分类: 今日推送

ARM 安全更新:CPU 漏洞影响部分 iOS 设备、Apple TV

英特尔处理器安全漏洞事件仍在继续,英特尔 CEO 已经表示「手机等所有产品」都将受到影响。ARM 发布的最新安全更新表示部分 iPhone、iPad、iPod 和 Apple TV 可能会受影响。ARM 处理器安全更新罗列了容易受影响的处理器列表,其中包括 Cortex-A8、Cortex-A9 和 Cortex-A15。 虽然苹果自己定制 A 系列芯片,但这些都是基于 ARM 架构的。一些 A 系列芯片包含一些 Cortex-A8、-A9 和 -A15 处理器的元素,所以容易受到影响。 A4 芯片包括 Cortex-A8 处理器,被用在第一代 iPad、iPhone 4、四代 iPod Touch 和二代 Apple TV 中。A5 和 A5X 芯片包括双核 Cortex-A9 处理器。A5 用在 iPad 2、 初代 iPad mini、iPhone 4S、第三代 Apple TV 和第五代 iPod Touch。A5X 用在第三代 iPad。A6 带有 Cortex-A15 的一些元素,用在 iPhone 5 和 iPhone 5C 中。 可能会受到影响的苹果设备如下: – iPhone 4 – iPhone 4S – iPhone 5 – iPhone 5C – iPad (1st gen) – iPad 2 – iPad (3rd gen) – Apple TV (2nd gen) – Apple TV (3rd gen) – iPod Touch (4th gen) – iPod Touch (5th gen) 虽然 ARM 表示部分 iOS 设备和 Apple TV 可能会受到影响,但其表示被利用的几率很低。而且苹果也会像对待 macOS 那样即使更新补丁,只不过至于性能是否会下降目前还不是很清楚。 稿源:MacX,封面源自网络

为防信息泄露,美国白宫禁止员工在工作中使用个人手机

白宫新闻秘书 Sarah Sanders 星期四说,白宫将开始禁止员工在工作中使用个人手机。 Sarah Sanders 在一份声明中表示,白宫技术系统的安全和完整性是特朗普政府的首要任务。因此,她说,在白宫西楼不再允许使用所有的个人用具和设施。 她补充说,工作人员将能够通过政府发放的设备开展业务,并继续为美国民众服务。这一变化意味着特朗普政府的助手将不允许在白宫内使用他们的个人手机。 据新闻媒体报道,这项新规定是由总参谋长凯利(John Kelly)施加的。一些助手表示,这一规定将使他们难以与家人保持联系,彭博报道,白宫提供的手机不允许发短信,增加了工作人员的抱怨和不满。特朗普总统自从任职以来,经常谈到信息泄漏,这个问题从一开始就困扰着特朗普政府。 稿源:cnBeta.com,封面源自网络

