分类: 漏洞事件

刚发布就出问题 新 macOS 零日漏洞或导致用户数据泄露

凤凰网科技讯 据科技博客AppleInsider北京时间9月25日报道,苹果公司今天向全球用户推送了最新macOS Mojave系统。但是,一位安全研究人员称,新系统包含一个安全保护执行漏洞,可能会导致个人用户数据泄露。 安全公司Digita Security首席研究员帕克里克·瓦德里(Patrick Wardle)对这个明显漏洞进行了介绍。他指出,该漏洞会允许一款无特殊权限的应用绕过系统内建的系统级权限,获取特定应用的用户信息。瓦德里已披露了大量与苹果相关的安全问题,最近的一个是热门Mac应用Adware Doctor秘密记录用户信息。 在今年6月举行的全球开发者大会上,苹果推出了一组增强版macOS安全功能,要求用户向其他人使用选定的应用和硬件提供明确许可。具体来说,用户需要就Mac摄像头、麦克风、邮件历史、消息、Safari等信息的访问提供授权。 瓦德里向Twitter上传了一段短视频,演示了如何绕过其中的至少一个保护机制。他先是利用终端尝试访问和复制联系人,结果失败,这是在苹果安全机制防护下的一个预料之中的结果。接着,瓦德里又运行了一个无特殊权限的应用,名称为“入侵Mojave”(breakMojave),寻找和访问Mac的通讯录。 在成功访问后,瓦德里能够运行一个目录命令,查看私人文件夹里的所有文件,包括元数据和图片。瓦德里在接受采访时称,这次演示并不是绕过增强后权限的“通用方法”,但是可以用于在用户登录macOS后获取受保护的数据。就其本身而言,它不大可能对多数用户造成重大问题,但是可能会在特定情况下引发麻烦。 他并未公布这个漏洞的细节以保护公众,但表示他演示这一漏洞为了吸引苹果的注意,因为该公司并没有为Mac设立漏洞奖励机制。 苹果在2016年推出了iOS漏洞奖励计划,对安全启动固件部分相关的漏洞最高奖励20万美元。不过,苹果并未为Mac设立一个类似的奖励机制。随着这一漏洞的公开,苹果肯定会询问漏洞细节,并在下一个更新中打上补丁。   稿源:凤凰网科技,作者:箫雨,封面源自网络;

比特币软件被曝 DoS 漏洞:开发者紧急修补

新浪科技讯 北京时间9月20日午间消息,比特币软件被曝存在一个严重漏洞,导致开发者周二紧急商讨,并发布修复方案。 这个漏洞是一个DoS漏洞,修复方案已经通过Bitcoin Core 0.16.3发出。如果这个漏洞被黑客利用,就有可能去掉节点,最糟糕的情况甚至会导致相当一部分网络暂时崩溃。 但并非所有人都有能力利用这个漏洞。只有矿机可以通过加倍投入交易并将其注入到区块中才能实现。 然而,即便真要尝试这种攻击方式,矿机也会丢失区块奖励,按照目前的价格计算,大约相当于7.5万美元。 这个漏洞出现在Bitcoin Core 0.14.0中,该软件2071年3月首次推出,但直到两天前才被发现。正因如此,开发者才紧急采取行动,并在24小时内推出解决方案。 幸运的是,多数比特币持有人目前都不必采取任何措施。开发者强调称,“存储的”比特币没有风险。但却会影响到那些使用Lightning网络的比特币,这是一种正在开发的交易层,目的是加快交易速度、降低交易成本。 不过,由于该漏洞可能危及整个网络,所以开发者还是强烈建议运行所谓“全节点”来存储比特币完整交易历史的用户对软件进行升级。   稿源:新浪科技,封面源自网络;

