分类: 漏洞事件

Treck TCP/IP Stack 中的新漏洞影响了数百万个 IoT 设备

美国网络安全基础设施和安全局(CISA)警告称,Treck开发的一个低级TCP/IP软件库存在严重漏洞,远程攻击者可以运行任意命令并发动拒绝服务(DoS)攻击。 这四个漏洞影响Treck TCP/IP Stack 6.0.1.67及更早版本,其中两个漏洞的等级为严重。 Treck的嵌入式TCP/IP Stack部署在全球制造业、信息技术、医疗保健和运输系统中。 其中最严重的是Treck HTTP服务器组件中的基于堆的缓冲区溢出漏洞(CVE-2020-25066),该漏洞允许攻击者重置目标设备或使其崩溃,甚至执行远程代码。它的CVSS得分是9.8分(最高10分)。 第二个漏洞是IPv6组件(CVE-2020-27337,CVSS评分9.1)中的越界写入,未经身份验证的用户可利用该漏洞通过网络访问造成DoS。 其他两个漏洞涉及IPv6组件中的越界读取(CVE-2020-27338,CVSS得分5.9),未经身份验证的攻击者可能会利用该漏洞导致DoS。同一模块中的输入验证错误漏洞(CVE-2020-27336,CVSS得分3.7)可能导致越界读取(通过网络访问最多读取三个字节)。 Treck建议用户更新到6.0.1.68版本。在无法应用最新补丁的情况下,建议使用防火墙以过滤掉HTTP报头中包含负内容长度的数据包。 在Treck TCP/IP Stack出现新漏洞的6个月前,以色列网络安全公司JSOF发现了名为Ripple20的软件库中的19个漏洞,这可能使攻击者在不需要任何用户交互的情况下获得对目标物联网设备的完全控制。 此外,本月早些时候,Forescout的研究人员发现了33个漏洞,统称为“AMNESIA:33”。这些漏洞可能导致TCP/IP Stack被滥用,使得攻击者可以控制易受攻击的系统。 考虑到复杂的物联网供应链,该公司发布了一种名为“project-memoria-detector”的新检测工具,以确定目标网络设备是否在实验室环境下运行易受攻击的TCP/IP Stack。 该工具可以通过GitHub访问。         消息及封面来源:The Hacker News ;译者:芋泥啵啵奶茶。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ” 

CVSS 得分均为 10 的两个严重漏洞影响 Dell Wyse Thin 客户端设备

12月21日,一个研究小组公布了他们在Dell Wyse Thin客户端中发现的两个严重漏洞,这些漏洞可能使攻击者能够远程执行恶意代码并访问受影响设备上的任意文件。 这些漏洞由CyberMDX发现,并于2020年6月向戴尔报告。这两个漏洞的CVSS评分均为10分,影响ThinOS 8.6及以下版本的设备。戴尔在21日发布的更新中已解决了这两个漏洞。 Thin客户端通常是使用存储在中央服务器上的资源而不是本地化硬盘驱动器运行的计算机。它们通过建立到服务器的远程连接来工作,服务器负责启动和运行应用程序并存储相关数据。 本次漏洞的编号为CVE-2020-29491和CVE-2020-29492,用于从本地服务器获取固件更新和配置的FTP会话是不受保护的,没有任何身份验证(“匿名”),从而使同一网络中的攻击者能够读取和更改其配置。 第一个漏洞CVE-2020-29491允许用户访问服务器并读取属于其他客户端的配置(.ini文件)。 由于没有FTP凭据,网络上的任何人都可以访问FTP服务器并直接更改保存其他Thin客户端设备配置的.ini文件(CVE-2020-29492)。 更糟糕的是,该配置可能包含敏感数据,包括可能被用来危害设备的密码和帐户信息。 这些漏洞的利用相对容易,我们建议用户尽快使用补丁来降低风险。 CyberMDX还建议将兼容的客户端更新到ThinOS9,从而删除INI文件管理功能。如果无法进行升级,建议禁用FTP,使用HTTPS服务器或Wyse管理套件。 CyberMDX的研究人员表示:“读取或更改(ini文件中)这些参数会加剧攻击。在配置和启用VNC以进行完全远程控制、泄漏远程桌面凭据以及操纵DNS结果时,我们需要格外注意。”         消息及封面来源:The Hacker News ;译者:芋泥啵啵奶茶。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ” 

