金沙js1996威胁情报周报（2020.03.02~2020.03.08）

2020-03-09

一、威胁通告

V8类型混淆漏洞

【发布时间】2020-03-04 20:00:00 GMT

【概述】2月25日，谷歌Chrome浏览器与微软Edge浏览器发布了安全更新，在Google Chrome 浏览器80.0.3987.122以下与MicrosoftEdge浏览器80.0.361.62以下的版本中，开源 JavaScript和WebAssembly引擎V8中存在一个类型混淆漏洞（CVE-2020-6418），可能导致攻击者非法访问数据，从而执行恶意代码。有研究人员发现，在更新发布前，该漏洞就已经被攻击者用于实际攻击。

http://blog.nsfocus.net/cve-2020-6418-2/

Oracle Coherence反序列化远程代码执行漏洞

【发布时间】2020-03-06 22:00:00 GMT

【概述】2020年1月15日，Oracle官方发布了2020年1月关键补丁更新公告，修复了334个不同程度的漏洞。其中包括一个Oracle Coherence反序列化远程代码执行漏洞（CVE-2020-2555），CVSS评分为9.8；该漏洞允许未经身份验证的攻击者通过构造T3网络协议请求进行攻击，成功利用该漏洞可实现在目标主机上执行任意代码。使用了Oracle Coherence库的产品受此漏洞影响，在WebLogic Server 11g Release（10.3.4）及以上版本的安装包中默认集成了Oracle Coherence库。

http://blog.nsfocus.net/cve-2020-2555/

Spring-cloud-config-server路径遍历漏洞

【发布时间】2020-03-06 22:00:00 GMT

【概述】js1996官网登录安全研究员发现spring-cloud-config-server组件中存在路径遍历漏洞（CVE-2020-5405），2月26日Spring官方发布了漏洞通告并致谢。攻击者利用此漏洞可以实现目录遍历，读取未授权文件的内容，请相关用户尽快升级spring-cloud-config-server至修复版本，对此漏洞进行防护。

http://blog.nsfocus.net/cve-2020-5405/

Linux系统pppd远程代码执行漏洞

【发布时间】2020-03-06 22:00:00 GMT

【概述】3月6日，US-CERT发布了一个关于影响PPP daemon(pppd)软件的存在17年之久的远程代码执行漏洞的公告，影响几乎所有基于Linux的操作系统以及网络设备固件。该漏洞为栈缓冲溢出漏洞(CVE-2020-8597)，CVSS评分为9.8分；pppd中的eap.c在 eap_request和eap_response函数中rhostname参数存在缓冲区溢出，未经身份验证的攻击者发送恶意伪造的EAP包，可在受影响的系统中远程执行任意代码。

http://blog.nsfocus.net/cve-2020-8597/

二、热点资讯

Jackson-databind/Fastjson远程代码执行漏洞

【概述】近日，Jackson-databind修复了2个远程代码执行漏洞（CVE-2020-9547/CVE-2020-9548）。这2个漏洞源于2种新的组件（ibatis-sqlmap以及anteros-core）利用该漏洞可以绕过黑名单限制，在受害机器上远程执行代码。另外，fastjson在使用上述受影响组件时，若开启了autoType功能（autoType功能默认关闭），则也存在对应漏洞。

参考：https://github.com/FasterXML/jackson-databind/issues/2634

Weblogic Coherence远程代码执行漏洞

【概述】近日，js1996官网登录检测到有国外研究员发布了关于Oracle Coherence反序列化远程代码执行漏洞（CVE-2020-2555）的细节报告。Oracle Coherence在Weblogic 12c后的版本中默认与Weblogic server一起安装。js1996官网登录研究员已复现该漏洞，虽然Oracle在今年1月份的关键补丁更新（Critical Patch Update）中已经修复了该漏洞，但鉴于危害较大，建议客户及时检查并安装补进行防护。

参考：https://www.zerodayinitiative.com/blog/2020/3/5/cve-2020-2555-rce-through-a-deserialization-bug-in-oracles-weblogic-server

Molerats向政府和电信组织提供后门

【概述】Molerats威胁组织利用鱼叉式网络钓鱼攻击向政府、电信组织提供Spark后门，该后门可让攻击者在受感染系统上打开应用程序并执行命令。Molerats(又名Gaza cybergang)是一个出于政治动机的威胁组织，自2012年以来一直活跃，该组织的受害者主要在中东、欧洲和美国。

参考：https://unit42.paloaltonetworks.com/molerats-delivers-spark-backdoor/

APT34组织利用Karkoff针对黎巴嫩政府

【概述】近期APT34组织针对黎巴嫩政府进行网络间谍活动，活动中使用新恶意软件Karkoff实现侦察逻辑，将最终的有效负载分配到特定目标，利用Microsoft Exchange Server作为通信渠道，收集系统信息、域名、主机名和正在运行的操作系统。APT34是一个伊朗威胁组织，至少从2014年开始活跃，该组织在中东发起攻击活动，主要针对金融、政府、能源、化工、电信和其他行业。根据基础设施细节评估该组织为伊朗政府工作。

参考：https://blog.yoroi.company/research/karkoff-2020-a-new-apt34-espionage-operation-involves-lebanon-government/