分类: 漏洞事件

上亿台设备受影响 高危漏洞 NAME:WRECK 曝光

通过和 JSOF Research 合作,网络安全公司 Forescout Research Labs 在披露了威胁全球上亿台设备的高危漏洞–NAME:WRECK。这是影响 4 个主流 TCP/IP 堆栈(FreeBSD,Nucleus NET,IPnet 和 NetX)的 9 个漏洞组合,对域名系统(DNS)实现有关,会导致拒绝服务(DoS)或远程代码执行(RCE),允许攻击者控制或者宕机目标设备。 这些漏洞影响的TCP/IP堆栈包括但不限于: FreeBSD(影响版本:12.1)-BSD系列中最流行的操作系统之一。 IPnet(影响版本:VxWorks 6.6)-最初由Interpeak开发,现在由WindRiver维护,并由VxWorks实时操作系统(RTOS)使用。 NetX(影响版本:6.0.1)-ThreadX RTOS的一部分,现在是Microsoft维护的一个开源项目,名称为Azure RTOS NetX。 Nucleus NET(影响版本:4.3)-由西门子业务MentorGraphics维护的Nucleus RTOS的一部分,用于医疗、工业、消费类、航空航天和物联网设备。 攻击者可以利用NAME:WRECK漏洞窃取敏感数据、修改或使设备脱机以对制造行业中的政府或企业服务器、医疗机构、零售商或公司造成重大安全事故。攻击者还可以利用这些漏洞篡改住宅或商业场所的智能设备,以控制供暖和通风、禁用安全系统或篡改自动照明系统。   这些漏洞的细节将会在今年 5 月第 1 周召开的信息安全会议 Black Hat Asia 2021 上介绍。根据 Forescout 的研究人员的说法,医疗保健和政府组织是最容易受到所有三个 TCP/IP 堆栈的影响。不祥的是,Forescout 的粗略估计显示,多达 1 亿台或更多的设备可能受到 NAME:WRECK 的影响。 要完全防止这些易受攻击的TCP/IP堆栈版本,需要对设备打补丁,而在报告认为这并不太可能实现,有时甚至是困难的。这是因为所需的努力可能会发生 “巨大的变化”,这取决于有关设备是标准的 IT 服务器还是物联网设备。     (消息及封面来源:cnBeta)

FBI 已展开行动 从被黑 Exchange 服务器中移除后门

美国休斯敦的一家法院已经授权 FBI 展开行动,从美国数百台微软 Exchange 电子邮件服务器中“复制并删除”后门。在几个月前,黑客利用 4 个此前尚未被发现的漏洞攻击了数千个网络。美国司法部本周二宣布了这次活动,并表示这项活动是“成功”。 今年 3 月,黑客组织 Hafnium 利用 4 个漏洞链成功入侵了 Exchange 服务器,并窃取了存储在服务器上的内容。微软虽然修复了这些漏洞,但补丁并没有关闭已经被入侵的服务器的后门。几天之内,其他黑客组织开始用同样的漏洞打击脆弱的服务器,部署勒索软件。 司法部在一份声明中表示:“随着补丁的应用,受感染的服务器数量有所下降。但数百台Exchange服务器仍然脆弱,因为后门很难找到并消除。这次行动删除了一个早期黑客组织剩余的网络外壳,这些外壳可能被用来维持和升级对美国网络的持续、未经授权的访问。FBI进行删除的方式是通过web shell向服务器发出命令,该命令旨在使服务器只删除web shell(由其唯一的文件路径识别)”。 FBI表示,它正试图通过电子邮件通知从其删除后门的服务器的所有者。助理司法部长John C. Demers 说,这次行动“表明司法部致力于利用我们所有的法律工具,而不仅仅是起诉,来破坏黑客活动”。   (消息及封面来源:cnBeta)

