分类: 漏洞事件

Alphabet 被投资者起诉 隐瞒 Google+ 隐私漏洞

新浪科技讯 北京时间10月17日晚间消息,谷歌母公司Alphabet日前因隐瞒Google+安全漏洞而被投资者告上法庭。同时,Alphabet CEO拉里·佩奇(Larry Page)和谷歌CEO桑达尔·皮查伊(Sundar Pichai)也成为被告。 原告在起诉书中称,Google+所曝出的安全漏洞影响用户的个人数据,尤其是将用户没有设置为公开的数据暴露在风险之中,但Alphabet高管却反复作出虚假和有误导性的声明。 该案件已交由加州北区地方法院审理。除了Alphabet,原告还将Alphabet CEO佩奇、谷歌CEO皮查伊和谷歌CFO鲁斯·波拉特(Ruth Porat)列为被告。如今,法院已向上述三位高管发出传票,他们有21天的响应时间。 谷歌上周一在公司博客中宣布,将关闭旗下社交网站Google+消费者版本。原因是,Google+在长达两年多时间里存在一个软件漏洞,导致最多50万名用户的数据可能曝露给了外部开发者。 据《华尔街日报》援引谷歌内部人士的话称,Google+的该漏洞使得外部开发人员可以在2015年至2018年3月间访问用户的Google+个人信息,包括用户姓名、电子邮件地址、出生日期、性别、个人资料照片、居住地、职业和婚姻状况等。 谷歌称,公司今年3月就已发现这个漏洞,并推出补丁加以修复。谷歌表示,没有证据表明用户数据被滥用,也并无证据表明任何开发者明知或利用了这个漏洞。 据《华尔街日报》报道,谷歌选择不对外公开该漏洞,部分原因是担心被监管审查。但事实上,谷歌似乎并未躲过此劫。到目前为止,至少有美国的两个州、以及欧盟的两个成员国对谷歌Google+泄露用户信息事件展开了调查。 根据谷歌的计划,Google+将于2019年8月关闭。业内人士称,此举是谷歌针对该漏洞所采取的一个安全措施,但同时也表明,Google+也是一款比较失败的产品,并未吸引太多的用户使用,其使用量远低于Facebook和Twitter。   稿源:新浪科技,封面源自网络;

参议员要求谷歌解释:为何推迟公布 Google+ 漏洞

网易科技讯 10月12日消息,据美国媒体报道,周四美国参议院三位有影响力的共和党参议员提出,谷歌应该解释为何推迟公布Google+社交网络的漏洞。本周谷歌突然宣布关闭消费者版Google+并收紧数据共享政策,因为该网络存在的漏洞使至少50万用户私人资料曝光于数百个外部开发者。 参议院商务委员会主席约翰·图恩和另外两位参议员杰瑞·莫兰和罗杰·维克发出信函,要求谷歌解释推迟披露此问题的原因。信中称:“谷歌如果要保持或重获用户对其服务的信任,就必须在公众和立法者面前准备的更充分些。”对此,谷歌未立即发表评论。信函询问是否以前向哪个政府机构如FTC透露过漏洞,是否有“未公开披露的类似事件”。 谷歌CEO桑德·皮查伊上月同意今年11月在众议院作证,图恩表示,参议院也要求皮查伊作证。周三这些参议员写信给FTC要求对Google+进行调查。三位参议员称,他们对谷歌首席隐私官凯特·恩莱特未披露此问题“特别失望”。他们要求谷歌提交备忘录,没有及早披露问题可能“立即引起监管兴趣”,“几乎可以确定”皮查伊必须到国会作证。   稿源:网易科技,封面源自网络;

