海王捕鱼威胁情报周报（2020.10.19-2020.10.25）

2020-10-26

一、威胁通告

VMware ESXi 远程代码执行漏洞（CVE-2020-3992）

【发布时间】2020-10-22 12:00:00 GMT

【概述】

10 月21 日，海王捕鱼监测到VMware 官方发布安全通告修复了一个VMware ESXi 远程代码执行漏洞（CVE-2020-3992）。漏洞来源于ESXi 中使用的OpenSLP 存在“use-after-free”释放后重利用问题，当攻击者在管理网络（management network）中时，可以通过访问ESXi 宿主机的427 端口触发OpenSLP 服务的user-after-free，从而导致远程代码执行。CVSS 评分为9.8，请相关用户采取措施进行防护。

【链接】

https://nti.nsfocus.com/threatWarning

Weblogic 多个远程代码执行漏洞（CVE-2020-14825、CVE-2020-14841、CVE-2020-14859……）

【发布时间】2020-10-22 17:00:00 GMT

【概述】

10 月21 日，海王捕鱼监测到Oracle 官方发布2020 年10 月关键补丁更新（Critical Patch U pdate），修复了402 个危害程度不同的安全漏洞。其中包括5 个WebLogic 的严重漏洞（CVE -2020-14825、CVE-2020-14841、CVE-2020-14859、CVE-2020-14882、CVE-2019-17267），未经身份验证的攻击者可通过此次的漏洞实现远程代码执行。CVSS 评分均为9.8，利用复杂度低。建议用户尽快采取措施，对上述漏洞进行防护。

【链接】

https://nti.nsfocus.com/threatWarning

Oracle 全系产品2020 年10 月关键补丁更新通告（CVE-2020-14841、CVE-2020-14825、CVE-2020-14859）

【发布时间】2020-10-22 17:00:00 GMT

【概述】

2020 年10 月21 日，海王捕鱼监测到Oracle 官方发布了2020 年10 月关键补丁更新公告 CPU（Critical Patch Update），此次更新修复了402 个不同程度的漏洞，其中271 个漏洞可被远程未经身份认证的攻击者利用。此次更新涉及Oracle Database Server、Oracle Weblogic Serv er、Oracle Java SE、Oracle MySQL 等多个产品。各产品受影响情况及可用补丁请见附录。Oracl e 强烈建议客户尽快应用关键补丁更新修复程序，对漏洞进行修复。

【链接】

https://nti.nsfocus.com/threatWarning

二、热点资讯

1. VMware修补了ESXi，Workstation，Fusion和NSX-T产品中的多个漏洞，包括一个关键的代码执行漏洞

【概述】

VMware已修复其ESXi，Workstation，Fusion和NSX-T产品中的多个漏洞，其中包括一个允许任意代码执行的严重缺陷。跟踪为CVE-2020-3992的严重漏洞是一个先使用后使用的问题，它会影响ESXi中的OpenSLP服务。该漏洞可能允许远程攻击者在受影响的ESXi产品安装上执行任意代码。

【参考链接】

https://securityaffairs.co/wordpress/109843/security/vmware-critical-flaws.html

2. Instagram被调查曝光未成年人细节

【概述】

爱尔兰的数据保护专员已开始调查Facebook的Instagram服务是否在其平台上未正确显示未成年人的电子邮件地址和电话号码。Stier发现，全球至少有200万个12至15岁的儿童和300万个16或17岁的孩子将其Instagram个人资料转换为“企业”资料。这样会自动将用户的电子邮件地址或电话号码（或两者都公开）。

【参考链接】

https://www.inforisktoday.com/instagram-investigated-for-exposure-minors-details-a-15197

3. 2020年云安全的九大关键趋势

【概述】

2020年新冠疫情加速了“云计算与安全”、“网络与安全”的融合趋势。“云优先”时代，企业越来越依赖云计算。但是对于大多数企业来说，业务上云并不意味着安全上云，“靠山山倒”，要想确保云服务的安全，仅仅依靠或信赖云服务商是远远不够的。企业还需要完成传统网络安全思维的转变：“云安全始于云原生思维方式，这种思维方式不再面向网络，而更多地面向身份、数据和应用程序。”

【参考链接】

https://www.aqniu.com/industry/70748.html

4. Gartner2020年十大安全项目详解

【概述】

受疫情的影响，2020年中例行的Gartner安全与风险管理峰会被迫取消。终于，在2020年9月14~17日，2020年Gartner安全风险与管理峰会以线上会议的形式补上了。会上，正式发布了2020年度的十大安全项目，发布人还是Brian Reed。这十大项目介绍Gartner中国的官微做了介绍，但本文认为有几处翻译不妥。

【参考链接】

https://www.anquanke.com/post/id/220104

5. 谷歌在Linux内核发现蓝牙漏洞攻击者可任意访问敏感信息

【概述】

据外媒报道，近日谷歌安全研究人员在Linux内核中发现了一组蓝牙漏洞（BleedingTooth），该漏洞可能允许攻击者进行零点击攻击，运行任意代码或访问敏感信息。

【参考链接】

https://www.easyaq.com/news/2147307904.shtml

6. 微软启动针对Chromium的零日漏洞计划

【概述】

在2020年1月份宣布使用开源代码库重建Edge浏览器之后，微软近日宣布启动了针对Chromium的类似Google Project Zero风格的零日漏洞安全研究计划。一组浏览器安全专家将对Google的浏览器开发库进行深入研究。

【参考链接】

https://www.aqniu.com/industry/70777.html