分类: 漏洞事件

因“芯片门”英特尔目前正面临 32 起集体诉讼

去年年底爆发的 Meltdown(熔断)和 Spectre(幽灵)两大 CPU 漏洞仍在持续发酵,作为受影响最严重的处理器厂商英特尔无疑时刻处于风口浪尖上。公司在积极联合 Google、Canonical、微软、苹果等公司部署修复补丁的同时,还面临用户的诉讼赔偿。根据英特尔公司近期提交给美国证券交易委员会的文件披露,目前公司正面临 32 起集体诉讼。 这 32 起诉讼包括 30 起集体诉讼以及 2 起证券集体诉讼。集体诉讼人通常认为英特尔披露的漏洞知识存在误导,而且相关的补救措施对性能产生了负面影响。 英特尔在文档中写到:“证券集体诉讼原告主要代表在 2017 年 7 月 27 日至 2018 年 1 月 4 日期间购入英特尔股票的用户”,并称英特尔和某些官员违反证券法,违规发布了关于英特尔产品和内部控制的说明,让投资者认为这些安全漏洞是虚假或者存在误导性的。 不过英特尔方面对所有主张提出了异议,并打算积极的参与诉讼。不过公司也表示目前并没有评估这些集体诉讼对公司的财务影响。此外,有三名股东声称英特尔的一些董事和官员存在内幕交易,但是英特尔目前并没有置评。 稿源:cnBeta,封面源自网络

联想解决 Broadcom 芯片组关键缺陷,涉至少 25 款 ThinkPad 设备

外媒 2 月 10 日消息,根据联想发布的安全建议,Broadcom 芯片组中的两个关键漏洞至少影响了 25 款 ThinkPad 设备。远程攻击者可以利用这些漏洞在目标系统的适配器(而不是系统的 CPU)上执行任意代码。目前联想表示已在其产品中修复了这些漏洞,并敦促用户及时更新。 CVE-2017-11120:内存破坏漏洞 攻击者可利用该漏洞在目标设备上执行代码并建立后门程序。 联想警告称, 24 款 ThinkPad 机型存在该种缺陷,这些机型都有一个共同特点:它们都使用了 Broadcom 的 BCM4356 无线局域网驱动程序。 CVE-2017-11121:缓冲区溢出漏洞 该漏洞是由于对 Wi-Fi 信号进行不正确的验证而导致的。据研究专家介绍,精心制作的恶意无线快速转换帧可能会触发内部 Wi-Fi 固件堆栈和者堆栈溢出,从而导致出现拒绝服务等情况。目前联想已修复该漏洞,并敦促用户为其 ThinkPad 更新 Wi-Fi 驱动程序。 有关专家认为联想 ThinkPad 设备的这两个漏洞是非常关键的,因此将其评定为 CVSS 10 分。 受影响的型号有 ThinkPad 10、ThinkPad L460、ThinkPad P50s、ThinkPad T460、ThinkPad T460p、ThinkPad T460s、ThinkPad T560、ThinkPad X260 和 ThinkPad Yoga 260。 漏洞相关报告: CVE-2017-11120 细节 CVE-2017-11121 细节 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

Adobe Flash曝零日漏洞 微软紧急发补丁

Adobe Flash 曾经是互联网的功臣,但不适应时代发展的它正在被放弃,只不过安全问题依然很严重,无论 Adobe 还是微软都不得不随时为它更新维护。今天,微软发布了一个编号 KB4074595 的新补丁,专门用于修复 Adobe Flash Player 中的最新 0-day 零日漏洞。 该漏洞存在于 Adobe Flash Player 28.0.0.161 之前的版本中,能让攻击者通过网络或邮件传播包含恶意Flash内容的Office文档,获得系统控制权、执行任意代码。 操作系统方面,除了 Windows 7 之外所有版本都受影响。 据韩国计算机紧急响应团队披露,这个漏洞至少从 2017 年 11 月中旬就被发现了,而且韩国已有人利用此漏洞发起攻击,主要针对与韩国与朝鲜合作的研究部门。 Adobe 也确认已经知晓此漏洞攻击,并建议用户立即升级最新版本 Flash Player 或者更新补丁。 稿源:cnBeta、快科技,封面源自网络