GovPayNet 凭证系统存在漏洞 1400 万交易记录被曝光

GovPayNet是总部位于美国印第安納波利斯市(Indianapolis)的私营企业,为美国35个州的2300多个美国政府机构提供在线支付服务。根据最新信息,自2012年以来大概有1400万条包含收据信息的记录被泄露。据安全研究员Brian Krebs报道,公司网站GovPayNow.com允许任意人访问收据数据,其中包括法院下达的罚款、保释金以及交通罚款等等。 美国用户在完成付款处理之后,GovPayNow.com就会发出确认收款的数字收据,而用户可以通过修改不同的ID来轻松访问其他用户的收据信息。Krebs实际演示中,通过简单地修改收据URL中的ID数字,就能轻松访问GovPayNet支付系统中的任意凭证,包括收据所有者的全名、居住地址、手机号码以及交易所使用行用卡的后四位数字。 在发现安全问题后,研究人员向GovPayNet发出了关于该问题的警报,并在两天后收到答复,确认他发现的“潜在问题”已得到解决。“目前没有迹象表明有黑客利用任何不正当访问的信息来伤害任何客户,收据中不包含可用于启动金融交易的信息。”   稿源:cnBeta,封面源自网络;

新漏洞允许黑客访问处于睡眠模式的电脑

互联网安全公司F-Secure发现了一个新漏洞,几乎影响到每台电脑。新发现的漏洞可能允许黑客在电脑进入睡眠状态时访问加密的硬盘。F-Secure在博客文章中分享了有关漏洞的详细信息。他们透露,“最现代化的电脑”固件存在一个问题,它可能让攻击者通过新的冷启动攻击来窃取加密密钥以及笔记本电脑的所有数据。然而,好消息是,攻击无法远程执行,需要物理访问设备。 这两位专家想出了一种通过物理操作电脑硬件来进行攻击方法。使用一个简单的工具,Olle和Pasi学会了如何重写包含这些设置的非易失性存储器芯片,禁用内存覆盖,并启用从外部设备启动。然后可以通过从USB记忆棒启动特殊程序来执行冷启动攻击。 F-Secure还指出,由于它需要访问和操纵硬件,所有品牌都受到漏洞的影响。F-Secure已经通知了包括戴尔,苹果,联想和微软在内的所有供应商。然而,Apple声称配备T2芯片的MacBook不受此漏洞的影响。 F-Secure还于2018年9月13日发布了Sec-T会议。该公司建议用户在漏洞修复之前不要让他们的设备处于睡眠状态。   稿源:cnBeta,封面源自网络;

视频监控出现新漏洞:黑客可以让监控摄像头失灵

新浪科技讯 北京时间9月18日早间消息,安全公司Tenable的研究人员近日披露了一项涉及安全摄像头和监控设备的“零日漏洞”,编号为CVE-2018-1149,代号“Peekaboo”。攻击者可以利用这个漏洞,通过远程方式在视频监控系统软件上执行代码。 具体来说,攻击者可以利用这个漏洞浏览、篡改视频监控记录等信息,还可以窃取机密数据,比如凭证、IP地址、端口使用情况、监控设备的型号。攻击者甚至可以让摄像头等监控设备完全失灵。 这些漏洞的主要原因在于一款名为“Nuuo”的视频监控管理软件上。这款软件为客户提供视频监控系统,很多机场、银行、政府机构、居民区都在使用。因此漏洞的影响范围极广。 Tenable已经将漏洞报告给Nuuo软件公司,公司正在制作补丁。Tenable目前推出一个插件,机构可以利用插件检测设备是否会受到Peekaboo的影响。   稿源:新浪科技,封面源自网络;

