分类: 漏洞事件

因严重 IE 漏洞 微软再为已停止支持的 Windows 7 发布安全更新

Windows 7和IE浏览器都已经于上月停止支持,但由于最新曝光的严重IE漏洞微软决定再次为Windows 7系统提供安全补丁。在发现了一个被黑客广泛使用的JavaScript引擎漏洞之后,微软决定为所有IE 9之前的旧版浏览器提供安全更新。 CVE-2020-0674公告中写道: 这个远程代码执行漏洞存在于IE浏览器处理脚本引擎对象的内存中。该漏洞可能以一种攻击者可以在当前用户的上下文中执行任意代码的方式来破坏内存。成功利用此漏洞的攻击者可以获得与当前用户相同的用户权限。 如果当前用户使用管理用户权限登录,则成功利用此漏洞的攻击者可以控制受影响的系统。然后,攻击者可能会安装程序。查看,更改或删除数据;或创建具有完全用户权限的新帐户。 在网络攻击情境中,攻击者可能会制作专门利用该IE漏洞的特制网站,然后诱使用户查看该网站。攻击者能够访问托管在IE渲染引擎上的应用或者微软Office办公文档中嵌入标记为“初始化安全”的ActiveX控件。攻击者还可能利用受感染的网站,接受或托管用户提供的内容或广告。这些网站可能包含可以利用此漏洞的特制内容。 该漏洞利用可以通过任何可承载HTML的应用程序(例如文档或PDF)来触发,并且在Windows 7、8.1和10上具有“严重”等级,并且目前正被黑客广泛使用。 Microsoft将发布针对所有这些操作系统以及Windows Server 2008、2012和2019的补丁程序。   (稿源:cnBeta,封面源自网络。)

Word Press 插件存在漏洞 黑客可获得管理员权限

Word Press插件Theme Grill Demo Importer的漏洞被修复,影响将近20万个网站,该插件可以利用漏洞清除网站数据库并获得管理员权限。管理员可对演示内容等进行内部设置。 网络安全公司Web ARX研究人员近期发现:该插件的1.3.4到1.6.1版本受一个关键漏洞影响,漏洞可允许未经身份验证的攻击者擦除Word Press网站的整个数据库,而该公司研究人员发现该漏洞已经存在三年。 据了解,该插件存在的漏洞会导致数据库进行默认设置和数据填充,如果数据库中包含名为“admin”的用户,攻击者则利用漏洞会以管理员身份自动登录。 此外,Web ARX的首席执行官Oliver Sild 表示:并非所有安装了Theme Grill Demo Importer的Word Press网站都容易受到攻击,若想要利用该漏洞,必须安装使用插件。他们公司会提供漏洞检测和虚拟补丁软件,以保护网站免受第三方组件漏洞的攻击,也可利用Theme Grill漏洞实现自动化。 该漏洞已于2月6日报告给Theme Grill开发人员,并于2月16日通过1.6.2版进行了修补。   消息来源:securityweek, 译者:dengdeng,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

IOTA 加密货币在钱包漏洞被利用后关闭整个网络

IOTA 不是基于区块链而是基于有向非循环图这一数学概念的加密货币,它诞生于比特币最为火热的 2017 年。上周,在得知黑客正利用官方钱包应用漏洞窃取用户资金之后,管理 IOTA 的基金会关闭了整个加密货币网络。 攻击发生在 2 月 12 日,IOTA 基金会在收到报告 25 分钟内关闭了用于批准交易的最后一个节点 Coordinator,阻止黑客窃取用户资金,但事实上也关闭了整个网络。攻击者被认为针对了 10 个高价值的用户,利用官方钱包应用 Trinity 的漏洞窃取资金。据非官方消息称,有大约价值 160 万美元的 IOTA 币被窃取。IOTA 团队在周日发布了 1.4 版本,修复了被利用的漏洞。目前网络仍然下线,开发者正在敲定补救计划。   (稿源:solidot,封面源自网络。)

