维他命安全周报2020年第32周

2020年08月03日至08月09日共收录安全漏洞59个，值得关注的是Advantech WebAccess HMI Designer项目文件内存错误引用漏洞；Geutebruck G-Cam OS命令注入漏洞；Cisco StarOS IPv6缓冲区溢出漏洞；Cohesive Networks vns3:vpn OS命令注入漏洞; Android Qualcomm组件CVE-2020-11118代码执行漏洞。

本周值得关注的网络安全事件是研究人员发现HTTP/2 新型计时侧信道攻击方式；NordPass称有上万个配置错误的数据库泄露100亿条记录；黑客入侵2gether服务器，窃取价值120万欧元的加密货币；卡巴斯基发现伊朗APT组织Oilrig使用DoH窃取网络中数据；Intel 20GB源代码和机密文件泄露，目前来源未知。

根据以上综述，本周安全威胁为中。

1.Advantech WebAccess HMI Designer项目文件内存错误引用漏洞

Advantech WebAccess HMI Designer处理项目文件存在类型混淆安全漏洞，允许远程攻击者可以利用漏洞提交特殊的文件请求，可使应用程序崩溃或以应用程序上下文执行任意代码。

https://us-cert.cisa.gov/ics/advisories/icsa-20-219-02

2. Geutebruck G-Cam OS命令注入漏洞

GeutebruckG-Cam存在输入验证漏洞，允许远程攻击者可以利用漏洞提交特殊的URL请求，可以ROOT权限执行任意命令。

https://us-cert.cisa.gov/ics/advisories/icsa-20-219-03

3. Cisco StarOS IPv6缓冲区溢出漏洞

Cisco StarOS IPv6流量处理存在缓冲区溢出漏洞，允许远程攻击者利用漏洞提交特殊的IPv6数据包，进行拒绝服务攻击。

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asr5k-ipv6-dos-ce3zhF8m

4. Cohesive Networks vns3:vpn OS命令注入漏洞

Cohesive Networks vns3:vpn管理界面存在安全漏洞，允许远程攻击者可以利用漏洞提交特殊的请求，可以应用程序上下文执行任意命令。

https://github.com/fireeye/Vulnerability-Disclosures/blob/master/FEYE-2020-0007/FEYE-2020-0007.md

5. Android Qualcomm组件CVE-2020-11118代码执行漏洞

Android Qualcomm组件存在安全，允许远程攻击者可以利用漏洞提交特殊的请求，可以系统上下文执行任意代码。

https://source.android.com/security/bulletin/2020-08-01

1、研究人员发现HTTP/2 新型计时侧信道攻击方式

原文链接：

https://thehackernews.com/2020/07/http2-timing-side-channel-attacks.html 

2、NordPass称有上万个配置错误的数据库泄露100亿条记录

原文链接：

https://www.welivesecurity.com/2020/07/30/10-billion-records-exposed-unsecured-databases/

3、黑客入侵2gether服务器，窃取价值120万欧元的加密货币

原文链接：

https://securityaffairs.co/wordpress/106726/hacking/2gether-hacked.html

4、卡巴斯基发现伊朗APT组织Oilrig使用DoH窃取网络中数据

原文链接：

https://www.zdnet.com/article/iranian-hacker-group-becomes-first-known-apt-to-weaponize-dns-over-https-doh/#ftag=RSSbaffb68   
  

5、Intel 20GB源代码和机密文件泄露，目前来源未知

原文链接：

https://www.bleepingcomputer.com/news/security/intel-leak-20gb-of-source-code-internal-docs-from-alleged-breach/