微软颁布垂危更新，，， ， ，建复Office和Paint 3D中多个缝隙； ；； ；；；；美国SBA官网存在缝隙泄露8000家企业的敏感信息
颁布功夫 2020-04-241.微软颁布垂危更新，，， ， ，建复Office和Paint 3D中多个缝隙
Microsoft颁布了垂危安全更新，，， ， ，以建复使用了Autodesk FBX库的Microsoft产品，，， ， ，蕴含多个版本的Microsoft Office和Windows 10利用法式Paint 3D。。。。。。本次建复的缝隙为FBX库中的远程执行代码缝隙，，， ， ，攻击者利用此缝隙能够获得与本地用户一样的权限，，， ， ，Autodesk在4月15日推出了针对此缝隙的补丁法式。。。。。。Microsoft暗示，，， ， ，黑客必须诱使用户打开其特造的3D文件能力够成功利用此缝隙，，， ， ，因而，，， ， ，在安全更新之前用户必要远离那些可疑文件以保障安全。。。。。。
原文链接：
https://news.softpedia.com/news/microsoft-releases-emergency-update-for-windows-10-app-microsoft-office-529800.shtml
2.美国SBA官网存在缝隙泄露8000家企业的敏感信息
美国幼型企业治理局（SBA）官网存在缝隙，，， ， ，泄露了8000家企业的敏感信息，，， ， ，将导致其掌管的经济中伤苦难贷款（EIDL）的分发延长。。。。。。这次数据泄露是由于当部门署网站时存在问题，，， ， ，导致用户在申请贷款的页面尝试后退时，，， ， ，便能够看到其他企业的信息。。。。。。泄露的数据蕴含姓名、社会安全号码、税号、地址、诞生日期、电子邮件、电话号码、婚姻和公民关系、家庭人数、收入、披露查问以及金融和保险信息。。。。。。新闻媒体CNBC暗示，，， ， ，当局为了赔偿受到影响的企业，，， ， ，将为其提供为期一年的身份偷窃�； ；； ；；；；し瘛！�。。。。
原文链接：
https://threatpost.com/small-businesses-covid-19-loans-data-exposure/155013/
3.英国电商Robert Dyas遭攻击，，， ， ，约2万客户支付信息被窃
3月7日至30日，，， ， ，英国电商公司Robert Dyas的网站遭到信誉卡窃取恶意剧本的攻击，，， ， ，泄露了该公司约2万名客户的支付信息，，， ， ，蕴含客户姓名、地址、信誉卡卡号、有效期和安全代码（CVV）等。。。。。� ？？？？ ？Ｄ芄蝗沸诺氖钦獯喂セ魑庞ㄇ匀《褚馊砑セ鳎� ， ，但由于信息不及目前无法确定该恶意软件是否为Magecart。。。。。。这类攻击通常是针对供给链的，，， ， ，通过粉碎支付页面中的第三方网站将恶意Javascript注入到付款页面钟祝。。。。。Robert Dyas公司暗示，，， ， ，自3月30日发现攻击后，，， ， ，他们第一功夫采取了措施，，， ， ，并保障自3月31日起网站便能够安全运杏祝。。。。。
原文链接：
https://www.theregister.co.uk/2020/04/22/robert_dyas_card_skimmer/
4.Tag Barnakle入窃祗业告白服务器Revive传布恶意告白
据告白安全公司Confiant报路，，， ， ，Tag Barnakle黑客组织入对准了企业的开源自托管告白服务器Revive以传布恶意告白，，， ， ，近几个月已经有几十台服务器被攻击，，， ， ，蕴含那些颁布商和告白公司自营的告白服务器。。。。。。Tag Barnakle团伙是通过向网站注入恶意JavaScript代码实现攻击的，，， ， ，这些代码能够检测指标机械是否打开了Firebug或浏览器的开发人员节造台，，， ， ，若是未打开，，， ， ，则将用户沉定向到分发虚伪Adobe Flash更新的恶意网站。。。。。。Confiant调查发现Tag Barnakle攻击了超过360个网站。。。。。。
原文链接：
https://www.bleepingcomputer.com/news/security/revive-ad-servers-being-hacked-to-distribute-malicious-ads/
5.钻研人员发现3款智能家居系统存在多个安全缝隙
ESET IoT Research钻研人员在3款分歧的智能家居系统Fibaro Home Center Lite、Homematic Central Control Unit (CCU2) 和 eLAN-RF-003中发现了多个安全缝隙，，， ， ，这些缝隙可能导致敏感数据泄露、远程代码执行和中央人攻击等。。。。。。Fibaro产品由于短缺证书验证使得其TLS链接容易受到中央人攻击，，， ， ，从而使攻击者获得root用户接见权限。。。。。。eQ?3的产品CCU2存在RCE缝隙，，， ， ，使攻击者能够通过大量shell号令来利用RCE缝隙，，， ， ，以root用户身份执行未经身份验证的远程代码。。。。。。ELKO EP的产品eLAN-RF-003 由于存在一些缝隙，，， ， ，导致其存在敏感信息泄漏、易受纪录和沉放攻击的问题。。。。。。ESET IoT Research暗示，，， ， ，几家设备造作商均在接受汇报后的90天内建复了这些缝隙。。。。。。
原文链接：
https://www.welivesecurity.com/2020/04/22/serious-flaws-smart-home-hubs-is-your-device-among-them/
6.黑客利用Google的.app gTLD垂钓攻击，，， ， ，窃取用户Skype凭证
Cofense网络安全公司发现黑客通过由Google治理的.APP通用顶级域（gTLD）对远程工作人员提议了网络垂钓攻击，，， ， ，以窃取其Skype凭证。。。。。。黑客精心设计了网络垂钓页面及其链接，，， ， ，通过使用Google的.APP通用顶级域（gTLD）中的链接进行初始沉定向，，， ， ，使其指向伪造的网络垂钓页面。。。。。。黑客使用了.APP gTLD成功的绕过网络垂钓邮件的检测，，， ， ，并且在伪造页面上显示了受害者公司的徽标和安全提醒，，， ， ，使得这次攻击看起来越发真实。。。。。。
原文链接：
https://www.bleepingcomputer.com/news/security/creative-skype-phishing-campaign-uses-googles-app-gtld/
京公网安备11010802024551号