谷歌警示三星:修改 Android 内核代码行为会暴露更多漏洞

Google Project Zero (GPZ)团队近日向三星发出警告,表示后者在Galaxy系列手机中修改内核代码的行为将会暴露更多的安全BUG。GPZ研究员Jann Horn表示,以三星为代表的多家智能手机厂商通过添加下游自定义驱动的方式,直接硬件访问Android的Linux内核会创建更多的漏洞,导致现存于Linux内核的多项安全功能失效。 Horn表示这个问题是在三星Galaxy A50的Android内核中发现的。不过他表示,这种情况在Android手机厂商中非常普遍。也就是说,这些厂商向Linux Kernel中添加未经上游(upstream)内核开发者审核的下游(downstream)代码,增加了与内存损坏有关的安全性错误。 即使这些下游定制旨在增加设备的安全性,它们也会引入安全性错误。谷歌于2019年11月向三星报告了该漏洞,随后在今年2月面向Galaxy系列手机的更新中修复了这个问题。 该错误影响了三星的PROCA(过程验证器)安全子系统。三星在其安全网站上将漏洞SVE-2019-16132描述为中等问题。它允许在运行Android 9和Android 10操作系统的某些Galaxy智能手机上“可能执行任意代码”。 Horn解释说:“Android通过锁定可以访问设备驱动程序的进程(通常是特定于供应商的)来减少此类代码对安全性的影响。”一个例子是,较新的Android手机通过专用的帮助程序来访问硬件,这些帮助程序在Android中统称为硬件抽象层(HAL)。 不过Horn表示,手机厂商通过修改Linux Kernel核心部分的工作方式,这破坏了“锁定攻击面”上做出的努力。Horn建议智能手机制造商使用Linux中已经存在的直接硬件访问功能,而不是更改内核代码。例如,PROCA旨在阻止已获得对内核的读写访问权限的攻击者,但三星需要花费工程时间来阻止攻击者首先获得该访问权限。   (稿源:cnBeta,封面源自网络。)

MIT:区块链投票系统 Voatz 存在漏洞 易受攻击

麻省理工学院工程师团队的最新研究发现,在名为Voatz的区块链投票系统中存在一系列令人震惊的漏洞。对Voatz的Android应用程序进行反向工程后,研究人员得出结论称,通过入侵选民手机,攻击者几乎可以随意观察、压制和更改选票。该论文称,网络攻击还可能揭示给定用户在哪里投票,并可能在此过程中压制投票。 研究人员说,最令人不安的是,破坏了管理Voatz API的服务器的攻击者甚至可以在投票到来时更改选票,这在理论上应该可以防止分布式分类账的威胁。 研究人员得出结论称:“鉴于本文所讨论的失败的严重性,缺乏透明度,选民隐私的风险以及攻击的琐碎性质,我们建议放弃将这个应用程序用于高风险选举的任何近期计划。” Voatz的基于区块链的投票项目旨在替代缺席选票,安全研究人员对此表示怀疑,但许多科技界人士表示了浓厚兴趣,其获得了超过900万美元的风险投资。在Voatz系统下,用户将通过应用程序远程投票,并通过手机的面部识别系统验证身份。 Voatz已经在美国的一些次要选举中使用,在2018年西弗吉尼亚选举中收集了150多张选票。 Voatz 在博客文章中对MIT的发现提出了质疑,称该研究方法存在“错误”。该公司的主要抱怨是,研究人员正在测试Voatz客户端软件的过时版本,并且没有尝试连接到Voatz服务器本身。博客文章写道:“这种有缺陷的方法使关于其破坏整个系统能力的任何主张无效。” Voatz的高管在与记者的电话中辩称,服务器端保护将阻止受感染的设备通过身份验证进入更广泛的系统。Voatz首席执行官Nimit Sawhney说道:“他们的所有主张都基于这样的想法,因为他们能够破坏设备,因此能够破坏服务器。而这个假设是完全错误的。” Voatz还强调了允许选民和选举官员事后核实选票的措施。该公司产品负责人Hilary Braseth说道:“使用Voatz提交的每张选票都会产生纸质选票,使用Voatz的每位选民一旦提交,都会收到一张选票。” 到目前为止,这些解释并没有使安全专家印象深刻。 约翰·霍普金斯密码学家Matthew Green在Twitter上指出:“设备只是将票发送到服务器。服务器可能会将它们放在区块链上,但是如果设备或服务器受到威胁,这将无济于事。Voatz需要解释他们如何处理这个问题。” Voatz还在博文中指出了其正在进行的漏洞赏金计划和定期的代码审查,以证明该应用程序具有强大的安全性-但有些研究人员可能不同意。去年10月,该公司因FBI转介事件而备受抨击,消息人士告诉CNN该事件起源于密歇根大学的选举安全课程。其他人则批评了Voatz的赏金计划对研究人员来说是繁重且敌对的,这可能解释了为什么麻省理工学院的研究人员没有参加其中。 总体而言,这仍然不是第一次提出有关Voatz或区块链投票的安全问题。11月,参议员Ron Wyden(D-OR)写信给五角大楼,提出对Voatz安全性的担忧,并要求对该应用程序进行全面审核。该请求最终被推迟。Wyden在一份声明中说道:“网络安全专家已经明确表明,互联网投票是不安全的。现在距离共和党人结束选举安全禁令和让国会通过整个选举系统的强制性安全标准已经过去了很长时间。”   (稿源:cnBeta,封面源自网络。)

