Armis发明APC UPS装备中统称为TLSstorm的3个误差

宣布时间 2022-03-11

Armis发明APC UPS装备中统称为TLSstorm的3个误差


据媒体3月日报道，清静公司Armis在APC的SmartConnect和Smart-UPS系列产品中发明了统称为TLSstorm的3个误差 。其中2个误差涉及UPS和APC云之间的TLS握手历程，划分为TLS缓冲区溢出误差（CVE-2022-22805）和TLS身份验证绕过误差（CVE-2022-22806）；第三个误差（CVE-2022-0715）可被用来构建一个恶意APC固件版本并作为官方更新举行分发 。研究职员体现，使用这些误差可对装备造成物理损害，例如远程销毁装备和断电，建议连忙装置补丁程序 。


https://www.bleepingcomputer.com/news/security/apc-ups-zero-day-bugs-can-remotely-burn-out-devices-disable-power/


Google宣布3月份清静更新，修复Android中多个误差


3月8日，Google宣布了2022年3月的Android 10、11和12清静更新 。此次修复的较为严重的是提权误差（CVE-2021-39708），位于Android系统组件中，不需要用户交互即可远程提升权限；另外2个严重误差是CVE-2021-1942和CVE-2021-35110，它们都会影响基于Qualcomm的闭源组件 。现在，没有任何已修复误差的手艺细节，以防还未装置最新补丁的用户遭到攻击 。


https://source.android.com/security/bulletin/2022-03-01


阿根廷电商公司Mercado Libre部分源码和用户信息泄露


媒体3月8日报道，阿根廷电商公司Mercado Libre称其部分源代码遭到了未经授权的会见 。该公司还体现，攻击者还会见了约莫300000个用户的数据 。MercadoLibre总部位于布宜诺斯艾利斯，是拉丁美洲最大的电子商务和支付生态系统 。勒索团伙Lapsus$声称已经会见了Mercado Libre和Mercado Pago的24000个源代码存储 。该团伙还在3月7日提倡了一项投票，要求用户选出接下来应该泄露数据的公司 。


https://www.bleepingcomputer.com/news/security/e-commerce-giant-mercado-libre-confirms-source-code-data-breach/


Akamai在野外发明多起使用Mitel装备的DDoS攻击运动


3月8日，Akamai宣布关于使用Mitel装备的DDoS攻击运动的剖析报告 。研究职员视察到使用反射和放概略领来举行长达14小时的DDoS攻击运动，放大率高达4294967296：1 。报告指出，误差TP240PhoneHome(CVE-2022-26143)已被武器化，以发动针对宽带ISP、金融机构、物流公司、游戏公司等组织的DDoS攻击 。约有2600个袒露的Mitel MiCollab和MiVoice Business Express协作系统，被攻击者用于提倡每秒凌驾5300万个包(PPS)的DDoS攻击 。


https://www.akamai.com/blog/security/phone-home-ddos-attack-vector


Mandiant宣布关于APT41攻击美国政府机构的剖析报告


Mandiant在3月8日宣布一份报告，详述了APT41针对美国政府机构攻击运动 。报告指出，在2021年5月至2022年2月时代，APT41已攻击了至少6个美国州政府机构，使用了USAHERDS 应用程序中的0 day( CVE-2021-44207 ) 和Log4j中的0 day( CVE-2021-44228 ) 。别的，攻击者还使用了新的�？榛疌++后门KEYPLUG和特制的dropper DUSTPAN，并在C2通讯和数据泄露方面大宗使用Cloudflare服务 。


https://www.mandiant.com/resources/apt41-us-state-governments


Clearview AI因网络人脸图像被GPDP�？�2000万欧元


据3月9日报道，意大利隐私担保人(GPDP)对Clearview AI处以20000000欧元的�？�，缘故原由是该公司在未征得用户赞成的情形下在意大利实验了一个生物识别监控网络 。视察显示，这家美国的面部识别软件公司拥有一个包括100亿张人脸图像的数据库，其中包括从网站中的小我私家资料和在线视频中提取的意大利公民面部图像数据 。该机构还称Clearview AI拥有不法获得的地理位置数据 。Clearview辩护称在意大利市场的测试已于2020年3月竣事，但GPDP反对了这一论点 。


https://www.bleepingcomputer.com/news/legal/clearview-ai-fined-20m-for-collecting-italians-biometric-data/



清静工具


LAZYPARIAH


易于装置的下令行工具，用纯Ruby编写，用于爆发反向shell payload 。


https://github.com/octetsplicer/LAZYPARIAH


lnkbomb


用于网络NTLM哈希的恶意快捷方法爆发器 。


https://github.com/dievus/lnkbomb


AWS_Loot


搜索一个AWS情形中寻找密钥，通过枚举情形变量和源代码 。


https://github.com/sebastian-mora/AWS-Loot


PwnKit-Exploit


CVE-2021-4034的看法证实 (PoC) 。 


https://github.com/luijait/PwnKit-Exploit


清静剖析


谷歌以 54 亿美元收购网络清静公司 Mandiant


https://thehackernews.com/2022/03/google-buys-cybersecurity-firm-mandiant.html


Apple 宣布 iOS 15.4 RC，下周周全上线


https://news.softpedia.com/news/apple-releases-ios-15-4-rc-full-launch-next-week-535010.shtml


Windows 10 KB5011487 和 KB5011485 更新宣布


https://www.bleepingcomputer.com/news/microsoft/windows-10-kb5011487-and-kb5011485-updates-released/


怎样对 Apple 装备举行网络清静审查


https://www.hackread.com/how-to-give-apple-devices-a-cybersecurity-review/


Adobe 修补 Illustrator、After Effects 中的“严重”清静误差


https://www.securityweek.com/adobe-patches-critical-security-flaws-illustrator-after-effects