2021.6.18 • 农历5月9日 • 周五
这周的物联网圈子
有哪些值得关注的事情呢？
鲲鹏实验室带你回顾下
01
IoT智能设备漏洞
Dell多款打印机存在未授权访问漏洞
影响产品：Dell打印机
漏洞类型：未授权访问漏洞
MFP S2815dn等都是Dell的彩色激光打印机。
Dell多款打印机产品存在未授权访问漏洞，攻击者可利用该漏洞获取敏感信息。
影响范围：
Dell C2660dn Color Laser
Dell 3130cn Color Laser
Dell 5130cdn Color Laser
Dell MFP S2815d
HP OfficeJet Pro产品未授权访问漏洞
影响产品：HP OfficeJet
漏洞类型：未授权访问漏洞
OfficeJet Pro是惠普的多功能一体打印机系列。
HP OfficeJet Pro系列产品存在未授权访问漏洞，攻击者可利用该漏洞未授权访问配置页面，获得敏感信息。
影响范围：
HP OfficeJet Pro 8710
HP OfficeJet Pro 8720
HP Officejet Pro 8610
HP ENVY 5530 e-All-in-One Printer series未授权访问漏洞
影响产品：
HP ENVY 5530 e-All-in-One Printer series
漏洞类型：未授权访问漏洞
HP ENVY 5530 e-All-in-One Printer series打印机是惠普贸易（上海）有限公司的一款多功能一体打印机。
HP ENVY 5530 e-All-in-One Printer series系列打印机存在未授权访问漏洞，攻击者可利用该漏洞无需登录直接访问打印机控制界面。
影响产品：
HP ENVY 5530 e-All-in-One Printer series
天融信TopGate 200(TG-21104-APP)存在命令执行漏洞
影响产品：
TopGate 200(TG-21104-APP) v7
漏洞类型：命令执行漏洞
天融信科技集团（简称天融信）是网络安全、大数据与云服务提供商。
天融信TopGate 200(TG-21104-APP)存在命令执行漏洞。攻击者可利用该漏洞获取服务器权限。
影响产品：
天融信TopGate 200(TG-21104-APP) v7
02
其他热门漏洞
NO.1
Apple iOS 缓冲区溢出漏洞
漏洞编号：CVE-2021-30737
Apple tvOS是美国苹果（Apple）公司的一套智能电视操作系统。
由于处理TLS证书时ASN.1解码器存在边界错误。远程攻击者通过构造恶意网站诱导受害者访问，使用特制的TLS证书触发内存损坏漏洞，从而在系统上执行任意代码。
影响版本：
tvOS：14.0 18J386、14.0.1 18J400、14.0.2 18J411、14.2 18K57、14.3 18K561、14.4 18K802、14.5 18L204
NO.2
Eclipse Jetty 信息泄露漏洞
漏洞编号：CVE-2021-28169
Eclipse Jetty是Eclipse基金会的一个开源的、基于Java的Web服务器和Java Servlet容器。
由于对用户输入的数据验证不严谨，攻击者在未授权的情况下，通过向ConcatServlet发起带有双重编码的恶意URI请求绕过验证，从而获取敏感信息。
影响版本：
Jetty <= 9.4.40
Jetty <= 10.0.2
Jetty <= 11.0.2
NO.3
Jenkins 跨站请求伪造漏洞
漏洞编号：CVE-2021-21665
Jenkins是Jenkins开源的一个应用软件。
由于XebiaLabs XL Deploy Plugin 10.0.1及更早版本在实现表单验证的方法中缺少对执行权限的检查。攻击者通过使用获取到的凭据id连接到特制的URL，从而捕获存储在Jenkins中的用户名、密码凭据。
影响版本：
Kiuwan Plugin <= 1.6.0
Kubernetes CLI Plugin <= 1.10.0
XebiaLabs XL Deploy Plugin <= 10.0.1
NO.4
IBM FTM CHK 存在跨站脚本漏洞
漏洞编号：CVE-2020-5000
IBM Financial Transaction Manager for Check Services（FTM CHK）是美国IBM公司的一款金融事务管理器。
IBM Financial Transaction Manager容易受到跨站点脚本的攻击。此漏洞允许用户在Web UI中嵌入任意的JavaScript代码，从而可能导致可信会话中的凭据泄露。
影响版本：
Financial Transaction Manager for Corporate Payment Services for MP = 3.2.4
Financial Transaction Manager for Corporate Payment Services for MP = 3.0.2
03
安全事件
01
英特尔最新补丁修补了CPU、蓝牙产品中的隐患，但安全库中也被发现漏洞
Threat Post报道，英特尔已经发布了29个安全警告，解决英特尔芯片BIOS的固件、蓝牙产品、主动管理技术工具、NUC迷你PC，以及有讽刺意义的英特尔自家安全库中的关键漏洞。评级较高的警告集中在CPU特权升级固件漏洞上：这对于修补和利用而言都很困难，但影响广泛，因此对聪明的攻击者很有吸引力。英特尔的公告中还包括一个针对BlueZ的中等严重性漏洞的补丁，BlueZ是一个蓝牙软件堆栈，允许对所谓的安全蓝牙和蓝牙低能量（BLE）连接进行中间人式攻击。另一个影响英特尔CPU的中等严重性漏洞允许通过可观察到的浮点响应差异进行本地可利用的信息泄露。对于系统管理员而言应修补系统的主板管理控制器（BMC）中的一组高威胁漏洞，它允许在2019年底发布的英特尔服务器主板M10JNP2SB系统中进行权限升级和拒绝服务攻击。
热门跟贴