每日安全简讯(20210507)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 谷歌发布Android五月更新修复了42个漏洞

谷歌于2021年5月发布的Android操作系统更新共修复了42个漏洞，其中有4个被标记为严重。  新的安全补丁2021-05-01修复了在系统组件中发现的三个主要关键漏洞。所有这三个安全漏洞都可以被利用来在易受攻击的Android设备上执行任意代码。在“框架”部分，最严重的漏洞是一个恶意本地应用程序可以绕过用户交互要求，从而获得额外的权限。


https://news.softpedia.com/news/ ... lities-532811.shtml

---

2 思科修复了SD-WAN vManage和HyperFlex HX软件的漏洞

思科已修复影响SD-WAN vManage和HyperFlex HX软件的严重漏洞，这些漏洞可能允许创建管理员帐户并以root用户身份执行命令。未经身份验证的远程攻击者可以利用SD-WAN vManage软件漏洞（CVE-2021-1275，CVE-2021-1468，CVE-2021-1505，CVE-2021-1506，CVE-2021-1508）来执行任意攻击代码或访问敏感信息。在Cisco HyperFlex HX的基于Web的管理界面中，思科还修复了命令注入漏洞（CVE-2021-1497和CVE-2021-1498）。


https://securityaffairs.co/wordp ... rflex-hx-flaws.html

---

3 BIOS PrivEsc漏洞影响全球数亿台戴尔电脑

个人电脑制造商戴尔(Dell)发布了一项更新，以修复自2009年以来未被发现的多个关键特权提升漏洞，这些漏洞可能让攻击者获得内核模式权限，并导致拒绝服务的情况。2020年12月1日，研究人员向戴尔报告了这些问题，这些问题存在于预先安装在其设备上的名为“ dbutil_2_3.sys”的固件更新驱动程序中。据说戴尔生产的数以亿计的台式机、笔记本电脑和平板电脑都容易受到攻击。


https://thehackernews.com/2021/0 ... ts-hundreds-of.html

---

4 VMware修复了vRealize云管平台中的RCE漏洞

VMware发布了安全更新，以解决vRealize Business for Cloud中的一个严重漏洞，该漏洞使未经身份验证的攻击者能够在脆弱的服务器上远程执行恶意代码。vRealize Business for Cloud是一个自动化的云业务管理解决方案，旨在为IT团队提供云规划、预算和成本分析工具。该安全漏洞被跟踪为CVE-2021-21984，它影响运行VMware vRealize Business for Cloud 7.6.0之前版本的虚拟设备。


https://www.bleepingcomputer.com ... business-for-cloud/

---

5 马里兰州检察官办公室查获了一个仿冒网站

近日美国马里兰州检察官办公室查获了“ freevaccinecovax.org”，该网站声称是一家真实的生物技术公司开发的COVID-19疫苗的网站，但实际上，该网站正在收集来访者的个人信息和位置。该网站以提供COVID-19疫苗的名义欺骗用户，但实际上是出于恶意目的收集其个人数据。该欺诈网站的首页上还出现了辉瑞公司、世界卫生组织（WHO）和联合国难民事务高级专员公署（UNHCR）的徽标。 目前该站点已被联邦政府查封。


https://www.hackread.com/feds-se ... -19-vaccine-domain/

---

6 美国国防部扩展了其漏洞赏金计划的范围

美国国防部（DOD）已将其漏洞赏金计划扩展到所有公开可访问的信息系统，不仅包括网站，还包括网络、基于频率的通信、物联网和工业控制系统。DOD的漏洞悬赏由国防部网络犯罪中心(DC3)监督，现在比2016年与合作伙伴HackerOne启动的“攻击五角大楼”试点范围要广得多。美国国防部表示，自从该漏洞赏金计划启动以来，已经收到了超过2.9万份来自黑客的漏洞报告，其中超过70%的报告经过分析后认定是有效的。


https://www.zdnet.com/article/do ... works-iot-and-more/

---