ACSC宣布CMS系统清静指南 ；Netgear修复其路由器产品中的多个误差
宣布时间 2020-03-061.澳大利亚ACSC宣布CMS系统清静指南
澳大利亚网络清静中心（ACSC）宣布一份用于� ；MS系统的网络清静指南，该指南概述了怎样在web服务器上识别和最小化潜在危害的战略，其目的受众是认真使用CMS开发和� ；ね净騑eb应用程序的人。攻击者可以使用自动化工具扫描Internet上的清静误差。一旦CMS被入侵，攻击者可以使用其权限来：获得Web应用程序的验证区域和特权区域的会见权限 ；上传恶意软件来获得远程会见，例如上传Web Shell或RAT ；在正当网页上注入恶意内容。攻击者还可以将受熏染的Web服务器用作“水坑”攻击的一部分，或用作C&C的基础设施。ACSC建议接纳的缓解步伐包括：使用CMS托管服务 ；优异的补丁管理 ；误差评估 ；账户管理 ；增强CMS装置的清静性控制步伐 ；监控CMS装置上对托管内容的未授权更改等。
原文链接：
https://www.cyber.gov.au/publications/securing-content-management-systems
2.研究职员忠言微软有600多个子域易遭挟制
研究职员忠言称微软有600多个正当的子域名易遭挟制和滥用。子域名挟制是指该子域的DNS纪录指向不再保存的域名，而建设该不保存域名的攻击者即可使用过失设置的DNS纪录挟制该子域。攻击者可以将被挟制子域的会见者导向垂纶网站、分发恶意软件或举行诓骗攻击。清静公司Vullnerability扫描了微软部分主要域名的所有子域名，发明有670多个子域易遭攻击，包括identityhelp.microsoft.com，mybrowser.microsoft.com，webeditor.visualstudio.com，data.teams.microsoft.com和sxt.cdn.skype.com等。微软讲话人体现已经相识了该报告，并正在凭证需要接纳适当的步伐来� ；の⑷淼姆窈涂突�。
原文链接：
https://www.securityweek.com/over-600-microsoft-subdomains-can-be-hijacked-researchers
3.Netgear修复其路由器产品中的多个误差
Netgear修复其无线AC路由器Nighthawk（R7800）中的一个RCE误差，该误差被Netgear追踪为PSV-2019-0076，可允许未经身份验证的攻击者控制路由器，受影响的版本为1.0.2.68之前的固件版本。Netgear并未披露与该误差有关的详细信息，仅鞭策客户会见在线支持页面以下载该误差的补丁。R7800路由器还受到验证后下令注入误差（跟踪为PSV-2018-0352）的影响，受影响的固件版本为1.0.2.60之前的版本。该误差还影响了D6000、R6000、R7000、R8000、R9000和XR500系列的其它29个型号的路由器。别的，另一个下令注入误差（PSV-2019-0051）影响了R6400、R6700、R6900和R7900 SKU中的5个型号的路由器。
原文链接：
https://threatpost.com/critical-netgear-bug-impacts-nighthawk-router/153445/
4.思科修复Webex Player中的两个RCE误差
思科宣布产品清静更新，修复多个误差，其中包括Webex Player中的两个RCE误差（CVE-2020-3127和CVE-2020-3128）。这两个误差是由于未对存储为ARF（高级纪录名堂）或WRF（Webex纪录名堂）的Webex纪录中的元素举行充分验证而导致的，攻击者可以通过链接或电子邮件附件向用户发送恶意的ARF或WRF文件，诱使用户翻开该文件并以目今用户权限执行恣意代码。受影响的产品包括WebEx Network Recording Player和Webex Player。别的，思科还修复了Intelligent Proximity中的SSL证书缺乏验证误差（CVE-2020-3155）和Prime Network Registrar中的跨站点请求伪造误差（CVE-2020-3148）。完整误差列表请参考以下链接。
原文链接：
https://securityaffairs.co/wordpress/98973/security/cisco-rce-webex-player.html
5.打扮零售商J.Crew遭撞库攻击，客户信息泄露
美国打扮零售商J.Crew宣布在2019年4月前后遭到撞库攻击，该攻击导致其部分客户的帐户和信息被黑客会见�？赡苄孤兜男畔ǹ突д嘶е写娲⒌男庞每ê藕笏奈皇帧⒌狡谌掌凇⒖ɡ嘈秃拖喙卣说ビ始牡刂贰⒍┑ズ拧⒖斓萑啡系ズ藕头⒒踝刺�。J.Crew已禁用了所有受影响客户的帐户，并要求他们通过privacy@jcrew.com或800-205-7956与J.Crew客户服务中心联系和重置其密码。
原文链接：
https://www.bleepingcomputer.com/news/security/jcrew-disables-user-accounts-after-credential-stuffing-attack/
6.有线电视运营商Virgin Media 90万客户信息泄露
Virgin Media是英国和爱尔兰的有线电视运营商，该公司在2020年2月28日发明其数据库至少从2019年4月19日起可果真会见。该数据库包括约莫90万人的联系方法，例如姓名、家庭地址和电子邮件地址、电话号码，但不包括任何密码或财务信息，例如信用卡号码或银行账户。凭证正在举行的视察，该数据库至少在近期遭到一次未授权会见，Virgin Media并不清晰其会见的规模以及是否现实使用了数据库中的任何信息。
原文链接：
https://www.bleepingcomputer.com/news/security/virgin-media-data-breach-exposes-info-of-900-000-customers/
京公网安备11010802024551号