Hotspot Shield VPN 产品被曝安全漏洞,或泄漏用户敏感信息

外媒 2 月 7 日消息,独立安全研究员 Paulos Yibelo 上个月发现,一款名为 Hotspot Shield (热点盾)的 VPN 产品存在一个严重的安全漏洞,可能会泄露用户的敏感信息(如 Wi-Fi 网络名称 、真实 IP 地址等)。据 Yibelo 称,该漏洞允许未经身份验证的请求访问本地 Web 服务器托管的 JSONP 端点,从而获取有关 Hotspot Shield 服务的敏感信息(其中包括其配置详细信息)。 Hotspot Shield 由 AnchorFree 公司开发,是一项在 Google Play Store 和 Apple Mac App Store 上免费提供的 VPN 服务,在全球拥有超过 5 亿的用户量。Hotspot Shield 一直主打保护用户所有的在线活动,承诺隐藏用户的 IP 地址和身份,并使用加密通道传输互联网和浏览流量来保护用户免于跟踪。 Paulos Yibelo 声称他已向 AnchorFree 报告了该漏洞(被指定为 CVE-2018-6460), 并且还发布了一个概念验证代码(PoC)来证实该漏洞的可利用性。 尽管 Yibelo 声称该 PoC 能够获得 Hotspot Shield 用户的真实 IP 地址,不过 AnchorFree 的发言人针对该言论进行了否认。 AnchorFree 表示虽然该漏洞的确存在,但不会泄露任何用户的真实  IP 地址或者个人信息。值得注意的是,AnchorFree 发表的声明中提到了该漏洞可能会暴露一些通用信息(如用户所在的国家)。 除了泄露信息之外,Yibelo 认为攻击者还可以利用此漏洞实现远程代码执行,不过目前并无确实证据。 消息来源:Thehackernews,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

为解决 ASA 设备严重漏洞,思科再次发布安全更新

前情提要:思科( Cisco )于 1 月 29 日发布了一个补丁程序,旨在修复影响 ASA ( 自适应安全设备 )的一个严重漏洞 (CVE-2018-0101)。根据思科发布的安全公告显示,该漏洞驻留在设备的 SSL VPN 功能中(解决远程用户访问敏感数据最简单最安全的解决技术),可能会允许未经身份验证的攻击者在受影响的设备上远程执行代码。 据外媒 2 月 8 日消息,在思科发布了补丁后,其研究人员发现该漏洞还会引起拒绝服务的情况出现,可能会对 ASA 平台造成一定影响。为此,思科于近期再次发布了一个安全更新。 虽然目前并未发现有任何与该漏洞有关的恶意行为,但思科在其安全公告中指出,为了成功利用该漏洞,攻击者必须将特制的XML文件发送到易受攻击的接口,因此对于客户来说,升级到固定的软件版本是非常重要的。  目前该漏洞影响了思科近十几种产品,如以下列表: — 3000 系列工业安全设备( ISA ) — ASA 5500 系列自适应安全设备 — ASA 5500-X 系列下一代防火墙 — 适用于 Cisco Catalyst 6500 系列交换机和 Cisco 7600 系列路由器的 ASA 服务模块 — ASA 1000V 云防火墙 — 自适应安全虚拟设备(ASAv) — Firepower 2100 系列安全设备 — Firepower 4110 安全设备 — Firepower 9300 ASA 安全模块 — Firepower 威胁防御软件( FTD ) 相关阅读: 思科被曝 VPN 高危漏洞,工业安全设备、防火墙等多款产品受影响 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