WhatsApp 曝安全漏洞 一个视频电话就能被黑

新浪科技讯 北京时间10月10日晚间消息,Facebook旗下消息服务WhatsApp日前曝出一项安全漏洞,当用户接听视频呼叫时,黑客即可控制用户的这款应用。 谷歌研究人员特拉维斯·奥曼迪(Travis Ormandy)在今年8月底发现了该漏洞,影响Android和iOS版本的WhatsApp应用。由于Facebook已在本月初发布了补丁程序,并修复了该漏洞,奥曼迪才公开该漏洞。 奥曼迪在Twitter上称:“用户只要发送一个视频通话邀请,如果用户接听,即可完全控制其WhatsApp。” 目前,Facebook尚未对此发表评论,也不清楚该漏洞在修复之前是否被黑客利用过。 但今年,Facebook已经被安全相关的问题弄得焦头烂额。继今年3月份的8700万用户信息被非法共享事件后,Facebook上月底又宣布,Facebook的“View As”(访客视图)功能存在缺陷,允许黑客获取访问权限,从而控制用户账号,受该漏洞影响的账号数量高达5000万个。   稿源:新浪科技,封面源自网络;

微软 10 月补丁日部署安全更新:修复已被用于攻击的 Win32k 提权漏洞

10月9日,微软发布了2018年10月份的月度例行安全公告,并且发布了安全更新部署修复了多款产品的多项安全漏洞。在Windows 10的安全更新部署的修复中,重点提及了CVE-2018-8453 Win32k提权漏洞,今年8月份最初由卡巴斯基实验室观测到活动,并发现被APT组织FruityArmor用于攻击活动中的漏洞。 CVE-2018-8453漏洞在近日被APT组织FruityArmor用于攻击活动中,卡巴斯基实验室指出这一利用由高质量代码写成,影响目标可以包括尽可能多的微软Windows版本,包括Windows 10 RS4。 CVE-2018-8453 Win32k提权漏洞 CVE-2018-8453漏洞最初由卡巴斯基实验室观测到在野利用,经过后续研究发现其被APT组织FruityArmor用于攻击活动中,这也是该组织第三次利用0day漏洞(CVE-2016-3393、CVE-2018-5002 )。不过此漏洞不能导致远程代码执行,只能用于感染机器后实现提权。   稿源:cnBeta,封面源自网络;

Google+安全漏洞引欧洲关注 德国爱尔兰介入调查

网易科技讯 10月10日消息,据彭博社报道,搜索巨头谷歌旗下同名社交网络Google+“软件故障”被曝光后,引发欧洲隐私保护机构关注。德国汉堡的数据保护专员约翰内斯·卡斯帕(Johannes Caspar)宣布,该机构已经开始调查此事,这个漏洞可能导致多达50万用户的个人数据被泄露。 卡斯帕是欧洲最直言不讳的隐私保护官员之一。但他表示,目前对此案还没有任何见解,也没有从谷歌得到任何信息。爱尔兰隐私管理局表示,它将从谷歌获取有关这些问题的信息。将来,该机构可能成为这家科技巨头在欧洲的主要监管者。 《华尔街日报》首先报道了Google+漏洞问题。据称,虽然谷歌早在今年3月份就发现了这一漏洞,但它没有选择公开,主要是因为担心这会引来监管机构的审查,尤其是在Facebook因隐私问题受到批评之后。 在《华尔街日报》的报道发布几分钟后,谷歌在其博客上发表声明称,内部委员会决定不披露这一潜在漏洞,因为没有证据表明这些数据(包括姓名、电子邮件地址、年龄和职业)有任何被滥用迹象。该公司还称,这个漏洞在当时立即得到了修复。 这一消息加剧了谷歌在美国和欧盟的困境。过去两个月,美国两党政治家都加大了对谷歌的攻击力度,共和党人指责谷歌对他们抱有偏见,民主党人则质疑谷歌是否已经变得过于强大。 在欧洲,谷歌也面临着隐私保护和竞争监管机构的审查。欧盟7月对谷歌处以43亿欧元(约合49亿美元)的创纪录反垄断罚款,并命令其改变在Android移动设备上安装搜索和浏览器应用的方式。 谷歌驻布鲁塞尔发言人艾尔·瓦尔尼(Al Verney)没有立即回应置评请求。 在谷歌丑闻爆发之前,社交媒体巨头Facebook在过去一年内发生了多起数据泄露事件。本月,Facebook成为欧盟加强隐私保护规定的首个重大测试案例,这可能导致该公司被处相当于其每年销售额4%的罚款。 爱尔兰数据监管机构也对Facebook的一个安全漏洞展开了调查,该漏洞影响了多达5000万个账户。此事发生在5月25日,也就是欧盟新规生效之后,因此适用于新规。 由于谷歌的数据丑闻发生在3月份,因此不符合欧盟新规范畴。而按照旧有规则,即使是最严重的违规,罚款数额也相对较小。 当地时间周二,欧盟28个隐私监管机构的联合组织表示,它尚未接到有关这一数据泄露的正式通知,但它似乎确实比新法案生效更早发生。 欧盟司法专员维拉·朱罗娃(Vera Jourova)表示,这“再次提醒了我们,为什么欧盟推进现代数据保护规则是正确的。许多大型科技公司似乎并不希望进行公平竞争。”   稿源:网易科技,封面源自网络;

