Apple宁静更新 ，修复macOS中被Shlayer利用的0day ；Cisco披露Linux内核中可绕过KASLR的信息泄露漏洞
宣布时间 2021-04-281.Apple宁静更新 ，修复macOS中被Shlayer利用的0day
Apple宣布宁静更新 ，修复macOS Big Sur 11.3中已被利用的0day。宁静团队Jamf发现 ，从2021年1月开始恶意软件Shlayer利用了一个0day（CVE-2021-30657） ，来绕过Apple的文件隔离、Gatekeeper和公证宁静检查 ，并下载第二阶段所使用的payload。此外 ，此次更新还修复了iOS、iPadOS和watchOS中的多个0day ，包罗WebKit Storage的内存损坏漏洞（CVE-2021-30661）、远程代码执行漏洞（CVE-2020-27930）、内核内存泄露漏洞（CVE-2020-27950）和内核特权提升漏洞（CVE-2020-27932）。
原文链接：
https://www.bleepingcomputer.com/news/security/apple-fixes-macos-zero-day-bug-exploited-by-shlayer-malware/
2.Valve宣布更新 ，修复Steam中已存在两年的RCE漏洞
Valve宣布更新 ，修复游戏平台Steam中已存在两年的RCE漏洞。该漏洞可在恶意游戏邀请中添加命令 ，对游戏做出微小的的调整 ，如修改游戏语言、灵敏度、分辨率等。但是由于Source RCON协议允许服务器所有者在服务器中执行命令 ，利用此特性可提倡RCE攻击。此外 ，研究人员还演示了如何利用该漏洞来完全接管CS：GO游戏玩家的账号。研究人员Florian于2019年陈诉了该漏洞 ，Valve在2021年4月17日宣布了补丁法式 ，并分配了CVE-2021-30481。
原文链接：
https://latesthackingnews.com/2021/04/26/valve-finally-patched-a-steam-rce-vulnerability-that-waited-a-fix-for-two-years/
3.Cisco披露Linux内核中可绕过KASLR的信息泄露漏洞
Cisco Talos称 ，Linux内核中存在可绕过KASLR的信息泄露漏洞。该漏洞被追踪为CVE-2020-28588 ，位于运行Linux的32位ARM设备的/proc/pid/ syscall功效中 ，是由于读取文件时数值转换不正确而引起的。通过使用几条shell命令 ，攻击者可以输出24个字节的未初始化的堆栈内存 ，这些内存可以被用来绕过内核地址空间结构随机化（KASLR）。Cisco建议用户尽快更新受影响的产物Linux内核版本5.10-rc4、5.4.66和5.9.8。
原文链接：
https://threatpost.com/linux-kernel-bug-wider-cyberattacks/165640/
4.油田公司Gyrodata熏染勒索软件 ，员工敏感信息泄露
美国油田公司Gyrodata透露 ，其于2月21日发现遭到了勒索软件攻击 ，员工敏感信息泄露。经视察确定 ，黑客在2021年1月16日至2月22日之间可以访问其部门系统和相关数据 ，可能泄露了现员工和前员工的个人信息 ，包罗出生日期、地址、社会保险号、驾照号码、护照号码、W-2税表和健康计划信息等。截至上周四 ，该公司一直在联系受影响的员工 ，并建立了专门的呼叫中心来应对可能泛起的问题。
原文链接：
https://www.securityweek.com/oilfield-services-company-gyrodata-discloses-data-breach
5.Reverb通知客户因其服务器配置错误泄露560多万条记录
Reverb于4月26日向其客户发送了数据泄露通知 ，表明已泄露了客户信息。Reverb主要在线销售乐器等设备 ，此次泄露的客户信息包罗姓名、地址、电话号码、PayPal邮件地址和订单信息等内容。Reverb并未在通知中说明他们是因何泄露数据的 ，但宁静研究员Bob Diachenko称其在Internet上发现了一个袒露的Elasticsearch服务器 ，其中包罗凌驾560万条记录。
原文链接：
https://www.bleepingcomputer.com/news/security/reverb-discloses-data-breach-exposing-musicians-personal-info/
6.黑客在暗网果然美国2.5亿个公民的个人和家庭信息
2021年4月22日 ，名为Pompompurin的黑客在暗网果然了一个数据库 ，其中包罗了凌驾250807711个美国公民的个人和家庭信息。该数据库有263 GB的记录 ，包罗了1255个CSV子文件 ，每个子文件有200000个列表 ，包罗姓名、电话号码、邮件地址、出生日期、婚姻状况、性别、信用能力、政治派别、车辆数量、收入明细和孩子个数等内容。目前尚不清楚数据的来源 ，相关人员透露来自Amazon Web Server上托管的开放式Apache SOLR。
原文链接：
https://www.hackread.com/hacker-dumps-household-records-of-americans/
京公网安备11010802024551号