微软发布9月份安全更新,总计修复129个漏洞;Digital Point数据库配置错误公开超过80万用户的记录

发布时间 2020-09-09

1.微软发布9月份安全更新,总计修复129个漏洞


1.jpg


微软发布了9月份安全更新,总计修复129个漏洞,其中包括23个严重漏洞。尽管此次更新中并没有0day,但仍有许多漏洞可被远程利用。此次修复的就为严重的三个漏洞分别为Microsoft Exchange内存损坏漏洞(CVE-2020-16875),远程攻击者利用该漏洞可以仅通过向Exchange服务器发送特制电子邮件远程执行代码,Windows远程执行代码的Microsoft COM漏洞(CVE-2020-0922),可以通过诱使用户访问带有恶意JavaScript的站点来加以利用,以及Windows文本服务模块远程执行代码漏洞(CVE-2020-0908),可以通过诱使用户访问包含恶意广告的网站来加以利用。


原文链接:

https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2020-patch-tuesday-fixes-129-vulnerabilities/


2.黑客可用特制的Win10主题发起Hash传递攻击,窃取用户凭证


2.jpg

黑客可用特制的Win10主题和主题包发起Hash传递攻击,窃取用户凭证。安全研究员Jimmy Bayne发现,攻击者可以创建特制的.theme文件(Win10主题设置文件),并将主题设置更改为使用远程身份验证所需的资源。当Windows尝试访问需要进行身份验证的远程资源时,它将通过发送已登录帐户的NTLM散列和登录名来自动尝试登录共享。然后,攻击者可以使用特殊脚本收集凭据并对其进行散列处理,获得明文形式的密码。


原文链接:

https://www.bleepingcomputer.com/news/microsoft/windows-10-themes-can-be-abused-to-steal-windows-passwords/


3.法国、日本和新西兰警告针对全球的Emotet攻击活动激增


3.png

来自法国、日本和新西兰的网络安全机构发布了安全警报,警告利用Emotet恶意软件对这三个国家的公司和政府机构发起的垃圾邮件活动激增。根据三家机构的警报,在最近针对法国、日本和新西兰的攻击活动中,黑客使用了相同的战略,即感染一个受害者,窃取旧的邮件线程,然后恢复这些旧的对话,将恶意文件添加为附件感染新用户。此外,Emotet还使用了Windows Word文档(.doc)和受密码保护的ZIP存档文件作为恶意电子邮件附件。    


原文链接:

https://www.zdnet.com/article/france-japan-new-zealand-warn-of-sudden-spike-in-emotet-attacks/


4.Digital Point数据库配置错误公开超过80万用户的记录


4.png

WebsitePlane研究人员于7月1日发现,网站管理员论坛Digital Point数据库配置错误公开863412名用户的记录。此次总共泄露了超过6200万条数据,包括用户的姓名、电子邮件地址、内部用户ID号,以及内部记录和用户帖子的详细信息。该公司在收到报告后的数小时内对该数据库采取了保护措施,但是目前并未回应该事件。


原文链接:

https://www.zdnet.com/article/webmaster-forum-database-exposed-data-of-800000-users/


5.纽卡斯尔大学感染DoppelPaymer导致IT系统中断数周


5.jpg

英国纽卡斯尔大学表示,其在8月30日上午遭到网络攻击,导致IT系统中断,预计数周之后才可恢复。此次攻击导致该大学除通讯系统(电子邮件、Team、Canvas和Zoom)以外的所有系统,要么不可用,要么被限制。黑客组织DoppelPaymer称此次攻击由其发起,并发布了750Kb的被盗数据,作为其数据泄漏站点的证据。


原文链接:

https://www.bleepingcomputer.com/news/security/ransomware-gang-says-they-are-behind-newcastle-university-attack/


6.中国在9月8日的国际研讨会提出《全球数据安全倡议》


6.jpg

中国国务委员兼外长王毅本周二在全球数字治理研讨会上表示,为应对新问题新挑战,中国愿发起《全球数据安全倡议》,欢迎各方积极参与。提出应对数据安全风险应遵循三项原则:秉持多边主义、兼顾安全发展和坚守公平正义。并表示,中国政府严格践行数据安全保护有关原则,没有也不会要求中方企业违反别国法律向中国政府提供境外数据。


原文链接:

http://world.people.com.cn/n1/2020/0908/c1002-31853722.html