Android libpac库RCE误差；；；；Intel CPU TPM-FAIL误差使数十亿台装备面临危害
宣布时间 2019-11-18
1、NowSecure披露Android libpac库中的RCE误差
NowSecure研究职员发明Android系统使用的libpac库中保存RCE误差（CVE-2019-2205）。。。。。。。。libpac是一个基于Chromium项目代码的库，，，该库使用静态链接的V8 JS引擎来剖析JavaScript，，，这为平台应用程序带来了重大的攻击面。。。。。。。。研究职员发明JS函数FindProxyForUrl上下文中的ArrayBuffers分派器声明不准确，，，可致栈上的VPTR被笼罩，，，这可能被用于执行恣意代码。。。。。。。。谷歌在11月Android清静更新中修复了该误差。。。。。。。。
2、Intel CPU TPM-FAIL误差使数十亿台装备面临危害
研究职员在基于英特尔固件的TPM（fTPM）和STMicroelectronics的TPM芯片中发明了两个被称为TPM-FAIL的新误差，，，这两个误差（CVE-2019-11090和CVE-2019-16863）使黑客可以规避清静屏障，，，并窃取TPM中存储的敏感数据，，，包括署名密钥等。。。。。。。。提取到密钥后，，，攻击者就能使用它伪造数字署名、改动操作系统或绕过身份验证。。。。。。。。大大都便携式盘算机、台式机和效劳器都容易受到TPM-FAIL攻击，，，包括戴尔、惠普和遐想等品牌制造商。。。。。。。。这两个误差都已在新的固件或TPM芯片中修复。。。。。。。。
3、Wizards of Coast泄露45万游戏玩家数据
《Magic：The Gathering》游戏的开发商Wizards of Coast已经确认数十万游戏玩家的数据遭泄露。。。。。。。。英国清静厂商Fidus Information Security发明了袒露的数据库文件，，，这些文件被生涯在没有密码的Amazon存储桶中。。。。。。。。数据库中一共包括452634名玩家的数据，，，涉及姓名和用户名、电子邮件地点、账户的建设时间以及经由哈希和加盐处置惩罚的密码。。。。。。。。凭证研究职员对数据的审查，，，这些账户的日期最早可追溯至2012年，，，最新则为2018年中期。。。。。。。。
4、Sunshine Behavioral泄露9.3万份患者档案
Sunshine Behavioral Health是美国一家治疗毒品和酒精成瘾患者的医疗公司，，，漫衍在加利福尼亚州、德克萨斯州和科罗拉多州。。。。。。。。由于AWS s3存储桶设置过失，，，该公司的约莫9.3万个患者档案遭泄露。。。。。。。。档案中包括的信息包括姓名、出生日期、邮政地点和电子邮件地点、电话号码、完整的信用卡号码和CVV码及部分有用日期（月/日）、医疗包管账号、已支付金额等。。。。。。。。该公司对数据库举行了�；；；；ぃ�，，但没有在网站上宣布泄露通知，，，也未体现是否已通知患者/羁系机构。。。。。。。。
原文链接：
https://www.databreaches.net/exclusive-more-than-90000-patient-billing-files-from-an-alcohol-and-drug-addiction-treatment-network-exposed-online/
5、澳大利亚国会在2019年头遭到黑客入侵
凭证澳大利亚广播公司（ABC）的报道，，，澳大利亚国会的盘算机网络在今年早些时间被黑客入侵，，，并从几位中选官员的盘算机中窃取了数据。。。。。。。。该攻击爆发在2019年1月31日，，，其时澳大利亚清静机构发明了入侵并对其举行一周的监视，，，然后关闭网络并试图追捕攻击者。。。。。。。。澳大利亚政府未提供有关该黑客攻击的更多详细信息。。。。。。。。
原文链接：
https://securityaffairs.co/wordpress/93898/cyber-warfare-2/australian-parliament-hacked.html
6、微软宣布Intel CPU驱动程序误差的修复指南
微软宣布了资助用户修复Intel CPU拒绝效劳误差（CVE-2018-12207）和TSX异步中止误差（CVE-2019-11135）的指南。。。。。。。。该DoS误差影响了第8代及以下的Intel酷睿处置惩罚器，，，微软在11月清静更新中修复了该误差，，，但在默认情形下该�；；；；すπП唤茫�，，用户必需设置特定的注册表项启用该功效。。。。。。。。而TSX功效中的推测执行误差则影响了Intel第10代之前的处置惩罚器，，，微软指导用户在易受攻击的Intel处置惩罚器上禁用Intel TSX功效，，，以阻止潜在的Zombieload 2攻击。。。。。。。。
NowSecure研究职员发明Android系统使用的libpac库中保存RCE误差（CVE-2019-2205）。。。。。。。。libpac是一个基于Chromium项目代码的库，，，该库使用静态链接的V8 JS引擎来剖析JavaScript，，，这为平台应用程序带来了重大的攻击面。。。。。。。。研究职员发明JS函数FindProxyForUrl上下文中的ArrayBuffers分派器声明不准确，，，可致栈上的VPTR被笼罩，，，这可能被用于执行恣意代码。。。。。。。。谷歌在11月Android清静更新中修复了该误差。。。。。。。。
