网安国际直通车 | 2019年9月12日

更多全球网络安全资讯尽在E安全官网www.easyaq.com

01英特尔服务器级处理器出现漏洞

近日，研究人员在英特尔芯片中发现了名为NetCAT的漏洞（CVE-2019-11184）。 所有支持Data-DirectI/O技术（简称DDIO）和远程直接内存访问（RemoteDirect Memory Access，简称RDMA）功能的英特尔服务器级处理器都存在该漏洞。 这些功能被启用后，黑客可利用NetCAT对联网设备发起发起旁道攻击（side-channelattack），并推断出用户上传的数据内容。

不过，利用该漏洞的方法较为复杂，所以英特尔认为该漏洞严重程度较低。 英特尔建议，用户可在受影响的CPU上禁用DDIO和RDMA功能，或限制外部不可靠网络对系统的直接访问，以避免此类攻击。

02 专家分析通用漏洞评分系统的不足

近日，专家针对通用漏洞评分系统（Common Vulnerability Scoring System，简称CVSS）展开了分析，并指出了该系统的两个缺点。

首先，具有更高严重性的漏洞通常可为报告者带来更大的经济收益。 因此，技术人员可能会夸大漏洞的严重性。

其次，CVSS的设计目的是从技术角度总结漏洞本身的严重性，但无法评估使用带有漏洞的软件/设备的系统所面临的风险。 对CVSS性质的误解可带来严重后果： 有研究人员曾指出，虽然他们新披露的漏洞的CVSS评分仅为中等，但黑客可利用该漏洞调整药物剂量，从而导致患者死亡。

03 多国政府联手展开行动，打击电子邮件诈骗

近日，美国执法机构和世界各地执法机构联手，展开了为其四个月的“重新联线”（reWired）行动，旨在打击商业电子邮件攻击（Business Email Compromise，简称BEC）。 此次行动共逮捕了281名犯罪嫌疑人，并缴获了大约370万美元的赃款。 这些犯罪嫌疑人共窃取了超过25万条身份信息，并提交了超过一万条欺诈性退税申请，以获取高达9100万美元的退税。

据了解，BEC又称电子邮件帐户攻击（Email Account Compromise）。 在此类攻击中，诈骗者会入侵受害者设备，或欺骗相关雇员，以在未经授权的情况下将资金汇入指定银行账户。 此类攻击此类攻击成功率很高，且同时针对企业与个人。 欺诈者通常会伪装成首席执行官或业务合作伙伴，以博得员工信任。

推荐阅读：

• 万事达卡发生数据泄露事故
  

• 卡巴斯基发布网络教材风险研究报告
  

• 网络安全人才的争夺已经入白热化，甚至有企业开出600万美元高薪

• 谷歌发布报告，揭露黑客如何利用iPhone漏洞

• 黑客使用Google Docs传播银行木马程序

• 杀毒软件公司Check Point旗下产品出现漏洞

• 推特首席执行官账号被盗