维他命安全周报2020年第42周

2020年10月12日至10月18日共收录安全漏洞62个，值得关注的是Adobe Flash Player空指针引用远程代码执行漏洞；Microsoft Windows Hyper-V CVE-2020-1047权限提升漏洞；SAP Solution Manager OS命令注入漏洞；Microhard Bullet-LTE Ping命令注入代码执行漏洞；Veritas APTARE授权检查代码执行漏洞。

本周值得关注的网络安全事件是BlackBerry发布关于BAHAMUT组织的分析报告；Lumu发布2020年度勒索软件影响分析的信息图；Adobe修复Flash Player中的远程执行代码漏洞；Agari发布BEC在全球范围内分布和趋势的分析报告；CNSA发布《2020中国网络视听发展研究报告》。

根据以上综述，本周安全威胁为中。

1.Adobe Flash Player空指针引用远程代码执行漏洞

Adobe Flash Player处理SWF存在空指针引用漏洞，允许远程攻击者利用漏洞提交特殊的请求，诱使用户解析，可使应用程序崩溃或者以应用程序上下文执行任意代码。

https://helpx.adobe.com/security/products/flash-player/apsb20-58.html

2.Microsoft Windows Hyper-V CVE-2020-1047权限提升漏洞

Microsoft Windows Hyper-V处理内存对象存在安全漏洞，允许远程攻击者利用漏洞提交特殊的请求，诱使用户解析，可提升权限。

https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1047

3.SAP Solution Manager OS命令注入漏洞

SAP Solution Manager的CA Introscope Enterprise Manager存在输入验证漏洞，允许远程攻击者利用漏洞提交特殊的请求，以应用程序上下文执行任意OS命令。

https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=558632196

4.Microhard Bullet-LTE Ping命令注入代码执行漏洞

Microhard Bullet-LTE tools.sh处理ping参数存在输入验证漏洞，允许远程攻击者利用漏洞提交特殊的请求，可以应用程序上下文执行任意命令。

https://www.zerodayinitiative.com/advisories/ZDI-20-1205/

5.Veritas APTARE授权检查代码执行漏洞

Veritas APTARE授权检查存在安全漏洞，允许远程攻击者利用漏洞提交特殊的请求，以应用程序上下文执行任意代码。

https://www.veritas.com/content/support/en_US/security/VTS20-006#issue1

1、BlackBerry发布关于BAHAMUT组织的分析报告

BlackBerry发布了关于BAHAMUT网络间谍组织的分析报告，发现其对政府官员和主要行业发起了大量高度复杂的攻击。研究表明，该团伙的活动范围比以前认为的要广泛得多，包括了Google Play商店和App Store中的十几个恶意应用程序。此外，BlackBerry还认为，BAHAMUT可以与至少一名0day开发人员接触，并利用0day攻击多个目标，这远远超出了大多数其他黑客组织的攻击水平。

原文链接：

https://www.infosecurity-magazine.com/news/cyber-espionage-bahamut-staggering/

2、Lumu发布2020年度勒索软件影响分析的信息图

Lumu发布了一张信息图，详细说明了勒索软件的成本和范围，以帮助企业衡量他们的受害风险。据分析，今年全球勒索软件的成本为200亿美元，平均每次的攻击成本超过400万美元，并且有36％的受害者支付了赎金，其中17％还没能挽回他们的数据。此外，在北美有69%的公司报告称受到了勒索软件的影响，而在欧洲有57%。相较而言，北美的政府机构受到的攻击最为严重，其次是制造业和建筑业。

原文链接：

https://lumu.io/resources/2020-ransomware-flashcard/

3、Adobe修复Flash Player中的远程执行代码漏洞

Adobe修复了Flash Player中严重的远程执行代码漏洞（称为CVE-2020-9746）。Adobe指出，在默认情况下，黑客可以通过在用户访问网站时在TLS / SSL传递的HTTP响应中插入恶意字符串来利用此漏洞。成功利用此漏洞后，可能导致应用崩溃，从而使攻击者可以在访问者的计算机上远程执行命令。这些命令将在用户的安全环境中执行，并不需要管理员权限。

原文链接：

https://www.bleepingcomputer.com/news/security/adobe-fixes-critical-security-vulnerability-in-flash-player/

4、Agari发布BEC在全球范围内分布和趋势的分析报告

Agari网络情报部（ACID）发布了BEC在全球范围内分布和趋势的分析报告，以更好地了解BEC攻击活动。报告包含了2019年5月至2020年7月之间的9000多次防御活动的数据，发现有60％的攻击者来自非洲的11个国家，其中83％位于尼日利亚。近30％的攻击者来自美洲，其中的89％来自美国，并且攻击者主要聚集在一些大都市，包括亚特兰大、纽约、洛杉矶、休斯敦和迈阿密。

原文链接：

https://www.agari.com/email-security-blog/business-email-compromise-geography/

5、CNSA发布《2020中国网络视听发展研究报告》

10月12日，中国网络视听节目服务协会发布《2020中国网络视听发展研究报告》，首度公开我国网络视听用户规模和产业规模。该报告基于数据挖掘、调研以及第三方数据，对2019-2020年的网络视听行业现状和发展趋势进行权威、全面的研判。报告显示，截至2020年6月，我国网络视听用户规模达9.01亿， 2019年网络视听产业规模达4541.3亿。其中短视频的用户使用率最高，达87.0%，用户规模8.18亿；综合视频的用户使用率为77.1%，用户规模7.24亿。

原文链接：

http://www.xinhuanet.com/info/2020-10/13/c_139436283.htm