英国国家网络清静中心（NCSC）宣布误差披露指南；；；；；；BlindSide攻击可使用CPU的推测执行功效绕过ASLR

宣布时间 2020-09-16

1.英国国家网络清静中心（NCSC）宣布误差披露指南


1.jpg


英国国家网络清静中心（NCSC）宣布了误差披露指南，，，，以资助公司实验误差披露流程或在已经建设误差披露流程的情形下对其举行刷新。。。。。 。。NCSC体现，，，，该指南并不是一个误差披露的规则手册，，，，而是为更好的实验提供了须要的信息。。。。。 。。其主要分为三个主要部分，，，，形貌了怎样将外部误差信息定向给合适的人，，，，以及报告需遵照关闭误差的框架标准。。。。。 。。


原文链接：

https://www.bleepingcomputer.com/news/security/uk-government-releases-toolkit-to-easily-disclose-vulnerabilities/


2.Aqua Security宣布2020年Cloud Native Threat报告


2.jpg


Aqua Security跟踪并剖析了2019年6月至2020年7月之间的16371起攻击，，，，宣布了2020年Cloud Native Threat报告。。。。。 。。报告显示，，，，今年年头针对云系统的攻击在激增，，，，相比上一年增添了250％。。。。。 。。在这些攻击时代，，，，黑客试图获得对蜜罐效劳器的控制权，，，，然后下载并安排恶意容器镜像。。。。。 。。Aqua体现，，，，这些镜像中有95％是针对挖矿加密钱币的，，，，而其余则用于设置DDoS基础设施。。。。。 。。


原文链接：

https://www.zdnet.com/article/vast-majority-of-cyber-attacks-on-cloud-servers-aim-to-mine-cryptocurrency/


3.BlindSide攻击可使用CPU的推测执行功效绕过ASLR


3.png


苏黎世联邦理工学院等大学的研究职员发明了新的BlindSide攻击方法，，，，其可使用CPU的推测执行功效绕过ASLR。。。。。 。。推测执行是现代处置惩罚器的一种提高性能的功效，，，，BlindSide可以使用软件应用程序中的误差，，，，并在推测执行域中重复使用该误差，，，，重复探测内存，，，，直到攻击者绕过ASLR。。。。。 。。由于此攻击爆发在推测执行的规模内，，，，因此所有失败的探测都会被扬弃，，，，并不会影响CPU或其稳固性。。。。。 。。


原文链接：

https://www.zdnet.com/article/new-blindside-attack-uses-speculative-execution-to-bypass-aslr/


4.FBI忠言针对金融机构的凭证填充攻击的数目激增


4.png


联邦视察局（FBI）忠言针对金融机构的凭证填充攻击的数目激增。。。。。 。。凭证填充是相对较新的术语，，，，早先黑客只使用这类攻击针对在线游戏和食物订购帐户。。。。。 。。可是随着这种战略的乐成，，，，更多黑客组织转而针对在线银行效劳和加密钱币生意所，，，，旨在窃取金融资产。。。。。 。。FBI体现，，，，自2017年以来，，，，其收到了近5万起针对美国金融机构的凭证填充攻击导致的帐户信息泄露事务的报告，，，，受害者包括银行、金融效劳提供商、包管公司和投资公司。。。。。 。。


原文链接：

https://www.zdnet.com/article/fbi-says-credential-stuffing-attacks-are-behind-some-recent-bank-hacks/


5.Staples公司遭到黑客攻击，，，，客户订单数据泄露


5.png


办公零售公司Staples发出了数据泄露通知书，，，，声明其9月2日左右遭到了黑客攻击，，，，导致客户订单数据泄露。。。。。 。。该事务泄露的信息包括客户的姓名、地点、电子邮件地点、电话号码、信用卡号后四位、产品本钱、交货和订购的产品。。。。。 。。凭证通知，，，，并没有敏感数据被泄露，，，，包括帐户凭证和完整的支付卡数据。。。。。 。。


原文链接：

https://securityaffairs.co/wordpress/108271/data-breach/staples-data-breach.html


6.黑客入侵美国退伍武士事务部，，，，窃取4.6万武士信息


6.png


退伍武士事务部（VA）体现，，，，有未经授权的用户会见了由VA金融效劳中心（FSC）治理的在线应用程序，，，，获取了约莫46000名退伍武士的小我私家信息。。。。。 。。弗吉尼亚州体现，，，，黑客使用社会工程攻击，，，，并使用身份验证协议来会见FSC应用程序，，，，然后转移了退伍武士治理局原本妄想支付给医疗保健提供商用于美国退伍武士的医疗的款子。。。。。 。。只管官员们仍在视察这起事务，，，，但VA以为，，，，黑客可能还窃取了退伍武士的纪录，，，，包括社会清静号码。。。。。 。。


原文链接：

https://www.zdnet.com/article/department-of-veteran-affairs-discloses-breach-impacting-46000-veterans/