers.html
5、Google宣布9月Android清静更新，共修复50多个误差
9月的Android清静更新包括两个部分，其中清静补丁级别2018-09-01修复了24个误差，清静补丁级别2018-09-05修复了35个误差 。受影响的组件包括Android runtime、framework、Library、System和媒体框架等 。严重性较高的误差包括三个System特权提升误差和两个媒体框架中的远程代码执行误差 。Google还宣布了2018年9月的Pixel/Nexus清静通告，修复了内核和高通组件中的15个清静误差 。
原文链接：
https://source.android.com/security/bulletin/2018-09-01
6、Fraunhofer SIT研究职员演示怎样诱骗证书揭晓机构
凭证The Register的一份报告，德国Fraunhofer清静信息手艺研究所（SIT）的研究职员演示怎样诱骗证书揭晓机构 。Haya Shulman博士体现，他们可以通过DNS缓存中毒攻击将CA重定向至攻击者的盘算机 。由于基于域验证（DV）的证书可以被诱骗，组织应该转移到通过其它更清静的要领验证的证书，例如扩展验证（EV）或组织验证（OV） 。
原文链接：
https://www.infosecurity-magazine.com/news/german-researchers-spoof-protected/
京公网安备11010802024551号