一周安全头条 (20191110-1116)

行业动态 Gartner 安全访问服务边缘 (SASE) 模型

行业动态 下一代防火墙 (NGFW) 应用指南

融资并购 OpenText Carbonite 基于云的数据安全

融资并购 Sepio 硬件攻击检测

安全创业公司Sepio获得A轮融资650万美元，由Hanaco Ventures与Merlin Ventures领投，总融资额到1,100万美元。Sepio以云服务的方式，检测并缓和基于硬件的攻击、流氓软件、不可视的网络设备以及被操控的固件；从而对硬件资产以及它们的行为提供实时的可视化能力。

http://1t.click/bd4x

融资并购 Pcysys 渗透测试 以色列

以色列安全厂商Pcysys周三宣布获得A轮融资1,000万美元，总融资额达1,500万美元。Pcysys提供一个自动化的渗透测试平台，扫描并得体地渗透进企业网络，从而帮助客户发现并理清不同优先度的威胁。这一轮融资由加拿大风投Awz Ventures领投，并且有黑石集团参与。

http://1t.click/bdtr

报告调研 JavaScript框架 安全漏洞

近日，Snyk发布了2019年度的JavaScript框架安全状况报告，除了最流行的JS框架 Angular和React外，报告还观察了其它三个流行JS前端框架Vue.js、Bootstrap和jQuery的安全漏洞。jQuery过去12个月的下载量超过了1.2亿次，是Vue.js的4000万次和Bootstrap的7900万次之和。Vue.js发现了4个漏洞，都已经修复。Bootstrap发现了7个跨站脚本漏洞，3个是在2019年披露的，无安全修正。jQuery发现了6个影响所有版本的安全漏洞，4个是中等危险级别的跨站脚本漏洞，1个是中危Prototype Pollution漏洞，还有一个是低危拒绝服务漏洞。

http://uee.me/cAcLy

“虚假”勒索软件 特朗普 恶意锁屏 普京

网络攻击 勒索软件 墨西哥 石油公司Pemex

上周日，墨西哥国有石油公司Pemex的系统遭到DoppelPaymer勒索软件感染并破坏，被索要490万美元的赎金。该公司发布的安全公告中写道，“和其他国际政府以及金融公司和机构一样，Pemex经常收到威胁和网络攻击。11月10日星期日，这家国有生产公司遭遇了网络攻击，这些攻击最终被及时消除，并且只影响了不到5％的个人计算机设备的运行。此次事件过后，Pemex重申其燃料生产，供应和库存是有安全保障的。” Pemex确认其基础设施与所有主要的国家和国际政府以及金融组织一样，正不断面对来自黑客的攻击，因此公司正在持续加强安全措施。

http://uee.me/cAEa7

垃圾邮件 WebEx 重定向漏洞

近日，研究人员发现一种新型的垃圾邮件传播活动，其伪装成WebEx的会议邀请，并使用思科开放的重定向漏洞将远程访问木马推送收件人，以此牵引访问者到攻击者的目标的站点。

http://uee.me/cAcG6

漏洞补丁 Facebook iPhone摄像头

近日，iPhone用户反映Facebook应用程序在滚动浏览提要或查看社交网络照片时，后台秘密激活了手机摄像头。测试表明该漏洞仅影响运行iOS 13.2.2的iPhone用户。该漏洞源于244版Facebook iOS应用横向模式的错误启动，导致应用部分导航到相邻相机屏幕，尚不清楚该程序是否通过错误访问相机记录上传了用户隐私。目前Facebook已向苹果提交了该应用程序的补丁版本。

http://rrd.me/eXmMv

安全研究 英特尔处理器 边信道攻击 ZombieLoad

今年 5 月，计算机科学家公开了英特尔处理器的新边信道攻击 ZombieLoad，攻击影响 2011 年之后发布的几乎所有英特尔处理器。现在新的 Zombieload 漏洞变种 v2 能影响最近发布的英特尔处理器，其中包括 Cascade Lake。英特尔正在释出处理器的微码更新去修复最新的漏洞。Zombieload 漏洞与 之前披露的 Meltdown、Spectre 和 Foreshadow 漏洞类似，都是利用预测执行，去实现跨线程、权限边界和超线程的数据泄露。

http://uee.me/cAErn

漏洞补丁 5G

近日，研究人员发现了11 个全新5G 漏洞。这些漏洞允许黑客创建一个恶意的无线基站，对用户进行实时位置追踪，可能触发紧急警报或对手机发动攻击。专家表示，只要掌握4G和5G 网络相关知识，并拿到低成本的软件无线电，即可发动攻击。目前研究员已通知GSM 协会（GSMA），希望漏洞问题能尽快被解决。

http://rrd.me/eXubp

漏洞补丁 微软 0day

微软本周发布了11月的安全更新，修复了9个产品共74个漏洞，其中13个漏洞为高危漏洞。本月的更新还包含了一个0day漏洞，存在于IE的脚本引擎中，从而使得攻击者可以通过恶意的Office文档实施攻击，在受害系统上远程执行任意代码，并获得当前用户同样的权限。另一方面，该漏洞已经被攻击者广泛使用。因此，Windows的用户需要尽快进行本月的更新。

http://1t.click/bdtv

漏洞补丁 硬件安全 边信道攻击 TPM

近日，研究者公布了CPU中TPM的两个漏洞，可能影响数十亿设备。研究者发现，通过边信道攻击，利用时序信息能够恢复加密密钥。在PoC中，研究人员测试并在即使没有管理员权限的情况下恢复了ECDSA与ECSchnorr的256位私钥。攻击者一旦成功获取私钥，就可以仿造数字签名、窃取或者修改信息、绕过OS防御能力或者破解硬件上的应用程序。由于TPM被广泛应用于笔记本、台式机、服务器、智能手机与物联网设备等应用，该漏洞影响巨大。然而，尽管研究者二月就已经提交了漏洞报告，英特尔与STMicroelectronics本周二才刚刚公布漏洞。

http://1t.click/bdtx

安全研究 macOS Apple Mail 加密邮件

漏洞补丁 亚马逊 门铃 WiFi拦截

数据泄露 Facebook 内部机密文件

谷歌 南丁格尔计划 个人健康信息 非法访问/收集