安全专家发现基于 Chromium 的浏览器漏洞 可绕过沙盒远程执行

针对 Chrome、Edge 以及其他基于 Chromium 的浏览器,一位安全研究人员在 Twitter 上分享了一个概念验证(PoC)漏洞。虽然这个零日漏洞已经被公开披露,但在最新版的 Chrome 和 Edge 中并未被修复。 安全研究人员 Rajvardhan Agarwal 在基于 Chromium 浏览器中的 V8 JavaScript 引擎中发现了一个远程代码执行漏洞,并通过个人 Twitter 帐号进行了公布。虽然该漏洞已经在最新版本的 V8 JavaScript 引擎中得到修复,但谷歌何时将其添加到 Chrome 浏览器中仍不清楚。 在 Agarwal 提供的概念验证演示中,需要配合另一个漏洞来逃脱 Chromium 沙盒。为了测试该漏洞,BleepingComputer 在启用 -no-sandbox 标志的情况下同时启动了 Chrome 和 Edge,并能够使用该漏洞在 Windows 10 上运行计算器(代表成功入侵)。 虽然在 Twitter 上发布零日漏洞本身是有争议的,但社交网络上的一些用户对 Agarwal 的行为表示质疑,因为该漏洞最初是由来自 Dataflow Security 的 Bruno Keith 和 Niklas Baumstark 发现的,而在泄漏时并未提及他们的功劳。不过,Agarwal 表示他发现该漏洞的时候并不知道对方已经发现了这个漏洞。 更新:在最新的 Chrome 版本中已经修复了这个问题,不过他爆料在 V8 引擎中还有一个漏洞并未得到修复,不过他决定不再公开该漏洞。   (消息及封面来源:cnBeta)

白宫向美国各级政府机构下命令:赶紧给微软服务器打补丁

北京时间4月14日早间消息,白宫最高网络安全官员向各政府机构下达命令,要求它们为微软公司Exchange邮件服务器安装新补丁,因为服务器软件存在漏洞,可能会被黑客利用。 日前,美国国家安全局在软件中发现4个漏洞,于是上报给微软,这才有了今天的命令。负责网络和新兴技术的副国家安全顾问安妮·纽伯格(Anne Neuberger)在声明中表示:“我们意识到漏洞可能会带来系统性风险,所以有必要及时披露。” 微软声称至今并没有发现有谁利用漏洞,但黑客将会研究新补丁,看看微软修复了什么,然后黑客可能会利用漏洞攻击未打补丁的计算机。 今年年初时,美国约有2万多台Exchange服务器遭到攻击,这些服务器主要用来处理Web版Outlook邮件。   (消息及封面来源:新浪科技)