谷歌披露存在于高通骁龙 Adreno GPU 中的高危漏洞

谷歌 Project Zero 团队近日披露了存在于高通 Adreno GPU 的“高危”安全漏洞,不过目前高通已经发布补丁完成了修复。这个漏洞和 GPU 共享映射的处理方式有关,有关于该漏洞的详细代码细节可以访问谷歌提供的列表。 根据博文描述,Adreno GPU 驱动程序为每个内核图形支持层(KGSL)描述符链接了一个私有设备结构,而描述符包含上下文切换所需的页表。此结构与 process ID (PID) 相关联,但同一流程中可以被其他 KGSL 描述符重用,可能会提高性能。 当调用进程派生创建一个子进程时,后者也继承了最初为父进程创建的KGSL描述符的私有结构,而不是创建一个新的子进程。本质上,这给子进程(可能是攻击者)提供了对父进程将创建的后续GPU映射的读取访问权,而父进程却不知道。 可以看出,这是一个相当复杂的攻击。Google Project Zero 团队表示,在实际情况下,要想要成功利用该漏洞将要求攻击者循环 PID,然后通过崩溃 BUG 来触发 well-timed 或者系统服务重启。该漏洞可能会尝试回复受感染者 GPU 渲染的内容或者其他 GPU 操作的结果。 该漏洞已经于 9 月 15 日报告给了高通,并提出了修复建议。在 90 天的标准期限(截至 12 月 14 日)之前,高通在 12 月 7 日完成了修复并和 OEM 厂商私下共享了信息。高通表示将会在 2021 年 1 月公开该漏洞的相关细节。         (消息及封面来源:cnBeta)

黑客可利用漏洞攻击 D-Link VPN 路由器

研究发现,一些D-Link VPN路由器易受三个新的高危漏洞的攻击,这使得数百万的家庭和商业网络即使有强大的密码保护也容易受到网络攻击。 Digital Defense的研究人员发现了这些漏洞,并于8月11日向D-Link披露。如果漏洞被利用,远程攻击者可以通过特制请求在易受攻击的网络设备上执行任意命令,甚至发起拒绝服务攻击。 Link DSR-150、DSR-250、DSR-500和DSR-1000AC以及DSR系列中运行固件版本14和3.17的其他VPN路由器型号易受根命令注入漏洞的远程攻击。 这家台湾网络设备制造商在12月1日的一份咨询报告中证实了这些问题,并补充说,他们正在针对其中两个漏洞开发补丁。目前,这些补丁已发布。 Digital Defense在报告中表示:“从广域网和局域网接口来看,这些漏洞可以在网上被利用。” “因此,未经身份验证的远程攻击者可以通过访问路由器web界面,作为根用户执行任意命令,从而有效地获得对路由器的完全控制。” 易受攻击的组件“Lua-CGI”可以在不经过身份验证的情况下访问,并且缺少服务器端过滤,从而使得攻击者(无论是否经过身份验证)都有可能注入将以根用户权限执行的恶意命令。 Digital Defense报告的另一个漏洞涉及修改路由器配置文件,以根用户身份注入恶意CRON条目并执行任意命令。 然而,D-Link表示,它不会“在这一代产品上”修复这一漏洞,并表示这是预期的功能。 Digital defence警告说,由于COVID-19的流行,在家工作的人数空前增加,可能会有更多的员工使用受影响的设备连接到企业网络。 随着远程工作的增加,vpn中的漏洞成为攻击者进入企业内部网络的目标。 建议使用受影响产品的企业进行相关更新。       消息及封面来源:The Hacker News ;译者:芋泥啵啵奶茶。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ” 

