针对英特尔CPU的新LVI侧信道攻击；微软捣毁僵尸网络Necurs；罗克韦尔及江森自控修复多个误差
宣布时间 2020-03-121.研究职员发明针对英特尔CPU的新LVI侧信道攻击
研究职员发明针对Intel CPU的新LVI（负载值注入）攻击 ，该攻击允许攻击者更改程序的正常执行和窃取SGX清静区域内的密码、证书私钥等敏感数据 。该问题被追踪为CVE-2020-0551 ，由一组研究团队在2019年4月4日报告给Intel ，Bitdefender研究职员还自力发明了LVI类攻击的一种变体（LVI-LFB） ，并于2020年2月报告给了Intel 。只管该攻击仅被视为理论上的威胁 ，但Intel已宣布了响应的固件补丁以减轻对目今CPU的攻击 ，并将在下一代（硬件设计）中安排该修复程序 。从手艺上讲 ，LVI是Meltdown攻击的反向 ，它允许攻击者将代码注入CPU内并使其作为过渡的“暂时”操作执行 ，从而使攻击者获得更好的控制权 。在现实测试中只有英特尔CPU被确认受新的LVI攻击影响 ，但研究职员并不扫除AMD和ARM也可能受到影响 。
原文链接：
https://www.bleepingcomputer.com/news/security/new-lvi-intel-cpu-data-theft-vulnerability-requires-hardware-fix/
2.微软捣毁僵尸网络Necurs ，熏染全球900万台电脑
微软宣布捣毁垃圾邮件僵尸网络Necurs ，Necurs是目今全球最大的僵尸网络之一 ，据称它在全球熏染了凌驾900万台盘算机 。3月5日美国纽约东区地要领院宣布了一项下令 ，允许微软接受Necurs在美国的基础设施 。别的 ，微软通太过析和破解Necurs使用的域名天生算法（DGA） ，能够准确地展望在未来25个月内Necurs将建设并用作基础设施的凌驾600万个域名 。微软将这些域名报告给了天下各国的注册管理机构 ，从而阻止这些域名被注册和成为Necurs基础架构的一部分 。通过控制其现有基础设施和抑制其未来注册新域名的能力 ，微软乐成捣毁Necurs 。
原文链接：
https://www.bleepingcomputer.com/news/security/microsoft-takes-control-of-necurs-us-based-infrastructure/
3.微软宣布3月Windows清静更新 ，修复115个误差
微软宣布的3月Windows清静更新修复了115个误差 ，这是该公司历史上最大的一个周二补丁更新 。其中Windows LNK快捷文件中的误差（CVE-2020-0684）需要关注 ，该误差可导致攻击者以用户权限远程执行代码 。攻击者可以向用户提供包括恶意.LNK文件和相关恶意二进制文件的可移动驱动器或远程共享 ，当用户在Windows资源管理器或任何其他剖析.LNK文件的应用程序中翻开此驱动器（或远程共享）时 ，恶意二进制文件将在目的系统上执行攻击者的代码 。完整误差列表请参考以下链接 。
原文链接：
https://www.zdnet.com/article/microsoft-march-2020-patch-tuesday-fixes-115-vulnerabilities/
4.罗克韦尔及江森自控修复ICS装备中的多个误差
罗克韦尔自动化（Rockwell Automation）和江森自控（Johnson Controls）修复其ICS装备中的多个误差 。罗克韦尔自动化修复的多个要害误差影响了MicroLogix 1400控制器、MicroLogix 1100控制器和RSLogix 500软件 ，误差规模包括硬编码的加密密钥（CVE-2020-6990）、弱密码�；に惴ǎ–VE-2020-6984）、身份验证绕过（CVE-2020-6988）以及明文存储敏感信息（CVE-2020-6980） 。江森自控则修复了Kantech EntraPass产品中的不准确输入验证误差（CVE-2019-7589） 。这些误差的CVSS v3评分均为9.8分 ，建议用户尽快应用更新或缓解步伐 。
原文链接：
https://threatpost.com/critical-bugs-in-rockwell-johnson-controls-ics-gear/153602/
5.Intel宣布清静更新 ，修复多个产品中的27个误差
英特尔本周宣布清静更新 ，修复图形驱动程序、FPGA、处置惩罚器NUC、BlueZ等产品中的27个误差 。Intel在图形驱动程序中修复了17个误差 ，其中最严重的误差是缓冲区溢出误差（CVE-2020-0504） ，该误差可能导致拒绝服务 ，其CVSS评分为8.4 。Intel在FPGA PAC N3000中修复了两个误差 ，包括特权升级误差（CVE-2019-14626）和拒绝服务误差（CVE-2019-14625） ，这两个误差均为中危误差 。别的 ，Intel还为NUC固件修复了不适当的缓冲区限制和输入验证误差 ，这两个误差划分被跟踪为CVE-2020-0530和CVE-2020-0526 ，其CVSS评分划分为7.8和7.7 ，都可能导致特权升级 。
原文链接：
https://www.securityweek.com/intel-patches-27-vulnerabilities-across-product-portfolio
6.Whisper数据库可果真会见 ，泄露约9亿条纪录
据《华盛顿邮报》报道 ，匿名神秘共享应用Whisper由于数据库可果真会见 ，导致约9亿条纪录泄露 。研究职员Matthew Porter和Dan Ehrlich发明了该数据库 ，数据库中存储的数据是从2012年该APP宣布一直到现在的所有数据 。只管纪录中不包括用户名 ，但其中包括昵称、年岁、种族、性别、家乡、整体成员关系以及与发帖相关的位置数据 。这些位置信息包括来自用户最近发帖的坐标 ，例如特定的学校、事情场合和住民区 。Whisper在接到通知后作废了该数据库的会见权限 ，并通知了联邦执法机构 。
原文链接：
https://www.zdnet.com/article/whisper-an-anonymous-secret-sharing-app-failed-to-keep-messages-profiles-private/
京公网安备11010802024551号