每日安全简讯(20210622)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Woodruff Institute医疗机构遭到Grief团伙攻击

Woodruff Institute在佛罗里达州有几家专门从事皮肤病学和整形外科的诊所，不幸的是，他们似乎遭到了被称为“Pay or Grief”（或是“Grief”）的威胁行为者的攻击。6月11日，威胁行为者将该医疗机构添加到他们的泄露网站，6月15日更新了列表，转储了他们声称从该医疗机构的文件中窃取的其他数据。到目前为止，Grief已经将文件转储到名为“Accounting”和“Financial Agreements”的文件夹中。Grief没有说明他们声称从Woodruff那里获得了多少数据，但他们迄今转储的数据并没有表明他们有权限访问更大的患者记录数据库。


https://www.databreaches.net/fl- ... woodruff-institute/

---

2 特定的网络名称可以完全禁用iPhone的Wi-Fi

一位安全研究人员发现，一个精心设计的网络名称会导致iOS网络堆栈中的一个漏洞，并且可以完全禁用用户iPhone连接到Wi-Fi的功能。Carl Schou在Twitter上表示，在加入具有特定名称（“%p%s%s%s%s%n”）的Wi-Fi网络后，iPhone上的所有Wi-Fi功能从此被禁用。一旦iPhone或iPad加入名为“%p%s%s%s%s%n”的网络，该设备就无法连接到Wi-Fi网络或使用AirDrop等系统网络功能。重新启动设备后问题仍然存在。然而，该漏洞似乎不会永久损坏用户的硬件。


https://9to5mac.com/2021/06/19/a ... -fi-on-your-iphone/

---

3 Zoll修补除颤器管理软件中的多个高风险漏洞

美国当局警告称，用于远程管理除颤器设备的软件中存在多个高分漏洞，可能导致远程代码执行或敏感信息丢失。Defibrillator Dashboard由美国医疗保健技术供应商Zoll开发。发现的多个漏洞包括不受限制的文件上传漏洞（CVSS得分9.9）、跨站点脚本 (XSS) 漏洞、不安全的密码存储和权限提升漏洞。CISA表示，成功利用这些漏洞可以实现远程代码执行，允许攻击者访问凭证，或影响应用程序的机密性、完整性和可用性。这些漏洞已在最新版本（版本2.2）的Defibrillator Dashboard中修复。


https://portswigger.net/daily-sw ... management-software

---

4 Wire应用中的XSS漏洞允许攻击者完全控制帐户

Wire安全消息应用程序的维护人员已经针对两个安全漏洞对软件进行了修补，其中一个漏洞可能允许攻击者“完全控制”用户帐户。在审查该平台后，独立安全研究员Kane Gamble发现了两个影响Wire网页和iOS版本的漏洞。第一个漏洞出现在Wire网页应用程序版本2021-05-10及更早版本中，是一个涉及createObjectURL图像处理程序的跨站点脚本(XSS)漏洞。跟踪为CVE-2021-32683，当用户打开被恶意代码感染的图像时，可以实现XSS。研究人员发现的第二个漏洞是Wire的iOS版本中一个不太严重的拒绝服务（DoS）漏洞，跟踪为CVE-2021-32666。


https://portswigger.net/daily-sw ... ntrol-user-accounts

---

5 网络安全公司Cognyte暴露50亿条数据泄露记录

网络安全公司Cognyte未能确保其数据库的安全，导致包括此前数据泄露在内的50亿条记录泄露。任何人都可以访问该数据库，不需要任何授权或身份验证。具有讽刺意味的是，建立该数据库的目的是交叉检查储存在其中的已知违规行为中是否含有任何客户的个人信息。然而，这个数据库本身却被暴露了。Comparitech的研究人员发现，泄露的信息包括：姓名、密码、电子邮件地址、泄漏的来源。数据存储在Elasticsearch集群中，总共有5,085,132,102条记录。根据Comparitech的报告，一些数据属于备受关注的数据泄露事件。


https://www.hackread.com/cyberse ... ata-breach-records/

---

6 美国一家生育诊所遭到勒索软件攻击数据泄露

美国佐治亚州的一家生育诊所日前披露，在一次勒索软件攻击中，包含敏感患者信息的文件被盗，导致数据泄露。在RBA（Reproductive Biology Associates）及其附属公司MyEggBank发布的数据泄露通知中，RBA表示，他们于2021年4月16日遭遇勒索软件攻击，当时包含胚胎学数据的文件服务器被加密，因此无法访问。但是，他们认为攻击者于4月7日首次访问了他们的系统，并在4月10日获得了包含健康信息的服务器。RBA数据泄露通知说：“在我们对事件的持续调查过程中，我们于2021年6月7日确定了个人信息受到影响的个人。”RBA的调查确定，在勒索软件攻击期间被盗的数据包含大约38,000 名患者的信息。


https://www.bleepingcomputer.com ... osing-patient-info/

---