分类: 今日推送

FB 泄露影响 31 万澳洲人 但实际只有 53 人用了测试 App

Cambridge Analytica 曾经利用个性测试 App 收集 Facebook 用户数据,不过只有 53 名澳大利亚人使用该 App,而受影响的澳大利亚人有 31 万,也就是说绝大多数人并没有直接同意 Cambridge Analytica 收集自己的个人数据。周一时,Facebook 开始联系全球受影响的用户,数量高达 8700 万,当中有些人来自澳大利亚。 Facebook 告诉受影响的用户,说他们的个人数据被分享给 Cambridge Analytica。大规模数据泄露的罪魁祸首是一个不知名的个性测试 App,名叫“ thisisyourdigitallife ”,它收集参与者及其朋友的个人信息。 《卫报》澳大利亚版报道称,只有 53 名澳大利亚人使用该 App,而受影响的澳大利亚人有 311127 人,也就是说当中绝大多数只是 App 用户的朋友,他们有的在澳大利亚,有的在国外,根本没有同意 App 收集自己的数据。这一数字让安全专家感到吃惊。 新西兰的情况也一样。在本次泄露事故中,有 6.4 万个新西兰帐户受到影响,但是下载个性测试 App 的新西兰人只有 10 位。 澳大利亚隐私基金会主席大卫·维勒(David Vaile)认为,即使有 53 人使用 App,他们也有可能是在极为可疑的情况下允许 App 收集数据的。维勒认为,用户的许可不健全,开发者给出的条款和条件随时可以改变,一旦同意不能取消,而且这种同意是根据不公平条款制定的,App 开发者先用大量迷惑难解的信息和法律概念淹没用户,然后再让用户签约。维勒还认为,个性测试 App 的用户可以代表其它人同意开发者收集数据,这样的许可根本没有任何意义。 稿源:cnBeta,封面源自网络;

施耐德电气修补16 个 U.motion Builder 软件漏洞

据外媒报道,施耐德电气于上周向其客户通报说已修复 U.motion Builder 最新版本中的 16 个漏洞,其中包括那些被评为严重和高危的漏洞,例如可能导致信息泄露的路径遍历或者其他一些错误,以及通过 SQL 注入造成的远程代码执行缺陷。 U.motion 是全球各地商业设施、关键制造和能源部门使用的建筑自动化解决方案。而 U.motion Builder 则是一个允许用户为其 U.motion 设备创建项目的工具。 据悉,U.motion Builder 大多数安全漏洞已被归类为中等严重性,但也有一些安全漏洞基于 CVSS 评分来看非常严重。 最严重漏洞(CVE-2017-7494)的 CVSS 评分达到了 10,根据介绍,该漏洞允许远程执行代码,对 Samba 软件套件造成了一定影响。另外,由于与 WannaCry 攻击类似,它被业内一些成员称为“ SambaCry ”。目前该漏洞被发现影响了几家主要供应商的设备,其中包括思科、Netgear、QNAP、Synology、Veritas、Sophos 和 F5 Networks。 U.motion Builder 中另一个严重漏洞的标识为 CVE-2018-7777,该漏洞允许经过身份验证的攻击者通过向目标服务器发送特制请求来远程执行任意代码。 除此之外,一个 SQL 注入缺陷 CVE-2018-7765 也被列为高度严重。 这些问题影响到 U.motion Builder 1.3.4 之前的版本。目前施耐德除了提供补丁之外,还分享了一些缓解潜在攻击的建议。 消息来源:securityweek,编译:榆榆,审核:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

Cyber​​Ark 企业密码保险库现高危远程代码执行漏洞

据外媒 4 月 9 日消息,德国网络安全公司 RedTeam Pentesting GmbH 发现 CyberArk Enterprise Password Vault (企业密码保险库)应用程序中存在严重的远程代码执行漏洞(CVE-2018-9843),可以允许攻击者利用 Web 应用程序的特权对系统进行未经授权的访问。 企业密码保险库(EPV)解决方案可帮助组织安全管理其敏感密码,控制各种客户端/服务器和大型机操作系统、交换机、数据库中的特权帐户密码,并使其免受外部攻击者以及恶意内部人员的威胁。 RedTeam Pentesting GmbH 安全公司发现该漏洞驻留在 CyberArk 密码保险库的 Web 访问中,它是由于 Web 服务器不安全地处理反序列化操作的方式造成的,可能允许攻击者在处理反序列化数据的服务器上执行代码。 当用户登录到账户时,CyberArk Enterprise Password Vault 应用程序使用 REST API 向服务器发送一个认证请求,其中包括一个包含以 base64 编码序列化的 . net 对象的授权头。这个序列化的 .net 对象保存了关于用户会话的信息,但是研究人员发现“序列化数据的完整性没有得到保护”。 由于服务器不验证序列化数据的完整性,并且不安全地处理反序列化操作,所以攻击者只能操纵身份验证令牌,将他们的恶意代码注入授权头中,从而获得“在 Web 服务器上未经验证的远程代码执行”。 研究人员强烈建议使用 CyberArk 密码保险库 Web 访问的企业将其软件升级到 9.9.5,9.10 或 10.2 版本。如果无法立即升级软件,那么缓解此漏洞的可能解决方法是禁用对 route / PasswordVault / WebServices 上 API 的任何访问。 消息来源:thehackernews,编译:榆榆,审核:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

