微软宣布紧迫更新，修复Office和Paint 3D中多个误差 ；美国SBA官网保存误差泄露8000家企业的敏感信息
宣布时间 2020-04-241.微软宣布紧迫更新，修复Office和Paint 3D中多个误差
Microsoft宣布了紧迫清静更新，以修复使用了Autodesk FBX库的Microsoft产品，包括多个版本的Microsoft Office和Windows 10应用程序Paint 3D。本次修复的误差为FBX库中的远程执行代码误差，攻击者使用此误差可以获得与外地用户相同的权限，Autodesk在4月15日推出了针对此误差的补丁程序。Microsoft体现，黑客必需诱使用户翻开其特制的3D文件才可以乐成使用此误差，因此，在清静更新之前用户需要远离那些可疑文件以包管清静。
原文链接：
https://news.softpedia.com/news/microsoft-releases-emergency-update-for-windows-10-app-microsoft-office-529800.shtml
2.美国SBA官网保存误差泄露8000家企业的敏感信息
美国小型企业管理局（SBA）官网保存误差，泄露了8000家企业的敏感信息，将导致其认真的经济危险灾难贷款（EIDL）的分发延迟。此次数据泄露是由于政府安排网站时保存问题，导致用户在申请贷款的页面实验退却时，便可以看到其他企业的信息。泄露的数据包括姓名、社会清静号码、税号、地址、出生日期、电子邮件、电话号码、婚姻和公民关系、家庭人数、收入、披露盘问以及金融和包管信息。新闻媒体CNBC体现，政府为了赔偿受到影响的企业，将为其提供为期一年的身份偷窃� ；し�。
原文链接：
https://threatpost.com/small-businesses-covid-19-loans-data-exposure/155013/
3.英国电商Robert Dyas遭攻击，约2万客户支付信息被窃
3月7日至30日，英国电商公司Robert Dyas的网站遭到信用卡窃取恶意剧本的攻击，泄露了该公司约2万名客户的支付信息，包括客户姓名、地址、信用卡卡号、有用期和清静代码（CVV）等�？梢匀沸诺氖谴舜喂セ魑庞每ㄇ匀《褚馊砑セ�，但由于信息缺乏现在无法确定该恶意软件是否为Magecart。这类攻击通常是针对供应链的，通过破损支付页面中的第三方网站将恶意Javascript注入到付款页面中。Robert Dyas公司体现，自3月30日发明攻击后，他们第一时间接纳了步伐，并包管自3月31日起网站便可以清静运行。
原文链接：
https://www.theregister.co.uk/2020/04/22/robert_dyas_card_skimmer/
4.Tag Barnakle入侵企业广告服务器Revive撒播恶意广告
据广告清静公司Confiant报道，Tag Barnakle黑客组织入瞄准了企业的开源自托管广告服务器Revive以撒播恶意广告，近几个月已经有几十台服务器被攻击，包括那些宣布商和广告公司自营的广告服务器。Tag Barnakle团伙是通过向网站注入恶意JavaScript代码实现攻击的，这些代码可以检测目的机械是否翻开了Firebug或浏览器的开发职员控制台，若是未翻开，则将用户重定向到分发虚伪Adobe Flash更新的恶意网站。Confiant视察发明Tag Barnakle攻击了凌驾360个网站。
原文链接：
https://www.bleepingcomputer.com/news/security/revive-ad-servers-being-hacked-to-distribute-malicious-ads/
5.研究职员发明3款智能家居系统保存多个清静误差
ESET IoT Research研究职员在3款差别的智能家居系统Fibaro Home Center Lite、Homematic Central Control Unit (CCU2) 和 eLAN-RF-003中发明了多个清静误差，这些误差可能导致敏感数据泄露、远程代码执行和中心人攻击等。Fibaro产品由于缺少证书验证使得其TLS链接容易受到中心人攻击，从而使攻击者获得root用户会见权限。eQ?3的产品CCU2保存RCE误差，使攻击者可以通过大宗shell下令来使用RCE误差，以root用户身份执行未经身份验证的远程代码。ELKO EP的产品eLAN-RF-003 由于保存一些误差，导致其保存敏感信息走漏、易受纪录和重放攻击的问题。ESET IoT Research体现，几家装备制造商均在接受报告后的90天内修复了这些误差。
原文链接：
https://www.welivesecurity.com/2020/04/22/serious-flaws-smart-home-hubs-is-your-device-among-them/
6.黑客使用Google的.app gTLD垂纶攻击，窃取用户Skype凭证
Cofense网络清静公司发明黑客通过由Google管理的.APP通用顶级域（gTLD）对远程事情职员提倡了网络垂纶攻击，以窃取其Skype凭证。黑客全心设计了网络垂纶页面及其链接，通过使用Google的.APP通用顶级域（gTLD）中的链接举行初始重定向，使其指向伪造的网络垂纶页面。黑客使用了.APP gTLD乐成的绕过网络垂纶邮件的检测，并且在伪造页面上显示了受害者公司的徽标和清静提醒，使得此次攻击看起来越发真实。
原文链接：
https://www.bleepingcomputer.com/news/security/creative-skype-phishing-campaign-uses-googles-app-gtld/
京公网安备11010802024551号