微软宣布紧迫更新，，，，，，修复Office和Paint 3D中多个误差；；；；；美国SBA官网保存误差泄露8000家企业的敏感信息
宣布时间 2020-04-241.微软宣布紧迫更新，，，，，，修复Office和Paint 3D中多个误差
Microsoft宣布了紧迫清静更新，，，，，，以修复使用了Autodesk FBX库的Microsoft产品，，，，，，包括多个版本的Microsoft Office和Windows 10应用程序Paint 3D。。本次修复的误差为FBX库中的远程执行代码误差，，，，，，攻击者使用此误差可以获得与外地用户相同的权限，，，，，，Autodesk在4月15日推出了针对此误差的补丁程序。。Microsoft体现，，，，，，黑客必需诱使用户翻开其特制的3D文件才可以乐成使用此误差，，，，，，因此，，，，，，在清静更新之前用户需要远离那些可疑文件以包管清静。。
原文链接：
https://news.softpedia.com/news/microsoft-releases-emergency-update-for-windows-10-app-microsoft-office-529800.shtml
2.美国SBA官网保存误差泄露8000家企业的敏感信息
美国小型企业治理局（SBA）官网保存误差，，，，，，泄露了8000家企业的敏感信息，，，，，，将导致其认真的经济危险灾难贷款（EIDL）的分发延迟。。此次数据泄露是由于政府安排网站时保存问题，，，，，，导致用户在申请贷款的页面实验退却时，，，，，，便可以看到其他企业的信息。。泄露的数据包括姓名、社会清静号码、税号、地点、出生日期、电子邮件、电话号码、婚姻和公民关系、家庭人数、收入、披露盘问以及金融和包管信息。。新闻媒体CNBC体现，，，，，，政府为了赔偿受到影响的企业，，，，，，将为其提供为期一年的身份偷窃保�；；；；ばЮ�。。
原文链接：
https://threatpost.com/small-businesses-covid-19-loans-data-exposure/155013/
3.英国电商Robert Dyas遭攻击，，，，，，约2万客户支付信息被窃
3月7日至30日，，，，，，英国电商公司Robert Dyas的网站遭到信用卡窃取恶意剧本的攻击，，，，，，泄露了该公司约2万名客户的支付信息，，，，，，包括客户姓名、地点、信用卡卡号、有用期和清静代码（CVV）等。�？？梢匀沸诺氖谴舜喂セ魑庞每ㄇ匀《褚馊砑セ�，，，，，，但由于信息缺乏现在无法确定该恶意软件是否为Magecart。。这类攻击通常是针对供应链的，，，，，，通过破损支付页面中的第三方网站将恶意Javascript注入到付款页面中。。Robert Dyas公司体现，，，，，，自3月30日发明攻击后，，，，，，他们第一时间接纳了步伐，，，，，，并包管自3月31日起网站便可以清静运行。。
原文链接：
https://www.theregister.co.uk/2020/04/22/robert_dyas_card_skimmer/
4.Tag Barnakle入侵企业广告效劳器Revive撒播恶意广告
据广告清静公司Confiant报道，，，，，，Tag Barnakle黑客组织入瞄准了企业的开源自托管广告效劳器Revive以撒播恶意广告，，，，，，近几个月已经有几十台效劳器被攻击，，，，，，包括那些宣布商和广告公司自营的广告效劳器。。Tag Barnakle团伙是通过向网站注入恶意JavaScript代码实现攻击的，，，，，，这些代码可以检测目的机械是否翻开了Firebug或浏览器的开发职员控制台，，，，，，若是未翻开，，，，，，则将用户重定向到分发虚伪Adobe Flash更新的恶意网站。。Confiant视察发明Tag Barnakle攻击了凌驾360个网站。。
原文链接：
https://www.bleepingcomputer.com/news/security/revive-ad-servers-being-hacked-to-distribute-malicious-ads/
5.研究职员发明3款智能家居系统保存多个清静误差
ESET IoT Research研究职员在3款差别的智能家居系统Fibaro Home Center Lite、Homematic Central Control Unit (CCU2) 和 eLAN-RF-003中发明了多个清静误差，，，，，，这些误差可能导致敏感数据泄露、远程代码执行和中心人攻击等。。Fibaro产品由于缺少证书验证使得其TLS链接容易受到中心人攻击，，，，，，从而使攻击者获得root用户会见权限。。eQ?3的产品CCU2保存RCE误差，，，，，，使攻击者可以通过大宗shell下令来使用RCE误差，，，，，，以root用户身份执行未经身份验证的远程代码。。ELKO EP的产品eLAN-RF-003 由于保存一些误差，，，，，，导致其保存敏感信息走漏、易受纪录和重放攻击的问题。。ESET IoT Research体现，，，，，，几家装备制造商均在接受报告后的90天内修复了这些误差。。
原文链接：
https://www.welivesecurity.com/2020/04/22/serious-flaws-smart-home-hubs-is-your-device-among-them/
6.黑客使用Google的.app gTLD垂纶攻击，，，，，，窃取用户Skype凭证
Cofense网络清静公司发明黑客通过由Google治理的.APP通用顶级域（gTLD）对远程事情职员提倡了网络垂纶攻击，，，，，，以窃取其Skype凭证。。黑客全心设计了网络垂纶页面及其链接，，，，，，通过使用Google的.APP通用顶级域（gTLD）中的链接举行初始重定向，，，，，，使其指向伪造的网络垂纶页面。。黑客使用了.APP gTLD乐成的绕过网络垂纶邮件的检测，，，，，，并且在伪造页面上显示了受害者公司的徽标和清静提醒，，，，，，使得此次攻击看起来越发真实。。
原文链接：
https://www.bleepingcomputer.com/news/security/creative-skype-phishing-campaign-uses-googles-app-gtld/
京公网安备11010802024551号