Google+存在泄密漏洞,谷歌悄悄修复后隐瞒了半年

网易科技讯 10月9日消息,据美国媒体报道,谷歌将遇到与Facebook一样的情况,Google+存在的安全漏洞允许第三方开发者访问用户资料,这种情况从2015年就出现,但谷歌直到今年三月才发现并修复,而且没有向外界公布。 当Google+的用户允许应用访问他们的公开资料时,这个漏洞也会允许应用开发者获取用户及用户朋友的非公开资料。事实上,谷歌透露有49万6951个用户的全名、电邮地址、生日、性别、照片、居住地、职业和婚姻状况都可能泄露,虽然没有证据显示可能访问了这些数据的438个应用滥用了数据。 内部备忘录显示,谷歌认为”可能导致我们成为关注焦点甚至替代Facebook,虽然后者一直未摆脱Cambridge Analytica丑闻困扰”,因此决定不向公众公开。现在已经被用户抛弃的Google+已然成为公司的累赘。 谷歌今日宣布改进措施,包括停止多数第三方开发者访问Android手机短信数据、通话记录和一些联系人信息。Gmail将只允许一小部分开发者开发扩展件。Google+将停止消费者服务,用户可在十个月内保存数据,谷歌今后将G+作为企业产品来关注。 谷歌还将改革Account Permissions制度,第三方应用访问用户数据时必须每次都要确认,而不是像现在一样确认一次就可访问所有数据。Gmail扩展件将只限于那些“直接增强邮件功能”,包括邮件客户端、备份、CRM、邮件合并和生产力工具。 谷歌承认,“这次评估确认了我们以前就知道的情况:虽然我们的工程团队这么多年在开发Google+上投入很多,但没有获得广泛的消费者或开发者认可,用户与应用的互动有限。消费者版Google+当前使用率和参与度很低: 90%的Google+用户会话不到五秒”。 由于此安全漏洞出现在2015年,而且直到今年三月才被发现,是在今年5月欧洲GDPR法规生效前,因此谷歌可能因未能在72小时内公布问题遭全球年营收2%的罚款。该公司还可能面临集体诉讼和公众批评。好的一面是,G+帖子和消息、谷歌账户数据和电话号码以及G Suite企业内容没有泄露。 由于谷歌刻意隐瞒问题,可能面临更糟糕的局面。这让人怀疑谷歌很多其他做法是否存在问题。 这次事件可能使谷歌与Facebook一样遭到严密审查,这是该公司所不愿看到的。谷歌曾努力摆脱与Facebook和Twitter一样的批评,因为声称自己不是真正的社交网络。但现在谷歌可能面临加强对其监管的呼声以及在国会作证的局面。   稿源:网易科技,封面源自网络;