看各大科技公司如何处理这次的大规模芯片漏洞问题

据外媒报道,近几日曝出的芯片漏洞被证实影响范围及广,其几乎波及了全球所有的手机、电脑、服务器以及云计算产品。一开始最先被曝出受到影响的芯片来自英特尔公司,后来 AMD 以及 ARM 处理器也都被证实受到波及。 为此,整个科技行业都在争相开发能够修复这些漏洞的软件补丁。包括苹果、亚马逊、微软、谷歌在内的各大科技公司都在为其所用的操作系统以及云服务更新打补丁。 那么针对这次的芯片漏洞事件各家公司又都是如何回应的呢? 英特尔: “ 英特尔和其他科技公司已经从新的安全研究中了解到了当软件分析方法被用于恶意目的时有可能会出现不恰当地从电脑设备中收集敏感数据的情况。英特尔相信这些漏洞不存在破坏、修改和删除数据的可能性。” “ 最近关于这些漏洞由一个只存在于英特尔产品的 bug 或 flaw 引起的报道是错误的。基于迄今为止的分析显示,许多计算设备类型–包括来自许多不同厂家的处理器和操作系统–都非常容易受到这种攻击。” 微软: 微软今天已经更新了 Windows 10,与此同时,Windows 7 和 Windows 8 也都获得了对应的更新。 “ 我们意识到发生在整个行业的问题并已经跟芯片制造商展开密切合作以开发和测试缓解措施来保护我们的客户。我们正在为云服务部署缓解措施,另外还发布了能保护受英特尔、ARM、AMD 硬件漏洞影响的 Windows 客户的安全升级。我们还没有收到任何表明我们的客户遭到这些漏洞攻击的报告。” 谷歌: 谷歌 Project Zero 的研究人员实际上早在去年就已经发现了这些漏洞并在 2017 年 6 月将相关信息提供了英特尔、AMD、ARM。谷歌在一篇博文中披露了其对 Android、Crhome OS、Google Cloud 所采取的措施。这家公司表示, Chromecast 和 Chrome 浏览器都未在影响范围内。 亚马逊: “ 这是一个已经在英特尔、AMD、ARM 等现代处理器构架中存在 20 多年的漏洞,它们横跨服务器、台式机、移动设备。目前亚马逊 EC2 机群只有极少数得到了保护,但其余的保护工作将在接下来的几个小时内完成。我们将随时让客户了解我们安全告示的最新动态,相关信息可以在这里找到。” AMD: “ 需要澄清的是,安全研究团队确定了 3 种针对预测执行的(漏洞)变体。这 3 种变体对各家微处理器公司的威胁和影响不尽相同,AMD 不受影响。由于 AMD 构架的不同,我们相信 AMD 处理器目前受到的风险为零。我们预计安全研究报告将会在今天晚些时候公布,届时将提供进一步的消息。” ARM: “ ARM 已经为解决这个利用某些高端处理器所用的投机执行技术的旁路分析方法跟英特尔和 AMD 展开合作,这当中包括了我们的 Coretex-A 处理器。该方法能够让恶意软件在本地运行进而获得访问来自特权内存数据的权限。需要注意的是,我们现流行的低功率、IoT 设备连接 Cortex-M 处理器不在影响范围内。” “ 我们建议我们的硅谷合作伙伴,如果其芯片受到影响,那么最好采取缓解措施。” 苹果: 截止到目前,苹果尚未作出回应。 不过苹果貌似已经通过去年 12 月份推出的 macOS High Sierra 10.13.2 更新部分修复了这个问题,而且将会在即将发布的 10.13.3 更新中修复更多的内容。苹果内部的多个信息源(未被授权代表公司)已经向 AppleInsider 网站证实,macOS High Sierra 10.13.2 有例程来稳定可能允许应用程序访问受保护的内核内存数据的缺陷。这些措施再加上十多年来苹果对内核内存的现有程序要求似乎已经减轻了大部分之前曝光安全漏洞带来的危害。 相关阅读: 阿里云腾讯云回应英特尔CPU漏洞:通过热升级修复漏洞 百度云回应英特尔CPU漏洞:启动应急措施推进漏洞修复 消息来源:据 cnBeta、MacX 内容整理, 封面源自网络;

谷歌安全博客披露“ 英特尔内核漏洞 ”更多细节

去年的时候,Google 旗下 Project Zero 团队发现了一个由 CPU “ 预测执行 ” 导致的严重安全漏洞,而它也是一项被大多数现代处理器使用的性能优化方案。根据研究人员 Jann Horn 的演示,恶意攻击者可借此读取不该被它访问到的系统内存。某个未经授权的一方,可能在系统内存中读取到一些敏感信息,比如密码、加密密钥、或者在应用程序中打开的其它机密信息。 测试还表明,在一台虚拟机上发起的攻击,甚至能够访问到主机的物理内存。基于此,还可以获取在同一主机上、不同虚拟机的内存读取访问。 该漏洞影响许多 CPU,包括来自英特尔、AMD、ARM 的芯片,以及搭配运行的设备和操作系统。在获悉这种新型攻击的第一时间,谷歌安全和产品开发团队就积极动员了起来,以保护自家系统和用户数据。 万幸的是,谷歌现已更新了系统和受影响的产品,可以防止这类新型攻击。此外他们还与业内的软硬件制造商合作,帮助保护更广泛的客户,这些努力包括协作分析和开发新奇的缓解措施。 受到该漏洞影响的 Google 产品、以及它们当前的状态,可移步至这个页面查看: https://support.google.com/faqs/answer/7622138 鉴于这种攻击类型相当新颖,Google 只列出了当前已知的攻击方式和缓解措施。在某些情况下,用户和客户需要采取额外的步骤,才能确保他们已经用上了受保护的版本。 下面是当前已给出的产品清单:(未列出的 Google 产品需要用户自行采取额外的保护措施) ● Android(请更新至最新的安全补丁); ● Google Apps / G Suite(含 Gmail、日历、网盘等); ● Google Chrome(需采取部分额外措施); ● Google Chrome OS(含 Chromebook); ● Google Cloud Platform(需采取部分额外措施); ● Google Home / Chromecast(无需采取额外措施); ● Google Wifi / OnHub(无需采取额外措施)。 需要指出的是,这个列表和产品的状态可能随着新的进展而改变,必要的情况下,Google 安全团队会对这篇博客的内容进行修改和更新: https://security.googom/2018/01/todays-cpu-vulnerability-what-you-need.htmlleblog.c 稿源:cnBeta, 封面源自网络;