NSA 泄露的黑客工具被改良,适用于 Windows 2000 之后的所有版本

去年,黑客组织 Shadow Brokers 公布了美国国家安全局 NSA 的内部黑客工具和漏洞利用代码,包括三大工具 EternalChampion、EternalRomance 和 EternalSynergy,近日一位安全研究人员 Sean Dillon(RiskSense)  改良了这三大黑客工具的源代码,使其适用于 Windows 2000 之后 20 年间的所有微软操作系统,包括 32 位和 64 位版本。 Sean Dillon 网名为 @zerosum0x0 在推特上演示了改良后的代码在一个开源渗透测试框架 Metasploit Framework 的测试结果。测试结果显示,改良后的代码利用了 CVE-2017-0143 和 CVE-2017-0146 漏洞,在渗透框架中巨量未打补丁的 Windows 系统版本均可以被漏洞影响。zerosum0x0 还表示将尽快在 GitHub 上释出可执行的代码 稿源:cnBeta,封面源自网络

Twitter 用户称 Amazon Key 漏洞将导致摄像头和门锁无法正常使用

 Amazon Key 是亚马逊公司针对是 Prime 用户推出的一个项目,通过在用户家中安装监控摄像头和电子锁,这样亚马逊送货员就可以将货物放在用户的家中,而不是在门外。然而近日 Rhino 安全实验室透露可能通过从远程计算机对网络执行 DDoS 攻击来使摄像头无法正常使用。 这个漏洞不仅暂停了视频画面,还使电子锁无法正常使用。然而,亚马逊低估了这个漏洞的严重性。现在,一个独立的安全 “ 爱好者 ” 通过 Twitter 账号 MG 揭示了一个攻击者(非送货员)可能如何利用该系统。他称物理硬件为 “ Break&Enter dropbox ” ,并用他自己的 Amazon Key 设置在视频中演示了攻击。 简而言之,攻击者隐藏目标门附近的设备。硬件将以某种方式干扰锁定机制,也可能是摄像头。当送货员带着包裹并使用密码进入时,dropbox 防止门再次被锁。 MG 没有透露机制如何工作的细节,但表示在目前版本的亚马逊软件下它是有用的。 亚马逊公司发言人 Kristen Kish 向 TechSpot 提供了关于黑客入侵行为的以下陈述: “ 这不是一个真实世界的交付场景,因为用于室内交付的交付应用技术内置的安全功能没有被用于演示中,当使用相关技术时,安全措施已经到位:我们的系统监视器 1 )门只在短时间内打开,2 )与摄像头的通信和锁不会中断,3 )门可以安全地重新上锁,司机在没有实际检查门锁的情况下不会离开。而且服务的每个方面都建立了安全性。” Kish 声称,MG 演示中使用的软件是客户使用的软件,与亚马逊送货员使用的软件不一样。她还指出,司机在交货期间采取了几个步骤,包括检查,以确保交货后门已上锁。 亚马逊希望向主要客户保证,由于他们已有的对策,他们面临这种攻击的风险非常小。 稿源:cnBeta,封面源自网络;

Grammarly 漏洞曝光:任意网站可访问用户隐私文档数据

总部位于加州旧金山的 Grammarly 近日宣布已修复了公司所属 Chrome 扩展中存在的安全漏洞,该漏洞允许黑客访问包括隐私文档和数据在内的用户账号信息。 Google Project Zero 项目团队的安全专家 Tavis Ormandy 发现了这个 “ 高危 ” 漏洞,表示这款浏览器扩展能够向所有网站曝光用户的令牌信息。这意味着任意网站能够访问用户的文档、访问历史、日志以及其他数据信息。 Ormandy 表示:“ 我认为这是一个高危安全 BUG,因为这严重违反了用户预期。用户并不希望所访问的网站具备访问文档或者其他数据的权限。” 在概念证明代码中,他解释了如何用四行代码来触发这个 BUG。 Grammarly 是一款国外厂商开发的语法检查应用,提供了网页版、 Mac 版和 Windows 版。如果你使用 Windows,Grammarly 还提供了 Word 插件,下载后可以在 Word 内部调用插件直接检查语法错误。 Grammarly 可以实现实时语法检查,你边写它就边改,语法问题和修改意见会以标注的形式显示在文档的右侧,方便你去一一查看,而且在每条批注下面都会配有详细的解释,告诉你哪里错了,为什么要这样修改。 稿源:cnBeta,封面源自网络;