Facebook 的 Pages 漏洞让全球政客们可以伪造民众支持率以攻击对手

世界各地的政府和政客正在利用Facebook如何对不真实活动进行监管的漏洞,伪造民众支持率以骚扰对手。来自《卫报》的调查基于内部文件和前Facebook数据科学家Sophie Zhang的证词,显示了该公司如何选择性地选择对这种活动采取行动。 Facebook迅速采取行动,处理美国、韩国等富裕国家和地区为左右政治而开展的协调活动,而对阿富汗、伊拉克、墨西哥和拉丁美洲大部分地区等较贫穷国家的类似活动的报道却不重视或干脆置之不理。 “Facebook上有很多伤害没有得到回应,因为它没有被认为是对Facebook构成足够的公关风险,”Sophie Zhang告诉卫报。”成本不是由Facebook承担的。它是由更广泛的世界作为一个整体来承担的。” Sophie Zhang发现的漏洞涉及到利用Pages创建假的支持者,被政府用来操控,使其显得受欢迎同时用来批评对手。虽然Facebook禁止人们操作一个以上的账户,但任何个人都可以创建多个Pages,并取得类似的效果。Pages通常用于代表企业、慈善机构、非营利组织或其他组织,但可以很容易地改变成个人账户的样子。 洪都拉斯就发生了一起利用这一漏洞的案例,该国总统胡安·奥兰多·埃尔南德斯(Juan Orlando Hernández)的Facebook页面的管理员创建了数百个Pages来为自己的帖子点赞,并营造出民众支持的假象。(2017年埃尔南德斯的选举因舞弊而广受批评。)同样,在阿塞拜疆,在总统伊利哈姆·阿利耶夫(Ilham Aliyev)的领导下,阿塞拜疆经历了多年的威权统治,执政党利用虚拟Pages来骚扰反对派政客,并批评独立媒体的新闻报道。下面来自《卫报》的视频展示了这些操作是如何进行的。 Sophie Zhang曾在Facebook的诚信团队工作,负责识别此类虚假活动,因表现不佳于2020年9月被Facebook解雇。在她最后一天分享的一份备忘录中,她描述了她是如何发现 “外国国家政府多次公然企图大规模滥用我们的平台来误导本国公民”。 当Zhang向她的经理们报告这类假Pages网络时,Facebook高层的反应并不一致。该公司对一些报告反应缓慢(《卫报》称,该公司花了 “近一年时间 “删除洪都拉斯的页面,花了14个月时间下架阿塞拜疆的活动),而对Zhang发现的其他网络,例如玻利维亚和阿尔巴尼亚的网络则置之不理。 正如Facebook的诚信副总裁盖伊·罗森(Guy Rosen)在2019年张女士抱怨反应缓慢后告诉她的那样。”我们有数百或数千种滥用类型(诚信上的工作保障)[……]这就是为什么我们应该从最重要的地方开始(顶级国家、顶级优先领域、推动流行的事情等),并在那里尝试着下功夫。” 为了说出Facebook的不作为,Sophie Zhang拒绝了公司提供的6.4万美元遣散费。在今天早上伴随着《卫报》的调查发布的推文中,她表示。”我加入FB是因为我天真地希望能从内部解决公司的问题,我站出来,是因为我失败了。” 在给《卫报》的一份声明中,Facebook发言人Liz Bourgeois表示。”我们从根本上不同意张女士对我们在平台上根除滥用行为的优先事项和努力的描述。我们在全球范围内积极追击滥用行为,并有专门的团队专注于这项工作。” Bourgeois表示,Facebook已经取缔了 “100多个协调的不真实行为网络”,”打击协调的不真实行为是我们的优先事项”。但该公司对张某在Facebook工作的事实没有异议。   (消息及封面来源:cnBeta)

因发现 Zoom 中高危零日漏洞 两位安全专家获 20 万美元赏金

在年度黑客大会 Pwn2Own 中,两位来自荷兰的白帽安全专家凭借着在 Zoom 中发现的远程代码执行(RCE)漏洞,获得了 20 万美元的赏金。Pwn2Own 大会是由 Zero Day Initiative 举办的一场高规格黑客比赛,主要是让黑客在限定时间内对常用软件、移动设备发起挑战。 举办该活动的目的是为了验证流行的软件、服务、设备都存在缺陷和漏洞,并通过赏金的方式来遏制漏洞的地下交易。这些受到攻击的“targets”自愿提供自己的软件和设备,并对攻击成功者给予奖励。 受雇于网络安全公司 Computest 的 Keuper 和 Alkemade 在本次活动的第二天,通过 3 个漏洞的整合成功接管了一个远程系统。这些漏洞不需要受害者参与互动,只要开启 Zoom 会话就可以了。 这些 Zoom 漏洞适用于 Windows 和 macOS 端,不过网页端 Zoom 并不受影响。目前尚不清楚 Android 和 iOS 端的 APP 是否也存在这些漏洞,因为Keuper和Alkemade并没有对这些进行研究。 Pwn2Own组织在推特上发布了一个gif图,展示了该漏洞的运行情况。你可以看到攻击者在运行Zoom的系统上打开计算器。Calc.exe经常被用作黑客在远程系统上打开的程序,以表明他们可以在受影响的机器上运行代码。   (消息及封面来源:cnBeta)