苹果发布 iOS 12.0.1 更新修复绕过密码访问联系人漏洞

苹果公司今天凌晨发布了适用于 iPhone 和 iPad 的 iOS 12.0.1 更新,这是苹果自 9 月发布 iOS 12 和 iPhone XS 系列手机以来第一次对发现的 bug 进行修复。除了官方更新说明上的修复,还包括对iOS12绕过口令直接访问联系人和照片的安全漏洞的修复,该漏洞最早由Jose Rodriguez发现。 这个漏洞似乎影响了所有的 iPhone 机型,包括最新的 iPhone XS 和 iPhone XS Max——它们都能运行最新的软件,其中包括 iOS 12 和 iOS 12.1 的最新测试版。 需要明确的是,这个可以绕过 iPhone 密码的漏洞并不容易被利用。它需要通过复杂的 37 步过程,并且利用了 Siri 和 VoiceOver 辅助功能。当然,它还需要对设备进行物理访问,而且锁定屏幕上的 Siri 是启用的。 有趣的是,Face ID 需要被禁用,或者 TrueDepth 相机需要被物理覆盖以保证可以绕过 iPhone 密码。一旦使用了这个漏洞,攻击者就可以获得对用户联系人列表的完全未经身份验证的访问,该列表包括电话号码、电子邮件地址和联系人的其他数据。 iOS 12.0.1 包含 iPhone 或 iPad 的错误修复和改进。本更新: – 修复了部分 iPhone XS 设备连接闪电连接线后无法立即充电的问题 – 解决了可能导致 iPhone XS 系列设备重新加入 Wi-Fi 网络时使用 2.4GHz 而非 5GHz 的问题 – 修复了可能导致 iPhone XS 系列设备的键盘候选栏无法显示字符的问题 – 恢复了 iPad 键盘上“.?123”键的位置 – 修复了部分应用可能无法显示字幕的问题 – 解决了蓝牙可能无法使用的问题   稿源:cnBeta,封面源自网络;

Git 中的远程代码执行漏洞已被修复 多个工具受影响

据外媒 BleepingComputer 报道,Git 项目组于前两天公布了一个在 Git 命令行客户端、Git Desktop 和 Atom 中发现的任意代码执行漏洞,这是一个比较严重的安全漏洞,可能会使得恶意仓库在易受攻击的计算机上远程执行命令。 这个漏洞已被分配 CVE-2018-17456 这个唯一 ID,与之前的 CVE-2017-1000117 可选注入漏洞相似 —— 恶意仓库可以新建一个 .gitmodules 文件,其中包含以破折号开头的 URL。 通过破折号,当 Git 使用 –recurse-submodules 参数来克隆仓库时,该命令会将 URL 翻译为一个选项,然后可以使用该选项在计算机上进行远程代码执行。 当运行 “git clone –recurse-submodules” 时,Git 会解析 .gitmodules 文件中的 URL 字段,然后将其作为参数传递给 “git clone” 子进程。如果 URL 字段是一个字符串,并使用短划线开头,这个 “git clone” 子进程将会把 URL 翻译为一个选项。这可能导致用户运行 “git clone” 时,会执行 superproject 中的任意脚本。 下面通过一个例子进行说明,下面的漏洞使用了恶意的 .gitmodules 文件(注意 URL 如何以破折号开头),以使得 Git 认为这是一个选项。然后 “touch VULNERABLE/git@github.com:/timwr/test.git” 这条命令将会被执行。 [submodule "test"] path = test url = ssh://-oProxyCommand=touch VULNERABLE/git@github.com:/timwr/test.git 此漏洞已在 Git v2.19.1 (with backports in v2.14.5, v2.15.3, v2.16.5, v2.17.2, and v2.18.1), GitHub Desktop 1.4.2, Github Desktop 1.4.3-beta0, Atom 1.31.2 和 Atom 1.32.0-beta3 中得到修复。 Git 项目组强烈建议所有用户升级到最新版本的 Git client, Github Desktop 或 Atom,以免遭受恶意仓库的攻击。     稿源:开源中国,封面源自网络;

