AG公司威胁情报周报（2020.03.02~2020.03.08）
2020-03-09
一、威胁通告
- V8类型混淆漏洞
【发布时间】2020-03-04 20:00:00 GMT
【概述】2月25日，谷歌Chrome浏览器与微软Edge浏览器发布了安全更新，在Google Chrome 浏览器80.0.3987.122以下与MicrosoftEdge浏览器80.0.361.62以下的版本中，开源 JavaScript和WebAssembly引擎V8中存在一个类型混淆漏洞（CVE-2020-6418），可能导致攻击者非法访问数据，从而执行恶意代码。有研究人员发现，在更新发布前，该漏洞就已经被攻击者用于实际攻击。
http://blog.nsfocus.net/cve-2020-6418-2/
- Oracle Coherence反序列化远程代码执行漏洞
【发布时间】2020-03-06 22:00:00 GMT
【概述】2020年1月15日，Oracle官方发布了2020年1月关键补丁更新公告，修复了334个不同程度的漏洞。其中包括一个Oracle Coherence反序列化远程代码执行漏洞（CVE-2020-2555），CVSS评分为9.8；该漏洞允许未经身份验证的攻击者通过构造T3网络协议请求进行攻击，成功利用该漏洞可实现在目标主机上执行任意代码。使用了Oracle Coherence库的产品受此漏洞影响，在WebLogic Server 11g Release（10.3.4）及以上版本的安装包中默认集成了Oracle Coherence库。
http://blog.nsfocus.net/cve-2020-2555/
- Spring-cloud-config-server路径遍历漏洞
【发布时间】2020-03-06 22:00:00 GMT
【概述】AG公司科技安全研究员发现spring-cloud-config-server组件中存在路径遍历漏洞（CVE-2020-5405），2月26日Spring官方发布了漏洞通告并致谢。攻击者利用此漏洞可以实现目录遍历，读取未授权文件的内容，请相关用户尽快升级spring-cloud-config-server至修复版本，对此漏洞进行防护。
http://blog.nsfocus.net/cve-2020-5405/
- Linux系统pppd远程代码执行漏洞
【发布时间】2020-03-06 22:00:00 GMT
【概述】3月6日，US-CERT发布了一个关于影响PPP daemon(pppd)软件的存在17年之久的远程代码执行漏洞的公告，影响几乎所有基于Linux的操作系统以及网络设备固件。该漏洞为栈缓冲溢出漏洞(CVE-2020-8597)，CVSS评分为9.8分；pppd中的eap.c在 eap_request和eap_response函数中rhostname参数存在缓冲区溢出，未经身份验证的攻击者发送恶意伪造的EAP包，可在受影响的系统中远程执行任意代码。
http://blog.nsfocus.net/cve-2020-8597/
二、热点资讯
- Jackson-databind/Fastjson远程代码执行漏洞
【概述】近日，Jackson-databind修复了2个远程代码执行漏洞（CVE-2020-9547/CVE-2020-9548）。这2个漏洞源于2种新的组件（ibatis-sqlmap以及anteros-core）利用该漏洞可以绕过黑名单限制，在受害机器上远程执行代码。另外，fastjson在使用上述受影响组件时，若开启了autoType功能（autoType功能默认关闭），则也存在对应漏洞。
参考：https://github.com/FasterXML/jackson-databind/issues/2634
- Weblogic Coherence远程代码执行漏洞
【概述】近日，AG公司科技检测到有国外研究员发布了关于Oracle Coherence反序列化远程代码执行漏洞（CVE-2020-2555）的细节报告。Oracle Coherence在Weblogic 12c后的版本中默认与Weblogic server一起安装。AG公司科技研究员已复现该漏洞，虽然Oracle在今年1月份的关键补丁更新（Critical Patch Update）中已经修复了该漏洞，但鉴于危害较大，建议客户及时检查并安装补进行防护。
- Molerats向政府和电信组织提供后门
【概述】Molerats威胁组织利用鱼叉式网络钓鱼攻击向政府、电信组织提供Spark后门，该后门可让攻击者在受感染系统上打开应用程序并执行命令。Molerats(又名Gaza cybergang)是一个出于政治动机的威胁组织，自2012年以来一直活跃，该组织的受害者主要在中东、欧洲和美国。
参考：https://unit42.paloaltonetworks.com/molerats-delivers-spark-backdoor/
- APT34组织利用Karkoff针对黎巴嫩政府
【概述】近期APT34组织针对黎巴嫩政府进行网络间谍活动，活动中使用新恶意软件Karkoff实现侦察逻辑，将最终的有效负载分配到特定目标，利用Microsoft Exchange Server作为通信渠道，收集系统信息、域名、主机名和正在运行的操作系统。APT34是一个伊朗威胁组织，至少从2014年开始活跃，该组织在中东发起攻击活动，主要针对金融、政府、能源、化工、电信和其他行业。根据基础设施细节评估该组织为伊朗政府工作。
- 朝鲜Kimsuky组织威胁韩国发展其TTP
【概述】Kimsuky，也被称为Kimsuki、Velvet Chollima，是一个归属于朝鲜的威胁组织，至少从2013年开始活跃，针对韩国智囊团、工业、核电运营商和统一部等进行间谍活动。近期Kimsuky组织使用一种新恶意软件植入物对韩国发动系列攻击活动。
- CIA攻击组织（APT-C-39）长期对中国关键领域的网络渗透攻击
【概述】美国中央情报局CIA攻击组织（APT-C-39）对中国进行的长达十一年的网络攻击渗透。在此期间，中国航空航天、科研机构、石油行业、大型互联网公司以及政府机构等多个单位均遭到不同程度的攻击，并主要集中在北京、广东、浙江等省份。