Treck TCP/IP Stack 中的新漏洞影响了数百万个 IoT 设备

美国网络安全基础设施和安全局(CISA)警告称,Treck开发的一个低级TCP/IP软件库存在严重漏洞,远程攻击者可以运行任意命令并发动拒绝服务(DoS)攻击。 这四个漏洞影响Treck TCP/IP Stack 6.0.1.67及更早版本,其中两个漏洞的等级为严重。 Treck的嵌入式TCP/IP Stack部署在全球制造业、信息技术、医疗保健和运输系统中。 其中最严重的是Treck HTTP服务器组件中的基于堆的缓冲区溢出漏洞(CVE-2020-25066),该漏洞允许攻击者重置目标设备或使其崩溃,甚至执行远程代码。它的CVSS得分是9.8分(最高10分)。 第二个漏洞是IPv6组件(CVE-2020-27337,CVSS评分9.1)中的越界写入,未经身份验证的用户可利用该漏洞通过网络访问造成DoS。 其他两个漏洞涉及IPv6组件中的越界读取(CVE-2020-27338,CVSS得分5.9),未经身份验证的攻击者可能会利用该漏洞导致DoS。同一模块中的输入验证错误漏洞(CVE-2020-27336,CVSS得分3.7)可能导致越界读取(通过网络访问最多读取三个字节)。 Treck建议用户更新到6.0.1.68版本。在无法应用最新补丁的情况下,建议使用防火墙以过滤掉HTTP报头中包含负内容长度的数据包。 在Treck TCP/IP Stack出现新漏洞的6个月前,以色列网络安全公司JSOF发现了名为Ripple20的软件库中的19个漏洞,这可能使攻击者在不需要任何用户交互的情况下获得对目标物联网设备的完全控制。 此外,本月早些时候,Forescout的研究人员发现了33个漏洞,统称为“AMNESIA:33”。这些漏洞可能导致TCP/IP Stack被滥用,使得攻击者可以控制易受攻击的系统。 考虑到复杂的物联网供应链,该公司发布了一种名为“project-memoria-detector”的新检测工具,以确定目标网络设备是否在实验室环境下运行易受攻击的TCP/IP Stack。 该工具可以通过GitHub访问。         消息及封面来源:The Hacker News ;译者:芋泥啵啵奶茶。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ” 

CVSS 得分均为 10 的两个严重漏洞影响 Dell Wyse Thin 客户端设备

12月21日,一个研究小组公布了他们在Dell Wyse Thin客户端中发现的两个严重漏洞,这些漏洞可能使攻击者能够远程执行恶意代码并访问受影响设备上的任意文件。 这些漏洞由CyberMDX发现,并于2020年6月向戴尔报告。这两个漏洞的CVSS评分均为10分,影响ThinOS 8.6及以下版本的设备。戴尔在21日发布的更新中已解决了这两个漏洞。 Thin客户端通常是使用存储在中央服务器上的资源而不是本地化硬盘驱动器运行的计算机。它们通过建立到服务器的远程连接来工作,服务器负责启动和运行应用程序并存储相关数据。 本次漏洞的编号为CVE-2020-29491和CVE-2020-29492,用于从本地服务器获取固件更新和配置的FTP会话是不受保护的,没有任何身份验证(“匿名”),从而使同一网络中的攻击者能够读取和更改其配置。 第一个漏洞CVE-2020-29491允许用户访问服务器并读取属于其他客户端的配置(.ini文件)。 由于没有FTP凭据,网络上的任何人都可以访问FTP服务器并直接更改保存其他Thin客户端设备配置的.ini文件(CVE-2020-29492)。 更糟糕的是,该配置可能包含敏感数据,包括可能被用来危害设备的密码和帐户信息。 这些漏洞的利用相对容易,我们建议用户尽快使用补丁来降低风险。 CyberMDX还建议将兼容的客户端更新到ThinOS9,从而删除INI文件管理功能。如果无法进行升级,建议禁用FTP,使用HTTPS服务器或Wyse管理套件。 CyberMDX的研究人员表示:“读取或更改(ini文件中)这些参数会加剧攻击。在配置和启用VNC以进行完全远程控制、泄漏远程桌面凭据以及操纵DNS结果时,我们需要格外注意。”         消息及封面来源:The Hacker News ;译者:芋泥啵啵奶茶。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ” 