Facebook 发现安全漏洞:黑客可控制 5000 万用户账号

新浪科技讯 北京时间9月29日早间消息,Facebook周五宣布,该公司发现了一个安全漏洞,黑客可利用这个漏洞来获取信息,而这些信息原本可令黑客控制约5000万个用户账号。 Facebook CEO马克·扎克伯格(Mark Zuckerberg)称:“这是个非常严重的安全问题,我们正在非常认真地对待。” 在披露这一消息之前,Facebook股价已经下跌了1.5%左右,消息传出后进一步走低,到收盘时下跌2.59%报164.46美元,盘中一度触及162.56美元的低点。 Facebook发布博文称,该公司的工程团队发现,黑客在Facebook的“View As”功能中找到了一个代码漏洞。Facebook之所以能发现这个漏洞,是因为该公司在9月16日注意到用户活动大增。 View As功能可让用户看到他们自己的个人资料在Facebook平台其他用户眼中是怎样的,而此次发现的漏洞包含了三个不同的bug,黑客可利用这个漏洞获取“访问令牌”(access token),从而控制其他用户的账号。 近5000万个用户账号的“访问令牌”已被黑客获取,但Facebook已对其进行了重置。在过去一年时间里,Facebook还已对另外4000万个使用View As功能的用户账号的“访问令牌”进行了重置,以此作为预防措施。也就是说,Facebook总共已对9000万个用户账号进行了重置,在截至6月30日的22.3亿名Facebook活跃用户总数中所占比例约为4%。 在“访问令牌”被重置后,用户需在登录时重新输入密码,此外还将在“信息流”(News Feed)中收到通知说明。 另外,Facebook还将暂时关闭View As功能,将对其安全性进行审查。Facebook在美国当地时间周四晚上称其已经修复了这个漏洞,并已通知美国联邦调查局(FBI)和爱尔兰数据保护委员会(Irish Data Protection Commission)等执法机关,目的是解决任何有关一般数据保护条例(GDPR)的问题。 Facebook称,用户没必要更改密码。如果有更多账号受到影响,则Facebook将马上对其“访问令牌”进行重置。Facebook重申,该公司将把致力于改进安全性的员工人数从1万人增加至2万人。 扎克伯格表示:“安全问题是场军备竞赛,我们正在继续改善自己的防御能力。”   稿源:新浪科技,封面源自网络;

研究发现 83% 的家庭路由器都容易受到攻击

美国消费者协会发布的一项研究发现,在186个家用路由器的样本中,83%的家庭路由器由于其固件中存在已知漏洞而遭受安全攻击。该研究使用Insignary的Clarity扫描并检测路由器固件中的潜在漏洞,发现每个样本路由器容易受到平均172次攻击,对186个路由器采样总共发现32003个漏洞。 更令人担忧的是,在所有发现存在安全风险的路由器当中,有28%存在严重和高风险的漏洞,平均有36个高风险和12个关键攻击媒介。这一点非常重要,因为与中低级别的弱点相比,关键和高风险的安全漏洞更容易被利用,并且损害程度也会显着增加。 据赛门铁克的互联网安全威胁报告显示,仅在2017年,物联网攻击的数量就增加了600%,家庭路由器占到所有检测事件的33.6%。暴露于高风险或严重漏洞的所有物联网设备和路由器都很容易受到攻击者的攻击,这可能导致数据丢失甚至被盗身份。 该研究表示:Wi-Fi路由器制造商忽略了针对已知漏洞更新其固件的问题,而这个问题对于其他物联网设备来说可能更为普遍。当这些安全漏洞发生时,黑客可能会非常容易地利用固件进行恶意攻击。   稿源:cnBeta,封面源自网络;