MacOS 0day可模拟鼠标点击以执行恶意代码；SUPRA智能电视严重误差，可导致装备被挟制
宣布时间 2019-06-04
1MacOS 0day可模拟鼠标点击以执行恶意代码
Digita Security研究职员Patrick Wardle披露macOS中的一个0day，该误差可允许攻击者通过模拟鼠标点击以绕过macOS的清静步伐并执行恶意代码。该误差与macOS验证应用程序的方法有关，一些应用程序在装置之前不需要任何“允许”或“拒绝”清静对话框，例如VLC媒体播放器，攻击者可通过恶意版本的VLC来执行恶意行为，例如翻开麦克风或窃取GPD坐标信息等。
2SUPRA智能电视严重误差，可导致装备被挟制
研究职员Dhiraj Mishra发明SUPRA智能电视受到未修补的远程文件包括误差的影响，该误差（CVE-2019-12477）可允许WiFi攻击者在未经身份验证的情形下挟制电视屏幕播放虚伪视频。SUPRA是一个俄罗斯电子品牌，其产品主要在俄罗斯、中国和阿联酋销售。该误差保存于Supra Smart Cloud TV的“openLiveURL”功效中，虽然该误差已获得CVE ID，但可能不会获得修补。
3Quest修复Kace K1000装备中的多个清静误差
凭证卡内基梅隆大学CERT/CC宣布的一份报告，Quest公司的Kace K1000装备受到多个误差的影响，包括SQL盲注误差（CVE-2018-5404，该误差可允许攻击者窃取敏感信息）、JavaScript代码注入误差（CVE-2018-5405，该误差可允许攻击者挟制管理员会话）以及可允许攻击者添加管理员账户或更改装备设置信息的误差（CVE-2018-5406）等。Quest已在9.0.270及更高版本中修复了这些误差。
4黑客通过弱密码入侵数百名埃塞俄比亚特工邮箱
埃塞俄比亚信息网络清静局（INSA）的数百名特工的电子邮箱因使用弱密码被黑客入侵。凭证Safety Detective研究职员的视察，攻击者使用易于推测的用户名和密码获得了对这些特工邮箱的未授权会见。在受损的300个凭证中，有142个使用了弱密码“p@$$w0rd”，别的，有62个密码包括“123”序列。并且INSA并未对密码举行加盐和哈希。
5AMCA遭黑客入侵，导致1190万Quest Diagnostics患者信息泄露
美国账单服务公司AMCA遭黑客入侵，该事务导致血液检测公司Quest Diagnostics的1190万患者信息泄露。凭证AMCA的通告，该事务爆发在2018年8月1日至2019年3月30日时代，未经授权的攻击者会见了AMCA的系统，该系统包括Quest Diagnostics的患者信息。泄露的信息包括银行账户数据和信用卡号等财务信息以及医疗信息和社会清静号码等小我私家信息。Quest和AMCA正在对此事务举行视察。
6美Lewes公共工程委员会遭黑客入侵，客户信息泄露
凭证美国领土清静部的忠言，Lewes公共工程委员会遭到黑客入侵，部分客户信息泄露。泄露的信息包括客户的姓名、电子邮件地址、信用卡信息、银行账户详细信息、账号、凭证和到期日期。该委员会在5月28日发明了数据泄露事务，并连忙隔离了客户信息系统和通知相关软件供应商。该事务正在进一步的视察之中。
Digita Security研究职员Patrick Wardle披露macOS中的一个0day，该误差可允许攻击者通过模拟鼠标点击以绕过macOS的清静步伐并执行恶意代码。该误差与macOS验证应用程序的方法有关，一些应用程序在装置之前不需要任何“允许”或“拒绝”清静对话框，例如VLC媒体播放器，攻击者可通过恶意版本的VLC来执行恶意行为，例如翻开麦克风或窃取GPD坐标信息等。
原文链接：
https://threatpost.com/macos-zero-day-malicious-code/145259/2SUPRA智能电视严重误差，可导致装备被挟制
研究职员Dhiraj Mishra发明SUPRA智能电视受到未修补的远程文件包括误差的影响，该误差（CVE-2019-12477）可允许WiFi攻击者在未经身份验证的情形下挟制电视屏幕播放虚伪视频。SUPRA是一个俄罗斯电子品牌，其产品主要在俄罗斯、中国和阿联酋销售。该误差保存于Supra Smart Cloud TV的“openLiveURL”功效中，虽然该误差已获得CVE ID，但可能不会获得修补。
原文链接：
https://thehackernews.com/2019/06/supra-smart-tv-hack.html3Quest修复Kace K1000装备中的多个清静误差
凭证卡内基梅隆大学CERT/CC宣布的一份报告，Quest公司的Kace K1000装备受到多个误差的影响，包括SQL盲注误差（CVE-2018-5404，该误差可允许攻击者窃取敏感信息）、JavaScript代码注入误差（CVE-2018-5405，该误差可允许攻击者挟制管理员会话）以及可允许攻击者添加管理员账户或更改装备设置信息的误差（CVE-2018-5406）等。Quest已在9.0.270及更高版本中修复了这些误差。
原文链接：
https://www.securityweek.com/serious-vulnerabilities-found-kace-k1000-appliance4黑客通过弱密码入侵数百名埃塞俄比亚特工邮箱
埃塞俄比亚信息网络清静局（INSA）的数百名特工的电子邮箱因使用弱密码被黑客入侵。凭证Safety Detective研究职员的视察，攻击者使用易于推测的用户名和密码获得了对这些特工邮箱的未授权会见。在受损的300个凭证中，有142个使用了弱密码“p@$$w0rd”，别的，有62个密码包括“123”序列。并且INSA并未对密码举行加盐和哈希。
原文链接：
https://cyware.com/news/emails-of-hundreds-of-ethiopias-information-network-security-agency-agents-hacked-due-to-predictable-passwords-40bbc3585AMCA遭黑客入侵，导致1190万Quest Diagnostics患者信息泄露
美国账单服务公司AMCA遭黑客入侵，该事务导致血液检测公司Quest Diagnostics的1190万患者信息泄露。凭证AMCA的通告，该事务爆发在2018年8月1日至2019年3月30日时代，未经授权的攻击者会见了AMCA的系统，该系统包括Quest Diagnostics的患者信息。泄露的信息包括银行账户数据和信用卡号等财务信息以及医疗信息和社会清静号码等小我私家信息。Quest和AMCA正在对此事务举行视察。
原文链接：
https://www.bleepingcomputer.com/news/security/billing-details-for-119m-quest-diagnostics-clients-exposed/6美Lewes公共工程委员会遭黑客入侵，客户信息泄露
凭证美国领土清静部的忠言，Lewes公共工程委员会遭到黑客入侵，部分客户信息泄露。泄露的信息包括客户的姓名、电子邮件地址、信用卡信息、银行账户详细信息、账号、凭证和到期日期。该委员会在5月28日发明了数据泄露事务，并连忙隔离了客户信息系统和通知相关软件供应商。该事务正在进一步的视察之中。
原文链接：
https://cyware.com/news/lewes-board-of-public-works-notifies-customers-of-potential-data-breach-b5f45004
京公网安备11010802024551号