微软和苹果浏览器漏洞:不改变地址即可改变网页内容

新浪科技讯 北京时间9月12日早间消息,据美国科技媒体The Register报道,安全研究人员发现Edge和Safari浏览器存在漏洞,恶意者可以利用漏洞发起攻击,在不改变地址的情况下改变网页内容。 安全研究人员拉菲·巴罗奇(Rafay Baloch)指出,微软已经用补丁修复漏洞,不过苹果行动迟缓,所以目前Safari仍然不安全。 通过漏洞,攻击者可以加载合法页面,让网页地址在地址栏显示,然后快速将页面内的代码转换为恶意代码,地址栏中的URL地址无需改变。这样一来,攻击者可以创建虚假登录屏幕或者其它表格,收集用户名、密码及其它数据,用户很难区分真假,他们会认为自己登录的页面是真实的。 浏览器的源码是封闭的,巴罗奇不清楚Edge和Safari存在该漏洞,但Chrome和火狐没有的原因。照他的猜测,浏览器决定何时显示页面地址可能是问题的关键。巴罗奇说:“不同的浏览器处理导航的手法并不一样,当页面正在加载时,Safari、Edge浏览器允许代码更新。浏览器可以允许地址栏在页面完全加载之后更新一次,这样就可以解决问题了。” 微软目前已经修复漏洞。6月2日巴罗奇向苹果提交报告,至今还没有修复。按照惯例有90天的时间窗口,巴罗奇说他会披露漏洞,但是在苹果发布补丁之前不会公开代码。   稿源:新浪科技,封面源自网络;

特斯拉门锁存在安全漏洞 黑客盗取汽车只需数秒钟

凤凰网科技讯 据The Verge北京时间9月11日报道,比利时鲁汶大学的研究人员发现一种欺骗特斯拉无钥匙进入系统的方法。黑客只需与车主擦肩而过、复制其密钥,数秒钟时间就能轻松盗窃特斯拉电动汽车。 这种攻击特别重要,因为特斯拉是无钥匙进入系统概念的先驱,目前这一系统已经被大多数豪华汽车所采用。 这一攻击似乎只适用于6月份前交付的Model S车型,特斯拉上周发布的补丁软件已经修正了相关漏洞。更重要的是,特斯拉增添了新的安全选项,汽车在启动前用户需要输入PIN密码。 值得指出的是,特斯拉汽车已经具备相当的防盗能力,因为即使汽车被盗后,一直开启的GPS系统通常使车主能实时了解汽车的位置。 这类攻击造成汽车安全业界恐慌已经不是第一次。多年来,大众一直面临Megamos系统中一处安全漏洞的困扰,该漏洞使得黑客能模拟车主的遥控钥匙,打开车门。 防范这类攻击的最有效的方法,是特斯拉目前已经采取的措施:采用强大的加密技术防止信号被解密。但是,加密强度会受制于遥控钥匙有限的处理能力。   稿源:凤凰网科技,编译:霜叶,封面源自网络;

黑客利用 Excel 文档来执行 ChainShot 恶意软件攻击

针对近日曝光的 Adobe Flash 零日漏洞(CVE-2018-5002),已经出现了一款名叫 CHAINSHOT 的恶意软件攻击。其利用微软 Excel 文件包含的微型 Shockwave Flash ActiveX 对象、以及一个所谓的“电影”的 URL 链接,忽悠人们去下载 Flash 应用程序。研究人员攻破了其采用的 512-bit RSA 密钥,从而揭开了它的神秘面纱。 恶意 Shockwave Flash ActiveX 对象属性 研究人员发现,该 Flash 应用程序其实是一个混淆的下载器: 进程会在内存中创建一个随机的 512-bit RSA 密钥对,将私钥保留在内存中、并将公钥发送到攻击者的服务器,以加密 AES 密钥(用于加密有效负载)。 之后将加密的有效负载和现有的私钥发送到下载程序,以解密128位AES密钥和有效负载。Palo Alto Networks Unit 42 的研究人员破解了加密,并分享了他们的破解方法。 尽管私钥仅保留在内存中,但公钥的模数 n 被发送到了攻击者的服务器。 在服务器端,模数与硬编码指数 e 0x10001 一起使用,以加密此前用于加密漏洞和 shellcode 有效载荷的128-bit AES 密钥。 揭秘 shellcode 有效载荷的 HTTP POST 请求(其模数 n 为十六进制) 一旦研究人员解密了 128-bit AES 密钥,就能够解密有效负载。 获得 RWE 权限之后,执行就会传递给 shellcode,然后在内部加载一个名为 FirstStageDropper.dll 的嵌入式 DLL 。 最后,研究人员分享了感染指征(Indicators of Compromise): Adobe Flash Downloader 189f707cecff924bc2324e91653d68829ea55069bc4590f497e3a34fa15e155c Adobe Flash Exploit(CVE-2018-5002) 3e8cc2b30ece9adc96b0a9f626aefa4a88017b2f6b916146a3bbd0f99ce1e497     稿源:cnBeta,封面源自网络;  

