4GEE WiFi 调制解调器被曝高危漏洞

研究员 Osanda Malith 从移动运营商 EE 出售的基于 4G 的无线 4GEE Mini 调制解调器中发现了一个高危漏洞，可导致攻击者以系统最高权限在目标计算机中运行恶意程序。

在曾经通过 USB 连接至 EE Mini 调制解调器上的任意 Windows 计算机上，低权限用户账户可利用该漏洞提升权限，从而导致攻击者获得对目标远程计算机的完整系统权限并执行任意恶意动作，如安装恶意软件、后门、键盘记录器或窃取个人信息。

4G Mini WiFi 调制解调器由英国最大的数字化通信公司英国电信 (BT Group) 旗下的移动运营商 EE 出售。英国电信公司通过移动、固网和批发网络提供了超过3100万个连接。

详文阅读：

http://codesafe.cn/index.php?r=news/detail&id=4472

霍尼韦尔设备中找到严重漏洞

霍尼韦尔的手持式计算机自称结合消费者 PDA 和高端工业移动计算机的优势。这些存在漏洞的设备运行的是安卓或 Windows 操作系统，并提供了一系列有用的功能和联网功能如 WiFi、蓝牙并能够和思科产品兼容。这些设备用于全球商业设备、关键制造设备、能源和医疗行业。

ICS-CERT 指出，研究人员发现的漏洞影响17款霍尼韦尔设备，包括运行多个安卓版本（4.4至8.1）的 CT60、CN80、CT40、CK75、CN75、CT50、D75e、CN51 和 EDA 系列设备。

如果恶意应用程序设法出现在受影响设备上，就可导致其幕后黑手提升系统权限并越权访问敏感信息如键盘记录、密码、照片、邮件和对业务至关重要的文档。

详文阅读：

http://codesafe.cn/index.php?r=news/detail&id=4451

CoinHive挖矿劫持仍在肆虐 超3万台印度路由器遭挖矿软件劫持

降维安全实验室了解到截止到10月5日，黑客已经破解了超过3万台路由器。被植入浏览器的恶意挖矿脚本为CoinHive，黑客利用它通过用户浏览器来挖掘门罗币。

据统计,目前所有被劫持电脑一个月内产出价值约25万美元的门罗币。降维安全曾爆出印度地方政府网站已成为黑客的目标，超过119个印度网站被植入了CoinHive。

详文阅读：

https://www.bianews.com/news/flash?id=21869

物联网僵尸网络“捉迷藏”新变种发现：Android 设备成新受害者

继今年1月发现首个物联网僵尸网络Hide and Seek（HNS，捉迷藏）之后，近日Bitdefender Labs发布报告称已经发现新型变种。利用Android开发者调试之用的Android Debug Bridge (ADB)功能中所存在的漏洞，该变种通过WiFi网络连接来感染Android设备，使之成为僵尸网络的一员。

虽然并非所有Android都默认启用ADB功能，但部分Android手机厂商会默认自动启用，可以通过5555端口使用WiFi ADB远程连接就能轻松进行攻击。在连接至默认激活ADB的Android系统之后，允许攻击者以root级别获得shell访问，可以在受感染设备上运行和安装任何东西。

详文阅读：

http://hackernews.cc/archives/24232

D-Link修复了中央WiFiManager接入点管理工具中的几个缺陷

D-Link Central WiFiManager软件控制器可帮助网络管理员简化其无线接入点（AP）管理工作流程。它利用集中式服务器远程允许管理和监控网络上的无线AP。

该软件可以在本地和云中部署。

研究人员在中央WiFiManager for Windows（版本1.03和其他版本）中发现了四个潜在的严重漏洞，这些漏洞可以被用于任意代码执行。

跟踪为CVE-2018-17440的最严重缺陷与在Web应用程序的端口9000上运行的FTP服务器中存在默认凭据（admin / admin）有关。

攻击者可以使用它来获取凭据以连接服务器并上传特制的PHP文件，该文件一旦请求将导致任意代码执行。

详文阅读：

https://securityaffairs.co/wordpress/76877/hacking/central-wifimanager-access-point-flaw.html