WhatsApp 桌面客户端曝出远程文件访问和代码执行漏洞

Facebook 刚刚修复了 WhatsApp 桌面平台中一个严重的安全漏洞,消除了允许攻击者从 Windows / Mac 上的本地文件系统中读取文件、甚至远程代码执行的隐患。该漏洞由安全研究人员 Gal Weizman 和 PerimeterX 共同发现,美国国家标准技术研究所(NIST)评估的严重等级为 8.2 。 早在 2017 年的时候,研究人员就已经发现过可更改他人回复文字的问题。Weizman 意识到,他可以利用富媒体制作以假乱真的消息,将目标重定向到他指定的位置。 安全研究人员进一步证实了此事,可以利用 JavaScript 达成一键式持久性跨站脚本攻击(XSS)。 最终绕过 WhatsApp 的 CPS 规则来增强攻击能力,甚至实现远程代码执行 经过一番挖掘,研究人员意识到这一切都是可行的。因为 Facebook 提供的 WhatsApp 桌面应用程序版本,正式基于过时的 Chrome 69 版本。 问题在 Chrome 78 正式推出时曝光,早几个版本中使用的 javascript 技俩的功能已得到修补。 若 WhatsApp 将其 Electron Web 应用程序从 4.1.4 更新到发现此漏洞时的最新版本(7.x.x),那 XSS 也将不复存在。 Facebook 表示,CVE-2019-18426 漏洞影响 0.3.9309 之前的 WhatsApp 桌面客户端、以及 2.20.10 之前的 iPhone 客户端。 有关漏洞的详情,还请移步至 Weizman 的 PerimeterX 博客文章中查看。   (稿源:cnBeta,封面源自网络。)  

安全人员发现以色列政府 DNS 服务器存在 Open SSH 安全漏洞

安全研究人员Eitan Caspi最近检查了gov.il子域的HTTPS站点是否有安全问题,结果他在以色列政府DNS服务器上发现了一个开放的Open SSH访问。 使用Qualys开发的在线SSL检查器,Eitan Caspi分析了服务器上的SSL配置,最终在端口22上收到来自其中一个被检查IP的答复。 SSH使用端口22,该服务允许管理员连接到Linux服务器,Caspi说开放访问允许他尝试登录。 Eitan Caspi在当天将这一发现发送给以色列国家认证中心,十分钟后,Eitan Caspi还设法联系了以色列政府信息技术部门资深人士,并将详细情况告知了相关问题。根据Eitan Caspi透露,几个小时后,端口被关闭,通道被封锁。 但是,经过进一步分析,他发现该服务器使用了一个OpenSSH旧版本,该版本以包含多个漏洞而闻名。该服务器运行的是OpenSSH 7.4p1,该版本于2016年12月发布,因此已经存在三年多了。从那时起,OpenSSH发行了多个版本和针对各种安全问题的一系列安全修复程序,现在服务器中可能没有安装这些更新版本和修复程序。   (稿源:cnBeta,封面源自网络。)