Chrome 中存在 Wi-Fi 漏洞,谷歌原本并不打算修复

网络安全和渗透测试咨询公司 SureCloud 的研究人员发现谷歌 Chrome 和 Opera 浏览器存在漏洞,可使 Wi-Fi 受到攻击。 研究人员表示,基于 Chrome 内核的浏览器可以保存 Wi-Fi 中路由器管理页面凭据并自动重新输入,以方便用户使用,而由于大多数家用路由器不使用加密通信进行后台管理,这使得研究人员能够利用这种自动凭证重新登录,达到窃取路由器登录凭据并使用它们捕获 Wi-Fi 密码(PSK)的目的。研究人员还提供了一段漏洞利用的演示视频:https://youtu.be/YW0drHztgJY 这个漏洞适用于任何基于 Chrome 内核 Chromium 的浏览器,例如 Chrome、Opera、Slimjet 与 Torch 等,通过明文 HTTP 提供管理页面的任何路由器都会受到此问题的影响。 研究人员早在 3 月 2 日就向 Google 的 Chromium 项目披露了该漏洞,但 Chromium 回复称浏览器功能按设计工作,并且不打算修复。 “安全性和便利性之间始终存在权衡,但我们的研究清楚地表明,存储登录凭据的 Web 浏览器中的功能正在使数以百万计的家庭和企业网络受到攻击“,SureCloud 的网络安全实践总监 Luke Potter 说:“我们认为这个设计问题需要在受影响的 Web 浏览器中修复,以防止漏洞被利用,造成用户损失。”对于谷歌不修复该漏洞的回复,他们也没办法。 而最新消息是,在前两天推出的 Chrome 69 中,谷歌已经修复了该漏洞。   稿源:开源中国,封面源自网络;

网络协议分析神器 Wireshark 曝严重漏洞,可崩溃系统

据报道,Wireshark 团队修补了许多可能被利用来强制系统崩溃和 DoS 的严重漏洞。 在思科提供的分析报告中,其表示,CVE-2018-16056、CVE-2018-16057 和 CVE-2018-16058 这三个漏洞有可能对运行版本 2.6.0 到 2.6.2、2.4.0 到 2.4.8 和 2.2.0 到 2.2.16 Wireshark 的用户造成严重干扰。第一个漏洞 CVE-2018-16056 是 Wireshark 的蓝牙属性协议(ATT)解析器组件中存在的漏洞。Wireshark 的 epan/dissectors/packet-btatt.c 源代码文件不验证是否存在特定通用唯一标识符(UUID)的解析器,允许未经身份验证的远程攻击者将精心制作的数据包发送到网络中,从而导致组件崩溃。此外,攻击者可以欺骗用户打开格式错误的数据包,从而导致同样的后果。 第二个漏洞 CVE-2018-16057 是 Wireshark 的 Radiotap 解析器组件中的安全漏洞。组件的源文件中没有足够的绑定检查,可以通过使用格式错误的数据包来利用它,未经身份验证的远程攻击者可以利用此安全漏洞在目标系统上导致 DoS。 另一个漏洞 CVE-2018-16058 是在 Wireshark 音频/视频分发传输协议(AVDTP)解析器中找到的。epan/dissectors/packet-btavdtp.c 源代码文件不正确地初始化数据结构,导致恶意数据包利用系统并造成系统崩溃。 目前已经向公众发布了概念验证(PoC)代码,演示了如何利用这些安全漏洞。 Wireshark 团队承认存在这些安全漏洞,并已发布软件更新解决了问题。Wireshark 的用户应将其软件版本更新到版本 2.6.3、2.4.9、2.2.17 或更高版本,以保护自己免受漏洞利用的风险。   稿源:开源中国,封面源自网络;