Armis发现APC UPS设备中统称为TLSstorm的3个缝隙

颁布功夫 2022-03-11

Armis发现APC UPS设备中统称为TLSstorm的3个缝隙


据媒体3月日报路 ，安全公司Armis在APC的SmartConnect和Smart-UPS系列产品中发现了统称为TLSstorm的3个缝隙。其中2个缝隙涉及UPS和APC云之间的TLS握手过程 ，别离为TLS缓冲区溢露马脚（CVE-2022-22805）和TLS身份验证绕过缝隙（CVE-2022-22806）；第三个缝隙（CVE-2022-0715）可被用来构建一个恶意APC固件版本并作为官方更新进行分发。钻研人员暗示 ，利用这些缝隙可对设备造成物理侵害 ，例如远程销毁设备和断电 ，建议立即装置补丁法式。


https://www.bleepingcomputer.com/news/security/apc-ups-zero-day-bugs-can-remotely-burn-out-devices-disable-power/


Google颁布3月份安全更新 ，建复Android中多个缝隙


3月8日 ，Google颁布了2022年3月的Android 10、11和12安全更新。这次建复的较为严沉的是提权缝隙（CVE-2021-39708） ，位于Android系统组件中 ，不必要用户交互即可远程提升权限；另表2个严沉缝隙是CVE-2021-1942和CVE-2021-35110 ，它们城市影响基于Qualcomm的关源组件。目前 ，没有任何已建复缝隙的技术细节 ，以防还未装置最新补丁的用户遭到攻击。


https://source.android.com/security/bulletin/2022-03-01


阿根廷电商公司Mercado Libre部门源码和用户信息泄露


媒体3月8日报路 ，阿根廷电商公司Mercado Libre称其部门源代码遭到了未经授权的接见。该公司还暗示 ，攻击者还接见了约莫300000个用户的数据。MercadoLibre总部位于布宜诺斯艾利斯 ，是拉丁美洲最大的电子商务和支付生态系统。勒索团伙Lapsus$宣称已经接见了Mercado Libre和Mercado Pago的24000个源代码存储。该团伙还在3月7日提议了一项投票 ，要求用户选出接下来应该泄露数据的公司。


https://www.bleepingcomputer.com/news/security/e-commerce-giant-mercado-libre-confirms-source-code-data-breach/


Akamai在野表发现多起利用Mitel设备的DDoS攻击活动


3月8日 ，Akamai颁布关于利用Mitel设备的DDoS攻击活动的分析汇报。钻研人员观察到利用反射和放大步骤来进行长达14幼时的DDoS攻击活动 ，放大率高达4294967296：1。汇报指出 ，缝隙TP240PhoneHome(CVE-2022-26143)已被兵器化 ，以发起针对宽带ISP、金融机构、物流公司、游戏公司等组织的DDoS攻击。约有2600个露出的Mitel MiCollab和MiVoice Business Express合作系统 ，被攻击者用于提议每秒超过5300万个包(PPS)的DDoS攻击。


https://www.akamai.com/blog/security/phone-home-ddos-attack-vector


Mandiant颁布关于APT41攻击美国当局机构的分析汇报


Mandiant在3月8日颁布一份汇报 ，详述了APT41针对美国当局机构攻击活动。汇报指出 ，在2021年5月至2022年2月期间 ，APT41已攻击了至少6个美国州当局机构 ，利用了USAHERDS 利用法式中的0 day( CVE-2021-44207 ) 和Log4j中的0 day( CVE-2021-44228 )。此表 ，攻击者还使用了新的�？榛疌++后门KEYPLUG和特造的dropper DUSTPAN ，并在C2通讯和数据泄露方面大量使用Cloudflare服务。


https://www.mandiant.com/resources/apt41-us-state-governments


Clearview AI因网络人脸图像被GPDP�？�2000万欧元


据3月9日报路 ，意大利隐衷担保人(GPDP)对Clearview AI处以20000000欧元的�？� ，原因是该公司在未征得用户赞成的情况下在意大利执行了一个生物鉴别监控网络。调查显示 ，这家美国的面部鉴别软件公司占有一个蕴含100亿张人脸图像的数据库 ，其中蕴含从网站中的幼我资料和在线视频中提取的意大利公民面部图像数据。该机构还称Clearview AI占有犯法获得的地理地位数据。Clearview辩护称在意大亨通场的测试已于2020年3月实现 ，但GPDP否决了这一论点。


https://www.bleepingcomputer.com/news/legal/clearview-ai-fined-20m-for-collecting-italians-biometric-data/



安全工具


LAZYPARIAH


易于装置的号令行工具 ，用纯Ruby编写 ，用于产生反向shell payload。


https://github.com/octetsplicer/LAZYPARIAH


lnkbomb


用于网络NTLM哈希的恶意快捷方式产生器。


https://github.com/dievus/lnkbomb


AWS_Loot


搜索一个AWS环境中寻找密钥 ，通过列举环境变量和源代码。


https://github.com/sebastian-mora/AWS-Loot


PwnKit-Exploit


CVE-2021-4034的概想证明 (PoC)。 


https://github.com/luijait/PwnKit-Exploit


安全分析


谷歌以 54 亿美元收购网络安全公司 Mandiant


https://thehackernews.com/2022/03/google-buys-cybersecurity-firm-mandiant.html


Apple 颁布 iOS 15.4 RC ，下周全面上线


https://news.softpedia.com/news/apple-releases-ios-15-4-rc-full-launch-next-week-535010.shtml


Windows 10 KB5011487 和 KB5011485 更新颁布


https://www.bleepingcomputer.com/news/microsoft/windows-10-kb5011487-and-kb5011485-updates-released/


若何对 Apple 设备进行网络安全审查


https://www.hackread.com/how-to-give-apple-devices-a-cybersecurity-review/


Adobe 建补 Illustrator、After Effects 中的“严沉”安全缝隙


https://www.securityweek.com/adobe-patches-critical-security-flaws-illustrator-after-effects