试用App卸载后直接扣费，全球近6亿Android用户中招；微软宣布1月Office清静更新，修复3个RCE误差
宣布时间 2020-01-17
1.试用App卸载后直接扣费，全球近6亿Android用户中招
Sophos清静研究职员发明了一组新的fleeceware APP，这些APP已经被凌驾6亿Android用户下载装置。fleeceware是指谷歌Play市肆中保存的一种新型金融诓骗行为，这些APP滥用Android应用的试用期功效向用户收费。默认情形下Android用户在注册使用具有试用期的APP时必需手举措废试用，然而大大都用户只是在不喜欢的时间卸载APP，绝大大都开发者将这种卸载行为视为作废试用，但一些开发者在用户卸载后没有作废试用并且继续收费。Sophos最初发明的24个APP包括二维码扫描器、盘算器等，它们以这种方法向用户收取每年100美元到240美元的订阅用度。在克日宣布的一份报告中，Sophos发明了另外25个此类APP，其总装置量凌驾6亿，完整的APP列表请参考以下链接。
原文链接：
https://www.zdnet.com/article/more-than-600-million-users-installed-android-fleeceware-apps-from-the-play-store/
2.微软宣布1月Office清静更新，修复3个RCE误差
微软在1月Office清静更新中为5个差别的产品宣布了总共7个清静更新和3个累计更新，其中6个更新与远程代码执行误差有关。这些RCE误差被跟踪为CVE-2020-0650、CVE-2020-0651和CVE-2020-0652，受影响的产品包括Office 2016、Office 2013、Office 2010、Excel 2016、Excel 2013和Excel 2010。别的被跟踪为CVE-2020-0647的另一个误差是影响Office Online Server的诱骗误差，它是由跨域通讯中的原始验证不准确引起的，乐成使用此误差的攻击者可以在受影响的系统上举行跨域攻击。
原文链接：
https://www.bleepingcomputer.com/news/security/microsoft-office-january-security-updates-fix-code-execution-bugs/
3.VMware宣布VMware Tools 11，修复10版本中的LPE误差
VMware已宣布VMware Tools 11.0.0，修复了版本10.xy中的外地提权误差（CVE-2020-3941）。该误差被归类为竞争条件误差，攻击者可能使用此误差在虚拟机中提升特权。该误差的CVSS评分为7.8分。别的，VMware还修复了Workspace ONE SDK中的信息泄露误差（CVE-2020-3940），该误差影响了相关的iOS和Android APP，包括Workspace ONE Boxer、Content、Intelligent Hub、Notebook、People、PIV-D、Web以及适用于Apache Cordova和Xamarin的SDK插件。凭证清静通告，若是启用了SSL Pinning，则在受影响的移动APP和Workspace ONE UEM装备服务之间的中心人（MITM）攻击者可能捕获传输中的敏感数据。
原文链接：
https://securityaffairs.co/wordpress/96446/security/vmware-tools-and-workspace-one-sdk-flaws.html
4.Peekaboo Moments意外泄露80万用户的邮箱信息
清静研究员Dan Ehrlich发明Peekaboo Moments APP的Elasticsearch数据库袒露了数千个婴儿的照片和视频以及至少80万个电子邮件地址。该数据库属于Peekaboo Moments的开发商Bithouse，数据库中存有7000万个日志文件。除了婴儿的视频和照片外，该数据库还包括婴儿的出生日期、身长和体重以及经度和纬度位置数据。别的，泄露的数据疑为Peekaboo Moments的Facebook API密钥，怙恃可使用该密钥将照片等宣布到Facebook。凭证Ehrlich的说法，攻击者可能会使用这些密钥来会见用户Facebook页面上的内容。Bithouse在接到报告后迅速对服务器举行了�；�。
原文链接：
https://hotforsecurity.bitdefender.com/blog/peekaboo-moments-app-left-baby-videos-photos-and-800000-users-email-addresses-exposed-on-the-internet-22067.html
5.加拿大网上药店PlanetDrugsDirect泄露部分客户支付信息
加拿大网上药店PlanetDrugsDirect正在通过电子邮件通知客户其小我私家和财务信息受到数据泄露事务的影响。PlanetDrugsDirect称自己为客户提供获得处方药和非处方药的机会，其客户数目约为40万。凭证该药店的通知，可能泄露的数据包括客户的姓名、住址、电子邮件地址、电话号码以及处方的医疗信息和付款信息，但没有证据批注用户的密码受到损害。PlanetDrugsDirect还指出该事务现在正在视察中，将尽快提供更多详细信息。
原文链接：
https://www.bleepingcomputer.com/news/security/online-pharmacy-planetdrugsdirect-discloses-security-breach/
6.数百个医学成像系统在网上袒露了数百万患者的数据
德国清静厂商Greenbone称数百个可果真会见的医学成像系统在互联网上袒露了全球数百万患者的数据。该项研究重点剖析在网上袒露的医学图片存档和通讯系统（PACS），在所有受剖析的PACS服务器中，有快要1/4的系统将数据袒露在互联网上。详细来说，在2019年7月至2019年9月之间剖析的2300个系统中，有590个可从Internet会见并且未设密码，共有凌驾2450万条患者数据袒露，在11月份的研究中，该公司透露有3500万条患者纪录可果真会见。在9月至11月之间，包括医疗图像的袒露患者纪录数目已从440万增添了一倍，抵达900万。
原文链接：
https://www.securityweek.com/unprotected-medical-systems-expose-data-millions-patients
京公网安备11010802024551号