每日安全简讯(20191101)

1  攻击者利用eBay账户攻击了Currys PC World用户

在劫持零售商的eBay帐户后，攻击者已经从Currys PC World用户那里窃取了数千英镑。攻击者能够更改许多eBay列表中的付款细节，这样一来，攻击者就可以从不知情的客户那里窃取资金，这些用户是通过PayPal帐户付款的。Currys PC World，eBay和PayPal表示，所有受影响的用户都将获得退款。


https://www.bbc.com/news/technology-50222778

---

2 印度高等研究所网站遭到黑客入侵

黑客对位于Shimla的印度高等研究院(IIAS)网站上的1000多个文件进行了加密。据称，黑客入侵了三台连接研究所主要网站的服务器，其中载有该研究所的历史和存在的详细信息。 除图书馆中保存的档案和独白之外，黑客还对研究所的研究员的文件进行了加密。研究所秘书Col Vijay Tiwari表示：“该研究所已向网络部门提出投诉，并正在反复尝试恢复数据。”


https://www.hindustantimes.com/c ... QGmjjmJvPOyuQL.html

---

3 欧盟跨境认证软件EIDAS NODE中存在安全漏洞

在一次短暂的崩溃测试中，SEC Consult发现了eIDAS-Node软件组件中的一个关键漏洞，该漏洞基本上使攻击者可以绕过签名验证，从而允许攻击者向受影响的eIDAS-Node发送任何SAML消息。因此，攻击者可以向eIDAS-Node发送一个经过处理的SAML响应来验证身份。SEC Consult已于2019年7月联系CEF eID团队。此后，他们发布了更新的版本2.3.1， 修补程序版本现已可供公众下载。


https://sec-consult.com/en/blog/ ... oftware-eidas-node/

---

4 苹果修复了macOS Catalina和iOS 13中的数十个漏洞

macOS Catalina 10.15.1是操作系统最新主要版本的首次安全更新，修复了33个漏洞，包括可能被恶意应用程序或通过让目标用户处理一个特别制作的文件来利用的漏洞。iOS 13.2和iPadOS 13.2修复了28个漏洞，其中包括允许以特权提升执行任意代码，数据泄漏，内存泄漏，身份验证绕过的漏洞，迫使用户连接到恶意Wi-Fi，秘密记录设备的屏幕，跨站脚本攻击，用户界面欺骗和获取用户信息。


https://www.securityweek.com/app ... cos-catalina-ios-13

---

5 暗网中存在超过2100万个财富500强公司的密码

网络安全公司ImmuniWeb表示，现在暗网中有超过2100万（21,040,296）个属于财富500强公司的用户凭证被盗，过去12个月中，超过1600万（16,055,871）被盗。该公司表示，95%的密码都是未加密的，或者已经被攻击者强行破解的明文密码。在该公司确认的2100万条记录中，只有490万条(合4,957,093条)是完全唯一的密码，这表明许多用户使用的是相同或类似的密码。


https://www.cbronline.com/news/stolen-user-credentials

---

6 Web.com及其子公司数据泄露影响约2200万用户信息

全球最大的域名注册商之一的Web.com及其子公司Network Solutions和Register.com最近披露了可能导致用户信息被盗的数据泄露事件。两家公司表示，他们已于10月16日意识到此漏洞，但入侵显然发生在2019年8月下旬。黑客访问了数量有限的计算机系统，这些系统使他们可以访问当前和以前的用户的帐户信息。公开的信息包括姓名，地址，电话号码，电子邮件地址以及有关用户使用的服务的详细信息。 两家公司表示，此次事件并未破坏支付卡信息。


https://www.securityweek.com/dom ... suffers-data-breach

---