谷歌黑客详细介绍了利用零点击“Wormable”Wi-Fi 入侵 iPhone 的方法

谷歌Project Zero白帽黑客Ian Beer周二披露了一个现已修补的严重“wormable”iOS漏洞的细节,该漏洞可能使远程攻击者能够通过Wi-Fi完全控制附近的任何设备。 Beer在一篇长篇博客中说,利用这个漏洞,可以“实时查看所有照片、阅读所有电子邮件、复制所有私人信息并实时监控(设备)上发生的一切”。 苹果在今年早些时候推出的iOS 13.3.1、macOS Catalina 10.15.3和watchOS 5.3.7的一系列安全更新中解决了该漏洞(编号为CVE-2020-3843)。 “远程攻击者可能会导致系统意外终止或内核内存损坏,”iPhone制造商在其公告中指出,“内存损坏问题通过改进输入验证得到解决。” 该漏洞源于与Apple Wireless Direct Link(AWDL)相关的Wi-Fi驱动程序中的“相当小的缓冲区溢出错误”,该协议是苹果公司开发的一种专用网格网络协议,用于AirDrop、AirPlay等,从而使苹果设备之间的通信更加方便。 简而言之,零点击漏洞利用一个由iPhone 11 Pro、Raspberry Pi和两个不同的Wi-Fi适配器组成的设置来实现任意内核内存的远程读写,利用它通过受害者进程将Shellcode有效负载注入内核内存,并逃离进程的沙盒保护以获取用户数据。 换言之,攻击者以AirDrop BTLE框架为目标,通过从存储在手机中的100个随机生成的联系人列表中联系人的哈希值来启用AWDL接口,然后利用AWDL缓冲区溢出获取对设备的访问权,并以根用户身份运行植入程序,从而完全控制用户的个人数据,包括电子邮件、照片、消息、iCloud数据等。 尽管没有证据表明该漏洞是在野外被利用的,但研究人员指出,“利用漏洞的厂商似乎注意到了这些修复。” 这并不是第一次在Apple的AWDL协议中发现安全漏洞。去年7月,德国达姆施塔特技术大学的研究人员揭露了AWDL中的漏洞,攻击者能够跟踪用户、使设备崩溃,甚至拦截通过中间人(MitM)攻击在设备之间传输的文件。 Synacktiv详细介绍了苹果“Memory Leak”零日漏洞 在另一项开发中,Synacktiv分享了CVE-2020-27950的更多细节,CVE-2020-27950是苹果上个月在谷歌Project Zero发布报告后修补的三个漏洞之一。 虽然披露的内容缺乏细节,但这些漏洞是由于FontParser库中允许远程代码执行的内存损坏问题、授予恶意应用程序内核运行任意代码权限的内存泄漏以及内核中的类型混乱造成的。 通过比较与iOS 12.4.8和12.4.9相关的两个内核二进制文件,Synacktiv的研究人员能够追溯内存泄漏问题的根源,明确指出这些变化解决了内核如何处理与苹果设备中进程间通信相关的mach消息。 研究人员还设计了一种概念验证代码,利用该漏洞泄漏了mach端口内核地址。 Synacktiv的Fabien Perigaud说:“这个漏洞在XNU中存活了这么长时间真是令人惊讶,因为它的代码是开源的,并且受到了数百名黑客的监督。”         消息及封面来源:The Hacker News ;译者:芋泥啵啵奶茶。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ” 

微软安全公告一年半后 仍有 245000 台设备尚未修复 BlueKeep 高危漏洞

在微软披露存在于 Windows RDP 服务中的 BlueKeep 高危漏洞一年半后,目前至少仍有 245000 台 Windows 设备尚未修复该漏洞,意味着它们依然容易受到黑客的攻击。BlueKeep 于2019年5月首次发现,在对 950000 台设备的扫描中发现 25% 的设备存在该漏洞。 同样地,超过 103000 台 Windows 设备仍然容易受到 SMBGhost 的攻击,这是存在于2020年3月发布的新版 Windows 附带的服务器消息块v3(SMB)协议中的漏洞。 这两个漏洞都使攻击者可以远程控制Windows系统,并且被认为是过去几年Windows中披露的一些最严重的错误。然而,根据 SANS ISC 管理员 Jan Kopriva 在过去几周进行的研究,尽管这两个漏洞非常严重,但许多系统仍未打补丁。 根据这名来自捷克的安全研究人员的说法,目前全球仍有数百万台设备存在安全隐患,而且管理员无法修复它们,导致非常容易被恶意攻击者接管。这些系统包括 IIS 服务器、Exim 电子邮件代理,OpenSSL 客户端和 WordPress 网站等系统。 这些系统为何未打补丁的原因仍然未知,但即使是美国政府网络安全机构最近发出的警告也没有帮助。尽管有这些警告,仍然有超过 268,000 台 Exim 服务器未针对Exim错误进行修补,而超过 245,000 台针对 BlueKeep 未进行修补。         (消息来源:cnBeta;封面来自网络)

Google 修补 Chrome 浏览器的 5 个安全问题 其中有已被利用的高危漏洞

谷歌已经在其Chrome浏览器中修补了5个安全漏洞,其中一个漏洞正在被不怀好意者疯狂利用。这些漏洞包括1个缓冲区溢出和3个导致程序崩溃任意代码执行内存数据的破坏性缺陷,但CVE-2020-15999无疑是最严重的,它甚至可以给你的浏览器自动安装自定义字体。 高危级别漏洞CVE-2020-15999是Freetype中的一个堆缓冲区溢出,由Google Project Zero在10月19日发现。 Google Project Zero没有透露已经被广泛用于网络攻击的CVE-2020-15999的技术细节,以避免威胁行为者进一步大规模利用,但据信它与网站请求安装Web Open Font Format字体的能力有关,因此很可能这一漏洞仅仅通过访问某些特别设计过的网站就能被利用。 早于86.0.4240.111的Chrome浏览器版本存在上述漏洞。如果你有一个待更新(Chrome菜单中的绿色箭头),现在可能是重新启动浏览器的好时机,如果你没有,可能立即更新才是一个好主意,在Chrome菜单中点击帮助>关于,系统就会自动探测最新更新,或者到Google官网直接下载最新版本。     (消息及封面来源:cnBeta)