YouTube 遭黑客破坏并清除大量流行音乐视频

YouTube 上正在发生一些可疑的事情。看起来谷歌的子公司遭到了黑客的袭击,因为一些流行的音乐视频已经遭到了破坏或者突然消失了。事实上,该平台上观看次数最多的视频– Louis Fonsi 和 Daddy Yankeee 的 Despacito 在 YouTube 上暂时无法观看。 目前尚不清楚攻击的来源是什么,但大多数受影响的视频都是从 Vevo 帐户上传的。根据 The Verge 的一份报告,其他受影响的视频包括 Chris Brown,Shakira,Selena Gomez,Katy Perry和 Taylor Swift 的歌曲。大多数这些剪辑已经被编辑以去除损坏的内容。 其中一名参与攻击的黑客说,他们使用脚本来篡改视频。与此同时,他黑客组织的另一名成员威胁要取消美国宇航局的 YouTube 频道,以及有争议的保罗兄弟洛根和杰克频道。 稿源:cnBeta,封面源自网络;

虚拟货币 Verge(XVG) 遭受攻击,黑客获利百万美金

据外媒报道,上周虚拟货币 Verge(XVG) 遭到攻击,黑客窃取了价值 100 万美元的token。事情发生后,Verge 开发团队不得不采取“硬分叉”(hard-fork )方法来升级协议。 据称,Verge 系统机制中存在一个漏洞,黑客正是利用这个漏洞,使用虚假时间戳来挖矿,大约可以每秒钟生成一个新的区块。 在 Bitcoin Talk 也有用户证实了这一消息。 据推测,这次攻击属于大多数攻击,也就是说黑客在某种程度上能够控制大部分网络挖掘能力。 Verge 开发团队周三最终证实,此次攻击导致 XVG 价值从 0.07 美元下降到 0.05 美元。 稿源:freebuf,封面源自网络;

Linux 系统的 beep 包中存在竞争条件漏洞,可被黑客利用探测机密文件

Linux 发行系统 Debian 和 Ubuntu 中预装的 beep 包存在竞争条件漏洞,黑客可利用这个漏洞探测到计算机中的文件(包括 root 用户的机密文件)。这个漏洞标识为 CVE-2018-0492,不会实造成远程攻击,但是这是一个特权提升(EoP)漏洞,可被攻击者利用获取到 root 级别的访问权限,完全访问系统并发起恶意攻击。 如果黑客利用这个 beep 包获取了特定文件,就能进一步采取措施,将 beep 包作为启动平台,执行其他命令。目前,新版的 Debian 和 Ubuntu 中已经修复了这个漏洞。 稿源:freebuf,封面源自网络;

美国提出新法案 希望建立人工智能国家安全委员会

据外媒报道,众议院武装部队新兴威胁和能力小组委员会主席 Elise  Stefanik 最近提出新法案,希望建立一个人工智能国家安全委员会。如果该法案通过,美国总统特朗普将在 2019 年某个时候收到关于人工智能的完整报告。该法案将制定“ 2018 年国家安全委员会人工智能法”,并要求临时组建一个 11 人委员会,其目的是对政府进行人工智能的全面审查。它要求在颁布后 180 天内制定初步报告。 根据该法案,委员会成员将负责提供以下方面的见解: 确定美国在人工智能和相关技术方面的竞争力 保持美国人工智能和量子计算机技术的领先地位 人工智能的国外发展情况 鼓励私营企业投资人工智能 劳动力教育和奖励计划,以吸引高质量的候选人加入 AI 领域 与人工智能军事化有关的风险 人工智能的道德 建立鼓励开放源码共享数据的“数据标准” 制定与人工智能相关的隐私和安全措施 以及“委员会认为与国家共同防御有关的任何其他事宜”。 该委员会将要求“不超过 1000 万美元”进行审查,并将于 2020 年 10 月 1 日解散。这当然取决于该法案是否会获得众议院和参议院通过,然后通过总统签署成为法律。目前特朗普尚未公开讨论这个新法案。 特朗普此前仅发布过关于机器人的推文,但它与机器学习或人工智能无关。 相比之下,美国前总统奥巴马花了大量时间讨论人工智能。在 2016 年接受《连线》采访时奥巴马曾表示: 我一直在思考人工智能的监管结构问题,在技术早期,应该百花齐放。政府的管理应该更轻松,大力投资研究,并确保在基础研究和应用研究之间的对话。随着技术的出现与成熟,如何将人工智能纳入已有的监管结构中成了一个更为棘手的问题,政府需要参与更多。 稿源:cnBeta,封面源自网络;