“薪水低、士气低落、不得人心”导致 NSA 人才流失加剧

《华盛顿邮报》报道,NSA 正以令人担忧的速度失去它的优秀人才。报道援引知情人士的消息称,自 2015 年以来,NSA 失去了数百名黑客、工程师和数据科学家。知情人士称这将严重影响到国家安全。一名前官员称,NSA 的部分团队失去了近一半的雇员。 结果是部分项目被砍掉或放慢进度。流失人才的原因被认为是 NSA 给的薪水无法与私企竞争,士气低迷以及不受欢迎的重组。 NSA 发言人表示,雇员担心的高流失率正促使 NSA 提高薪水,增加升职和工作机遇。 稿源:cnBeta、solidot, 封面源自网络;

Mozilla 因为 Bug 决定删除所有收集的崩溃报告

因为 Firefox 崩溃报告工具发现了一个 bug,Mozilla 决定删除所有收集的遥测数据。自 Firefox 52 发布起 Mozilla 收集了后台标签页的崩溃报告,但崩溃报告工具的 bug 让浏览器没有遵守用户的隐私设置,它会自动递交崩溃报告,最近发布的 Firefox 57.0.3 修改了这个 bug。 因为崩溃报告不是匿名的,为了保护用户的隐私,Mozilla 决定删除这一期间所有收集的崩溃报告。这将导致它失去九个月的遥测数据。 稿源:cnBeta、solidot, 封面源自网络;

前 NSA 黑客揭露如何将卡巴斯基杀软变成间谍工具

根据卡巴斯基的案例表明,安全软件可以被情报机构利用来作为一种强大的间谍工具。Digita Security 首席研究官  Patrick Wardle 和前 NSA 黑客通过颠覆卡巴斯基实验室杀毒软件并将其变成强大的机密文档搜索工具来证实了这一点。 Patrick Wardle 在接受纽约时报采访时说: “ 杀毒产品是对抗恶意代码的首选。“  然而,具有讽刺意味的是,这些产品与先进的网络间谍工具有许多共同之处。“从技术角度来看,如果一个反病毒制造商出于某种原因,比如被强迫、被黑客攻击等,是否可以创建一个标记机密文件的签名? 去年12月,美国总统特朗普 签署了一项法案,禁止在联邦机构使用卡巴斯基实验室产品和服务。根据 Edward J. Snowden 泄漏的一份绝密报告草案显示,NSA 至少自 2008 年就瞄准了杀毒软件(即 Checkpoint 和 Avast )以便于收集存储在目标机器上的敏感信息。 Wardle 对卡巴斯基实验室杀毒软件进行了逆向工程,以探究是否有可能将其用于情报目的。其目标是希望能够编写一个能够检测机密文件的签名。Wardle 发现代码非常复杂,与传统的防病毒软件不同的是,卡巴斯基的恶意软件签名很容易更新。研究人员认为这个功能可以调整自动扫描受害者的机器和窃取机密文件。 “ 现代反病毒产品是非常复杂的软件,卡巴斯基可能是最复杂的一个。因此,仅仅获得对其签名和扫描逻辑的合理理解是一项具有挑战性的任务。”卡巴斯基的反病毒引擎会定期检查并自动安装任何新的签名。当新的签名可用时,该签名将被卡巴斯基更新服务器的kav守护进程下载。 杀毒软件扫描可能被用于网络间谍活动 Wardle 称官员们通常会将最高机密文件与 “ TS / SCI ” ( “ 最高机密 / 敏感区域信息 ” )进行分类,Wardle  向卡巴斯基的杀毒程序添加了一条规则,用来标记任何包含 “ TS / SCI ” 的文档。为了测试新规则,研究人员在他的电脑上编辑了一个文件,其中包含小熊维尼儿童读物系列的文本,并添加了 “ TS / SC ” 标记。一旦文档被保存到他的机器上,卡巴斯基的防病毒软件就会标记并隔离该文档。 Wardle 测试的后续阶段是发现如何管理被标记的文档,但是反病毒软件将数据发送回公司通过进一步分析发现是正常的。 而卡巴斯基在一份声明中称 Wardle 的研究并不正确,因为卡巴斯基实验室不可能以特定的秘密方式向特定的用户提供特定的签名或更新,所有签名总是公开给所有用户使用而且更新是经过数字签名的,不可能进一步伪造。 但无论如何,Wardle 的研究表明,黑客厂商的平台可以使用杀毒软件作为搜索工具。 专家总结说 :“然而,任何反病毒公司内部的恶意或有意识的内部人士,如果能够策略性地部署这样的签名,那么在一个可能的情况下任何被强迫或愿意与如政府之类强大机构合作的反病毒公司都同样能够悄悄地利用他们的产品来检测和利用任何感兴趣的文件。” 。 详细报告内容见<All Your Docs Are Belong To Us> 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