原文链接：
https://www.nowsecure.com/blog/2019/11/13/nowsecure-discovers-critical-android-vuln-that-may-lead-to-remote-code-execution/2、Intel CPU TPM-FAIL误差使数十亿台装备面临危害
研究职员在基于英特尔固件的TPM（fTPM）和STMicroelectronics的TPM芯片中发明了两个被称为TPM-FAIL的新误差，，，这两个误差（CVE-2019-11090和CVE-2019-16863）使黑客可以规避清静屏障，，，并窃取TPM中存储的敏感数据，，，包括署名密钥等。。。。。。。。提取到密钥后，，，攻击者就能使用它伪造数字署名、改动操作系统或绕过身份验证。。。。。。。。大大都便携式盘算机、台式机和效劳器都容易受到TPM-FAIL攻击，，，包括戴尔、惠普和遐想等品牌制造商。。。。。。。。这两个误差都已在新的固件或TPM芯片中修复。。。。。。。。
原文链接：
https://www.bleepingcomputer.com/news/security/tpm-fail-security-flaws-impact-modern-devices-with-intel-cpus/3、Wizards of Coast泄露45万游戏玩家数据
《Magic：The Gathering》游戏的开发商Wizards of Coast已经确认数十万游戏玩家的数据遭泄露。。。。。。。。英国清静厂商Fidus Information Security发明了袒露的数据库文件，，，这些文件被生涯在没有密码的Amazon存储桶中。。。。。。。。数据库中一共包括452634名玩家的数据，，，涉及姓名和用户名、电子邮件地点、账户的建设时间以及经由哈希和加盐处置惩罚的密码。。。。。。。。凭证研究职员对数据的审查，，，这些账户的日期最早可追溯至2012年，，，最新则为2018年中期。。。。。。。。
原文链接：
https://techcrunch.com/2019/11/16/magic-the-gathering-wizards-data-exposure/4、Sunshine Behavioral泄露9.3万份患者档案
Sunshine Behavioral Health是美国一家治疗毒品和酒精成瘾患者的医疗公司，，，漫衍在加利福尼亚州、德克萨斯州和科罗拉多州。。。。。。。。由于AWS s3存储桶设置过失，，，该公司的约莫9.3万个患者档案遭泄露。。。。。。。。档案中包括的信息包括姓名、出生日期、邮政地点和电子邮件地点、电话号码、完整的信用卡号码和CVV码及部分有用日期（月/日）、医疗包管账号、已支付金额等。。。。。。。。该公司对数据库举行了�；；；；ぃ�，，但没有在网站上宣布泄露通知，，，也未体现是否已通知患者/羁系机构。。。。。。。。
原文链接：
https://www.databreaches.net/exclusive-more-than-90000-patient-billing-files-from-an-alcohol-and-drug-addiction-treatment-network-exposed-online/
5、澳大利亚国会在2019年头遭到黑客入侵
凭证澳大利亚广播公司（ABC）的报道，，，澳大利亚国会的盘算机网络在今年早些时间被黑客入侵，，，并从几位中选官员的盘算机中窃取了数据。。。。。。。。该攻击爆发在2019年1月31日，，，其时澳大利亚清静机构发明了入侵并对其举行一周的监视，，，然后关闭网络并试图追捕攻击者。。。。。。。。澳大利亚政府未提供有关该黑客攻击的更多详细信息。。。。。。。。
原文链接：
https://securityaffairs.co/wordpress/93898/cyber-warfare-2/australian-parliament-hacked.html
6、微软宣布Intel CPU驱动程序误差的修复指南
微软宣布了资助用户修复Intel CPU拒绝效劳误差（CVE-2018-12207）和TSX异步中止误差（CVE-2019-11135）的指南。。。。。。。。该DoS误差影响了第8代及以下的Intel酷睿处置惩罚器，，，微软在11月清静更新中修复了该误差，，，但在默认情形下该�；；；；すπП唤茫�，，用户必需设置特定的注册表项启用该功效。。。。。。。。而TSX功效中的推测执行误差则影响了Intel第10代之前的处置惩罚器，，，微软指导用户在易受攻击的Intel处置惩罚器上禁用Intel TSX功效，，，以阻止潜在的Zombieload 2攻击。。。。。。。。
原文链接：
https://www.bleepingcomputer.com/news/security/microsoft-issues-guidance-for-intel-cpu-driver-security-flaws/
京公网安备11010802024551号