Autho 身份验证出现漏洞,致使企业遭受攻击

Auth0 是最大的身份即服务平台之一,近日被爆出存在严重身份验证绕过漏洞,该漏洞可能被攻击者利用访问任何门户或应用程序进行身份验证。Auth0 为大量平台实施基于令牌的身份验证模型,每天管理 4,200 万次登录,并为 2000 多家企业客户管理每月登录数十亿次。 2017 年 9 月,来自安全公司 Cinta Infinita 的研究人员发现了 Auth0 的 Legacy Lock API 中的一个漏洞,并且测试了使用该服务进行身份验证的某个应用程序。专家们利用这个问题绕过了使用跨站点请求伪造(CSRF / XSRF)攻击触发 CVE-2018-6874 漏洞,对 Auth0 身份验证的应用程序绕过登录身份验证。 稿源:freebuf,封面源自网络;

海底电缆被切断导致毛里塔尼亚断网近两天

据外媒 The Verge 报道,连接西非大部分地区的 ACE 海底电缆于 3 月 30 日被切断。据报道,这起破坏事件发生在毛里塔尼亚沿海地区,导致至少十个邻国的宽带通信速度降低。在连接部分恢复之前,毛里塔尼亚本身断网近 48 个小时。 其他国家有足够的地面有线电视和卫星电视连接线,可以在失去光缆的环境中继续联网,但在周末的大部分时间里,互联网接入仍然受到严重干扰。 类似这样的断网事件很少成为头条新闻,但它很好地提醒了大部分互联网基础设施仍然脆弱 – 特别是在西非这样的地方。当一条主要电缆被切断时,会产生哪些重大影响?当没有其他基础设施可以依赖时,就会导致大规模断网事件出现。缺乏投资,整个地区的互联网变得不太稳定。 不过至少在理论上,像 Alphabet 的气球和 Facebook 的太阳能无人机这样的项目正试图解决这个问题。但实际上,所有真正需要的是更多的电缆和登陆点 – 尼日利亚具有这样的条件,但这是毛里塔尼亚所没有的。 稿源:cnBeta,封面源自网络;

FB 数据丑闻爆料人:泄密用户数据可能存储在俄罗斯

Facebook 数据泄密丑闻爆料人克里斯多夫·威利(Christopher Wylie)上周日表示,受到此次事件影响的用户总数可能超过 8700 万,而这些数据可能存储在俄罗斯。 威利表示,通过心理测试应用收集 Facebook 用户数据的剑桥大学教授亚历山大·科根(Aleksandr Kogan)可能允许把这些数据存储在俄罗斯。科根经营的 Global Science Research 在没有经过用户允许的情况下,将这些数据分享给备受争议的政治数据分析公司剑桥分析(Cambridge Analytica)。 “我认为,真正的风险在于,这些数据可能已经被很多人使用,而且可能存储在世界各地的不同地方,包括俄罗斯。原因在于,收集这些数据的教授当时在英国和俄罗斯之间往来,他当时效力于一个俄罗斯资助的心理学项目。”威利接受 NBC 采访时说。 他补充道:“我不能告诉你有多少人使用过这些数据,这最好由剑桥分析来回答,但我可以说,有很多人都曾接触过这些数据。” Facebook 和剑桥分析均未对此置评。科根也没有作出回应。 威利认为,受到此次事件影响的人数可能超过 Facebook 上周公布的 8700 万人。《观察家》和《纽约时报》最初的报道认为这一数字约为 5000 万人。剑桥分析曾经表示,他们通过 Global Science Research 获得的 Facebook 用户数据不超过 3000 万。 相关阅读: –Facebook 宣布遏制选举舞弊和用户操纵的新举措 –美国参议员:Facebook 丑闻可能“很严重” 难自行解决 –消息人士称扎克伯格将在周一会见美国立法者 稿源:新浪科技,封面源自网络;