phpMyAdmin 存在关键 CSRF 安全漏洞,4.7.7 之前版本均受影响

据外媒 1 月 2 日报道,印度安全研究人员 Ashutosh Barot 发现 phpMyAdmin 存在一个严重的 CSRF 安全漏洞——通过欺骗管理员点击链接来执行危险的数据库操作,比如删除记录、删除/截断表等。Barot 称 phpMyAdmin 4.7.7 之前的版本都受到该漏洞的影响,并且可能会泄露敏感数据。 CSRF :跨站点请求伪造漏洞(也称为 XSRF),可在(已通过身份验证的)目标在不知情的情况下以目标名义伪造请求然后发送到受攻击站点,从而在并未授权的情况下执行一些操作。 phpMyAdmin 的一个特性是使用 GET 请求,在数据库操作的 POST 请求之后,GET 请求必须受到保护以防止 CSRF 攻击。在实例演示中,攻击者使用 URL 发送 POST 请求可能会欺骗数据库管理员单击按钮,执行删除数据库。 但是要进行这种攻击并不简单,因为要利用 CSRF 攻击 URL ,所以攻击者很可能知道目标数据库以及数据表的具体名称。那么这些信息是如何泄露的呢? 根据上述猜想,Barot 对此进行研究发现若用户通过单击插入、删除等按钮来操作数据库,那么 URL 将包含数据库和表名称。 而 URL 又存储在不同的地方,比如浏览器历史记录,SIEM 日志,防火墙日志,ISP 日志等,因此 Barot 认为该漏洞很可能会导致敏感信息泄露。 目前,phpMyAdmin 已发布了 phpMyAdmin 4.7.7 版本来解决这个 CSRF 漏洞。 消息来源:thehackernews,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

英特尔芯片重大缺陷, 或迫使 Linux 和 Windows 重新设计内核

据北京时间 1 月 3 日早间消息,由于英特尔处理器存在一个底层设计缺陷,迫使 Linux 和 Windows 内核需要展开重大的重新设计,以便消除芯片层面的安全漏洞。程序员都在正在加紧检修开源 Linux 内核的虚拟内存系统。 与此同时,微软也可能在下周二的补丁中发布对 Windows 系统展开必要调整:这些改版已经在去年 11 月和 12 月提供给 Windows Insider 的测试者。 关键问题在于,Linux 和 Windows 系统的更新会对英特尔的产品性能产生冲击。虽然具体影响有待确定,但预计速度会放慢 5% 至 30%,具体要取决于任务类型和处理器模式。英特尔最近的芯片配备了 PCID 功能,可以降低性能受到的影响。 苹果 64 位 macOS 等其他系统也需要进行类似的更新——该问题存在于英特尔的 x86 硬件之中,似乎无法通过微码升级来解决。必须要在系统层面通过软件来解决,或者购买没有设计缺陷的新处理器。 英特尔芯片的漏洞细节尚未披露,最早有望于本月初公布,可能会选在下周二的微软补丁发布日。事实上,Linux 内核补丁已经对所有人开放,但源代码的评论内容经过修改,导致人们无法详细了解问题。 稿源:cnBeta、新浪科技, 封面源自网络;

家中音箱突然半夜高歌?别担心,它只是被黑了

据外媒 1 月 1 日报道,网络安全软件公司趋势科技证实一些型号的 Sonos 和 Bose 智能音箱存在安全漏洞,或可导致设备被劫持。相关研究人员称攻击者利用该漏洞进行简单的网络扫描,从而远程操控设备,例如播放诡异的音乐以及执行 Alexa 语音命令。虽只有小部分型号的音箱受到影响(其中包括 Sonos One 和 Bose SoundTouch ),但目前为止约有 2500 – 5000 台 Sonos 设备和 400- 500 台 Bose 设备已遭到攻击 。 据趋势科技研究人员介绍,攻击者通过扫描互联网寻找易受攻击的设备,一旦发现存有漏洞的音箱就立即使用 API 来引导其播放托管在特定 URL 上的音频文件。研究人员解释说有缺陷的音箱允许同一网络上的任何设备在未进行身份验证的情况下使用如 Spotify 或 Pandora 之类的应用程序的 API。攻击者利用该 API 可以播放任意 URL 的音频文件。此外,攻击者除了任意播放音乐,还制造了一些更加恐怖的攻击场景,比如通过语音助手设备控制门锁、空调和照明等智能家居的功能。 趋势科技称之所以会出现音箱被人侵的事件,其主要原因可能与这些音箱连接到一个错误配置的网络上有关。目前 Sonos 表示已发布安全补丁,解决了包括拒绝服务(DoS)错误在内的一些问题,但 Bose 方面仍然没有回应。 相关参考阅读: < The Need for Better Built-in Security in IoT Devices > 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。