西部数据(WD)My Cloud 网络存储设备存在本地提权漏洞

外媒 2 月 3 日消息,安全服务供应商 Trustwave 发现西部数码( Western Digital ) My Cloud 网络存储设备中的两个安全漏洞可能会被本地攻击者利用来获得 NAS 设备的 root 权限。 据 Trustwave 的研究人员介绍, 西部数码 My Cloud 的这两个缺陷一个是任意命令执行漏洞,另一个则是任意文件删除漏洞。 任意命令执行漏洞 该漏洞会影响公共网关接口脚本 “ nas_sharing.cgi ”,从而导致本地用户可以以 root 身份执行 shell 命令。另外,研究人员还发现硬编码凭证能够允许任何用户使用用户名“ mydlinkBRionyg ” 对设备进行身份验证。 任意的文件删除漏洞 该漏洞也与公共网关接口脚本 “ nas_sharing.cgi ” 绑定,以便于攻击者获得 root 权限。 链接这两个漏洞后,攻击者能以 root 身份执行 shell 命令:通过使用硬编码凭证登录,并以 base64 编码执行 “ artist ”参数内传递的命令 。 目前受漏洞影响的 西部数码My Cloud 网络存储设备型号包括: My Cloud Gen 2、My Cloud PR2100、My Cloud PR4100、My Cloud EX2 Ultra、My Cloud EX2、My Cloud EX4、My Cloud EX2100、My Cloud EX4100、My Cloud DL2100 和 My Cloud DL4100。 其实早在去年,安全服务供应商 Trustwave 就已向西部数码公司报告了这些问题,并且 Western Digital 方面也做出了补救措施。据悉,该公司在 2017 年 11 月 16 日发布的固件(版本 2.30.172 )更新中解决了漏洞问题。此外,Western Digital 还建议用户: — 确保产品上的固件始终处于最新状态; — 启用自动更新; — 实现良好的数据保护措施,如定期数据备份和密码保护,包括在使用个人云或网络附加存储设备时保护路由器。 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

CODESYS WebVisu 产品现高危漏洞,或对关键基础设施构成严重威胁

外媒 2 月 2 日消息,Istury IOT 的安全研究员在 3S-Smart Software Solutions 的 CODESYS WebVisu 产品的 Web 服务器组件中发现了一个基于堆栈的缓冲区溢出漏洞,允许用户在 web 浏览器中查看可编程逻辑控制器( PLC )的人机界面( HMI )。据研究人员介绍,攻击者可以通过远程触发该漏洞来引发拒绝服务( DoS ),并且某些情况下实现在 Web 服务器上执行任意代码。这一漏洞能够导致大量 ICS (“ 工业控制系统 ”) 产品受到影响,或对关键基础设施构成严重威胁。 WebVisu 产品目前在许多供应商(其中包括施耐德电气、日立、研华、伯格霍夫自动化、汉斯图尔克和新汉)的 116 个 PLC 和 HMI 中使用。 有关专家将该漏洞追踪为 CVE-2018-5440,并为其分配了高达 9.8 的 CVSS 分数。 根据专家的说法,这个漏洞会影响所有基于 Microsoft Windows(也是 WinCE )的 CODESYS V2.3 Web 服务器,这些服务器可以独立运行,也可以作为 CODESYS 系统的一部分运行( V1.1.9.19 之前)。 更糟糕的是,研究人员认为该漏洞很容易被攻击者利用,不过目前并没有具体在野攻击案例。 通过 shodan 查询 CODESYS 协议使用的 2455 端口,可发现超过 5600 个系统被暴露于公网,多数位于美国、德国、土耳其以及中国。 CODESYS 公司方面表示已发布了 CODESYS 网络服务器 V.1.1.9.19 的 CODESYS V2.3 来解决这个漏洞,并且相关厂商还建议用户限制对于“控制器”的访问、同时使用防火墙和 VPNs 控制访问。 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。