在线游戏 Street Mobster 存在严重漏洞, 190 万个用户信息造泄露

研究人员发现大型在线游戏Street Mobster存在一个严重漏洞。该漏洞可能导致玩家用户名、电子邮件地址和密码以及存储在数据库中相关数据被破坏。 Street Mobster是一种免费在线游戏,玩家在其中管理虚拟犯罪活动。该游戏储存了190多万玩家用户的数据,黑客通过在游戏网站上利用漏洞攻击该数据库。 Street Mobster中的SQLi漏洞可能破坏玩家用户名、电子邮件地址和密码以及其他相关数据的记录。 幸运的是,在向Big Mage Studios,CERT Bulgaria和保加利亚数据保护机构报告了此漏洞之后,开发人员就及时解决了该问题,因此黑客被禁止访问该数据库。     消息及图片来源:cybernews;译者:小江 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

CVE-2020-1472:微软警告黑客正在利用严重的 Windows 安全漏洞

早些时候,美国土安全部旗下的网络与基础设施安全局(CISA)发布了有关 Windows Server 操作系统的罕见漏洞警告,因为攻击者可借此来完全控制网络上的每台计算机。此前 CISA 仅假设有黑客正在利用该漏洞,并建议系统管理员尽快部署微软八月发布的补丁更新。然而周四的时候,微软证实其已观察到新的 Windows 漏洞攻击。 作为近期曝光的最严重的 Windows 漏洞之一,按去哪研究人员证实其拿到了 10.0 的严重性评分,促使 CISA 建议所有政府机构、企业和个人立即部署微软几周前发布的修补程序。 由于 Netlogon 远程协议(MS-NRPC)漏洞太过严重,软件巨头还计划在明年初发布第二次更新,以进一步缓解这方面的隐患。 Zerologon 的危险性在于,其允许不怀好意者接管网络上的任何计算机,而无需事先窃取任何登陆凭证。攻击涉及伪造 Netlogon 的身份验证令牌,然后为所有功能敞开大门。 密码验证方案中的缺陷,使得这一切成为了可能。在被授予了度网络的访问权限之后,攻击者或借助其它恶意软件来感染计算机,并从受害设备上提取数据。 微软在本周四发布了有关此事的最新消息,称其正在积极追踪利用 CVE-2020-1472 Netlogon EoP 漏洞(简称 Zerologon)的活动,并表示已观察到有攻击者在具体实施中掺入了其它漏洞攻击。 KrebsOnSecurity 指出,该漏洞影响大多数受支持的 Windows Server 版本(从 2008 到 2019)。遗憾的是,尽管已经收到了 CISA 的警告,也不是每个人都能对其网络进行修补。 大多数 Windows 用户甚至对补丁不加理会,因而在管理员对网络进行修补之前,各企业单位和政府机构都将成为 Zerologon 攻击的潜在目标。     (稿源:cnBeta,封面源自网络。)

可 3 秒入侵 Windows 服务器:微软敦促客户尽快修复 Zerologon 漏洞

在 Zerologon 漏洞开始疯狂传播之后,美国国土安全局责令政府网络管理员责令政府网络管理员立即给 Windows Server 2008 及以上版本(包括 Windows 10 Server)打补丁。现在,微软也加入这一呼吁,表示:“微软正在积极跟踪 CVE-2020-1472 Netlogon EoP 漏洞(也被称之为 Zerologon)的活动情况,我们已经观测到有黑客利用该漏洞发起了攻击”。 该漏洞编号为 CVE-2020-1472,存在于 Windows Server 中 Active Directory 核心验证元件 Netlogon 远程协议(MS-NRPC)中,可让未经授权的攻击者借由和网域控制器建立 TCP 连线时,送入假造的 Netlogon 验证令符而登入网域控制器,进而完全掌控所有 AD 网域内的身份服务。 在 8 月的补丁星期二活动日中,微软修复了这个漏洞。虽然该漏洞的CVSS 评分为满分10分,但细节从未公开过,也就是说用户和IT 管理员从未意识到该漏洞的严重程度有多高。 CISA已发布紧急指令20-04,指示联邦文职行政部门机构对所有域控制器应用微软Windows服务器2020年8月安全更新(CVE-2020-1472)。CISA 已经指示政府服务器在9月21日(本周一)之前打好补丁,同时也强烈敦促他们在州和地方政府、私营部门以及美国公众中的合作伙伴尽快应用这一安全更新。     (稿源:cnBeta,封面源自网络。)