Sudo 出现可让非特权用户获得 root 权限的漏洞

Sudo 维护团队指出,从 Sudo 1.7.1 到 1.8.25p1 都包含一项可让非特权用户获得 root 权限的漏洞(编号 CVE-2019-18634),他们已在最新发布的 1.8.31 版本中完成修复,同时提供了暂时缓解的方法。Sudo 1.7.1 于2009年4月19日发布,因此该漏洞已存在大约 10 年。 另外,1.8.26 到 1.8.30 版本也发现存在 CVE-2019-18634 漏洞,但 1.8.26 版本发布时曾变更 EOF(end of file)处理的设定,致使该漏洞无法被利用。 Sudo 是 UNIX 和 Linux 操作系统广泛使用的工具,它让系统管理员给普通用户分配合理的权限,以执行一些只有管理员或其他特定帐号才能完成的任务。此次被发现的高危漏洞在启用了 pwfeedback 选项的系统中很容易被利用,根据漏洞的描述,pwfeedback 功能让系统能够以 ‘*’ 表示目前输入的字符长度,原意是一项提升安全性的功能,但安全研究员 Joe Vennix 发现系统启用 pwfeedback 功能后,用户可能会触发基于堆栈的缓冲区溢出 bug,从而获得 root 权限。 虽然在 sudo 的上游版本中默认情况下未启用 pwfeedback,但某些下游发行版,例如 Linux Mint 和 elementary OS 在其默认 sudoers 文件中启用了它(Ubuntu 不受影响)。 具有 sudo 特权的用户可以通过运行以下命令来检查是否启用了 pwfeedback: 如果在”Matching Defaults entries”输出中列出了 pwfeedback,则 sudoers 配置将受到影响。如下所示的 sudoers 配置就很容易受到攻击: $sudo -lMatchingDefaults entries for millert on linux-build:insults,pwfeedback, mail_badpass, mailerpath=/usr/sbin/sendmailUsermillert may run the following commands on linux-build:(ALL : ALL) ALL 最后,建议受影响的系统尽快将 sudo 升级至最新版本 1.8.31。如果没条件升级到新版本,在启用了 pwfeedback 的 sudoer 配置文件里,将“Defaults pwfeedback”改成“Defaults !pwfeedback”,也能有效阻止攻击。   (稿源:开源中国,封面源自网络。)

Facebook 修复了 WhatsApp 中的漏洞,阻止黑客访问用户本地文件系统

Facebook 解决了 WhatsApp 中的一个严重漏洞(CVE-2019-18426),黑客可能利用该漏洞读取macOS 和Windows 操作系统的用户文件。 根据Facebook发布的安全公告,与iPhone端WhatsApp搭配使用时,WhatsApp Desktop中的一个漏洞允许跨站点脚本编写和本地文件读取。用户单击特制文字消息中的链接预览将会触发此漏洞。   Weizman在WhatsApp的内容安全策略(CSP)中发现了一个漏洞,使得黑客可以对进行跨站点脚本攻击(XSS),后续还发现黑客还可以利用此漏洞获得Windows和macOS 上WhatsApp应用文件的读取权限。 专家写道: “如果您运行的应用是易受攻击的旧版本,该漏洞将有可能对您造成不良影响。” “关于如何使用fetch()API,例如,可以从本地操作系统读取文件,例如本例中的C:\ Windows \ System32 \ drivers \ etc \ hosts文件的内容,” 该漏洞可能使黑客在消息中注入恶意代码和链接,这些消息和链接对于受害者是完全透明的。   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Sudo 漏洞允许非特权 Linux 和 macOS 用户以 root 身份运行命令

苹果的安全专家Joe Vennix发现了一个漏洞(CVE-2019-18634),它允许非特权Linux和macOS用户以root身份运行命令。 此漏洞仅能在特殊配置下利用。 仅当“pwfeedback”选项已在sudo配置文件中启用时才能利用该漏洞。root的 pwfeedback 选项允许在用户输入密码时提供视觉反馈。 专家指出,即使用户不在用户文件中也可以触发此漏洞。 “无需获得 root 权限即可触发此漏洞,只需启用 pwfeedback 即可。” sudo 开发人员 Todd C. Miller 写道。 “在输入密码时,可以通过管道大量输入sudo进行复现。例如:” $ perl -e 'print(("A" x 100 . "\x{00}") x 50)' | sudo -S id Password: Segmentation fault 造成此漏洞的原因有两个: 从终端设备以外的其他设备读取时一般不会忽略pwfeedback选项。由于缺少终端,因此行擦除字符的版本始终为初始值0。 如果存在写错误,擦除星号行的代码将无法正确重置缓冲区位置,但是会重置剩余的缓冲区长度。这将导致getln()函数写到缓冲区以外。” 如果启用了该选项,可以在用户配置文件中将“Defaults pwfeedback” 改为 “Defaults !pwfeedback” 。 sudo 维护人员发布了 root 的 1.8.31版本。 “虽然 sudo 的1.8.26到1.8.30版本中也有逻辑错误,但是由于1.8.26之后的版本对EOF处理进行了改动,所以无法利用漏洞。”Miller解释道。 在2019年10月,Vennix 发现了一个Sudo绕过问题,即使“sudo用户配置”不允许进行root访问,恶意用户或恶意程序仍然可以在目标Linux系统上以root用户身份执行任意命令。   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接