《维他命》逐日清静简讯20190117
宣布时间 2019-01-17
1、机票预订系统Amadeus严重误差，影响全球141家航空公司
以色列清静研究员Noam Rotem发明机票预订系统Amadeus保存一个严重的清静误差，可导致用户信息泄露和账户更改。Rotem在以色列航空公司ELAL预订机票时发明了这一问题，在预订航班后，游客会收到PNR号码和用于审查预订信息的链接。Rotem发明通过将该链接上的RULE_SOURCE_1_ID参数修改为其它人的PNR号码即可审查他人的预订信息，攻击者还可使用这些信息会见ELAL门户网站并更改受害者的账户信息，包括兑换里程、更改邮件地址和电话号码等。由于Amadeus开发的机票预订系统被全球至少141家航空公司使用（包括美国团结航空公司、德国汉莎航空公司和加拿大航空公司等），因此该误差可能影响了数亿游客。现在Amadeus已经修复了该问题。
2、OVH、Dreamhost等五大托管服务商保存多个清静误差
3、研究团队披露楼宇自动化系统BAS中的6个0day
ForeScout研究团队发明楼宇自动化系统（BAS）中的6个0day。这些误差保存于BAS的PLC和网关协议等组件中，误差规模包括XSS、路径遍历、恣意文件删除和身份验证绕过，攻击者可使用这些误差窃取敏感信息、会见或删除要害文件和执行恶意操作等。研究职员通过Shodan和Censys发明了凌驾9000个易受攻击的装备，别的尚有凌驾1万个IP摄像机易受攻击。BAS系统不但用于住宅和商业修建中，还保存于医院、机场、学校和数据中心等。建议用户尽快装置修复补丁。
4、堡垒之夜多个误差可允许攻击者接受玩家账户
Check Point研究职员发明Fortnite（堡垒之夜）中的多个清静误差，其中一个误差可导致远程攻击者完全接受玩家的账号。凭证研究职员的说法，误差的规模包括SQL注入、XSS、WAF绕过以及账户接受。研究职员称Epic Games子域上的xss和恶意重定向问题允许攻击者通过诱骗用户点击恶意链接来窃取用户的身份验证令牌。Fortnite在全球拥有8000万玩家，这些用户都可能受到影响。Epic Games已在2018年12月中旬修复了这些误差。
5、VoIP服务商VOIPO意外泄露已往四年的客户数据
研究职员Justin Paine通过Shodan发明一个可果真会见的ElasticSearch数据库，该数据库属于VoIP服务商VOIPO，其中包括了该公司已往四年的客户数据。凭证Paine的说法，该数据库包括可追溯至2017年7月的670万条通话纪录、可追溯至2015年12月的600万条短信/彩信日志以及100万条包括内部系统API KEY的日志。研究职员于1月8日向VOIPO转达了这一发明，该公司在统一天将数据库举行了脱机掩护。
6、Magecart Group 12通过供应链攻击熏染277个电子商务网站
声明：本资讯由酷游官网维他命清静小组翻译和整理
以色列清静研究员Noam Rotem发明机票预订系统Amadeus保存一个严重的清静误差，可导致用户信息泄露和账户更改。Rotem在以色列航空公司ELAL预订机票时发明了这一问题，在预订航班后，游客会收到PNR号码和用于审查预订信息的链接。Rotem发明通过将该链接上的RULE_SOURCE_1_ID参数修改为其它人的PNR号码即可审查他人的预订信息，攻击者还可使用这些信息会见ELAL门户网站并更改受害者的账户信息，包括兑换里程、更改邮件地址和电话号码等。由于Amadeus开发的机票预订系统被全球至少141家航空公司使用（包括美国团结航空公司、德国汉莎航空公司和加拿大航空公司等），因此该误差可能影响了数亿游客。现在Amadeus已经修复了该问题。
原文链接：
https://thehackernews.com/2019/01/airlines-flight-hacking.html2、OVH、Dreamhost等五大托管服务商保存多个清静误差
清静研究职员Paulos Yibelo发明全球五大托管服务商（Bluehost、Dreamhost、HostGator、OVH和iPage）保存多个清静误差，使得它们的客户和托管的网站面临黑客攻击的危害。这些服务商或许托管了700万个网站。Yibelo共发明了约12个误差，包括CORS设置不当导致的信息泄露、账户接受、中心人攻击、XSS、API设置过失和CSP绕过等。Yibelo向这些服务商报告了他的视察效果，现在除了OVH尚未举行回应之外，其它服务商已经修复了误差。
原文链接：
https://thehackernews.com/2019/01/web-hosting-server-security.html3、研究团队披露楼宇自动化系统BAS中的6个0day
ForeScout研究团队发明楼宇自动化系统（BAS）中的6个0day。这些误差保存于BAS的PLC和网关协议等组件中，误差规模包括XSS、路径遍历、恣意文件删除和身份验证绕过，攻击者可使用这些误差窃取敏感信息、会见或删除要害文件和执行恶意操作等。研究职员通过Shodan和Censys发明了凌驾9000个易受攻击的装备，别的尚有凌驾1万个IP摄像机易受攻击。BAS系统不但用于住宅和商业修建中，还保存于医院、机场、学校和数据中心等。建议用户尽快装置修复补丁。
原文链接：
https://www.bleepingcomputer.com/news/security/zero-day-vulnerabilities-leave-smart-buildings-open-to-cyber-attacks/4、堡垒之夜多个误差可允许攻击者接受玩家账户
Check Point研究职员发明Fortnite（堡垒之夜）中的多个清静误差，其中一个误差可导致远程攻击者完全接受玩家的账号。凭证研究职员的说法，误差的规模包括SQL注入、XSS、WAF绕过以及账户接受。研究职员称Epic Games子域上的xss和恶意重定向问题允许攻击者通过诱骗用户点击恶意链接来窃取用户的身份验证令牌。Fortnite在全球拥有8000万玩家，这些用户都可能受到影响。Epic Games已在2018年12月中旬修复了这些误差。
原文链接：
https://thehackernews.com/2019/01/fortnite-account-hacked.html5、VoIP服务商VOIPO意外泄露已往四年的客户数据
研究职员Justin Paine通过Shodan发明一个可果真会见的ElasticSearch数据库，该数据库属于VoIP服务商VOIPO，其中包括了该公司已往四年的客户数据。凭证Paine的说法，该数据库包括可追溯至2017年7月的670万条通话纪录、可追溯至2015年12月的600万条短信/彩信日志以及100万条包括内部系统API KEY的日志。研究职员于1月8日向VOIPO转达了这一发明，该公司在统一天将数据库举行了脱机掩护。
原文链接：
https://thehackernews.com/2019/01/voip-service-database-hacking.html6、Magecart Group 12通过供应链攻击熏染277个电子商务网站
凭证RiskIQ和趋势科技的报告，一个新的Magecart犯法团伙（Magecart Group 12）通过供应链攻击乐成熏染了近277个电子商务网站。遭到Magecart Group 12攻击的是法国在线广告公司Adverline提供的JavaScript库。欧洲数百个电子商务网站都使用Adverline的服务来展示广告。在接到通知后，Adverline连忙从其JavaScript库中删除了恶意代码。研究职员在报告中还宣布了与Magecart Group 12相关的IoC。
原文链接：
https://thehackernews.com/2019/01/magecart-hacking-credit-cards.html声明：本资讯由酷游官网维他命清静小组翻译和整理
京公网安备11010802024551号