谷歌披露存在于高通骁龙 Adreno GPU 中的高危漏洞

谷歌 Project Zero 团队近日披露了存在于高通 Adreno GPU 的“高危”安全漏洞,不过目前高通已经发布补丁完成了修复。这个漏洞和 GPU 共享映射的处理方式有关,有关于该漏洞的详细代码细节可以访问谷歌提供的列表。 根据博文描述,Adreno GPU 驱动程序为每个内核图形支持层(KGSL)描述符链接了一个私有设备结构,而描述符包含上下文切换所需的页表。此结构与 process ID (PID) 相关联,但同一流程中可以被其他 KGSL 描述符重用,可能会提高性能。 当调用进程派生创建一个子进程时,后者也继承了最初为父进程创建的KGSL描述符的私有结构,而不是创建一个新的子进程。本质上,这给子进程(可能是攻击者)提供了对父进程将创建的后续GPU映射的读取访问权,而父进程却不知道。 可以看出,这是一个相当复杂的攻击。Google Project Zero 团队表示,在实际情况下,要想要成功利用该漏洞将要求攻击者循环 PID,然后通过崩溃 BUG 来触发 well-timed 或者系统服务重启。该漏洞可能会尝试回复受感染者 GPU 渲染的内容或者其他 GPU 操作的结果。 该漏洞已经于 9 月 15 日报告给了高通,并提出了修复建议。在 90 天的标准期限(截至 12 月 14 日)之前,高通在 12 月 7 日完成了修复并和 OEM 厂商私下共享了信息。高通表示将会在 2021 年 1 月公开该漏洞的相关细节。         (消息及封面来源:cnBeta)

黑客可利用漏洞攻击 D-Link VPN 路由器

研究发现,一些D-Link VPN路由器易受三个新的高危漏洞的攻击,这使得数百万的家庭和商业网络即使有强大的密码保护也容易受到网络攻击。 Digital Defense的研究人员发现了这些漏洞,并于8月11日向D-Link披露。如果漏洞被利用,远程攻击者可以通过特制请求在易受攻击的网络设备上执行任意命令,甚至发起拒绝服务攻击。 Link DSR-150、DSR-250、DSR-500和DSR-1000AC以及DSR系列中运行固件版本14和3.17的其他VPN路由器型号易受根命令注入漏洞的远程攻击。 这家台湾网络设备制造商在12月1日的一份咨询报告中证实了这些问题,并补充说,他们正在针对其中两个漏洞开发补丁。目前,这些补丁已发布。 Digital Defense在报告中表示:“从广域网和局域网接口来看,这些漏洞可以在网上被利用。” “因此,未经身份验证的远程攻击者可以通过访问路由器web界面,作为根用户执行任意命令,从而有效地获得对路由器的完全控制。” 易受攻击的组件“Lua-CGI”可以在不经过身份验证的情况下访问,并且缺少服务器端过滤,从而使得攻击者(无论是否经过身份验证)都有可能注入将以根用户权限执行的恶意命令。 Digital Defense报告的另一个漏洞涉及修改路由器配置文件,以根用户身份注入恶意CRON条目并执行任意命令。 然而,D-Link表示,它不会“在这一代产品上”修复这一漏洞,并表示这是预期的功能。 Digital defence警告说,由于COVID-19的流行,在家工作的人数空前增加,可能会有更多的员工使用受影响的设备连接到企业网络。 随着远程工作的增加,vpn中的漏洞成为攻击者进入企业内部网络的目标。 建议使用受影响产品的企业进行相关更新。       消息及封面来源:The Hacker News ;译者:芋泥啵啵奶茶。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ”