分类: 漏洞事件

美国土安全局官员透露手机存安全漏洞 数百万美国用户受影响

本周在拉斯维加斯召开的Black Hat峰会上,国土安全部官员Vincent Sritapan向新闻机构Fifth Domain透露:当前智能手机中存在安全漏洞。报道称该漏洞涉及美国四大通信运营商(Verizon,AT&T,T-Mobile和Sprint),数百万美国智能手机用户受到影响。 具体表现在黑客可以通过这些漏洞可以在用户不知情的情况下访问用户的电子邮件、短信等等。 Kryptowire是一家由美国国土安全部投资的移动安全公司,公司近期研究发现了这些漏洞。 Kryptowire创始人Angelos Stavrou在接受Fifth Domain采访时候表示:“可以在用户不知情的情况下对个人发起攻击。早在今年2月份就已经向设备厂商发送了通知,不过依然有部分制造商没有公开补丁进程,因此开发人员不确认设备制造商是否已经修复。”   稿源:cnBeta,封面源自网络;

GitHub 推出 Python 安全警告,识别依赖包的安全漏洞

GitHub 宣布了 Python 安全警告,使 Python 用户可以访问依赖图,并在他们的库所依赖的包存在安全漏洞时收到警告。 安全警告首次发布是在 2017 年 10 月,为了跟踪 Ruby 和 JavaScript 程序包中的安全漏洞。据 GitHub 介绍,从那时起,数以百万计的漏洞被发现,推动了许多补丁的发布。 GitHub 会根据 MITRE 的公共漏洞列表(CVE)来跟踪 Ruby gems、NPM 和Python 程序包中的公共安全漏洞。CVE 是一个条目列表;每个条目都包含一个标识号、一段描述以及至少一项公共参考。这非常有助于促使管理员快速响应、通过移除易受攻击的依赖或迁移到安全版本来修复漏洞。 当 GitHub 收到新发布的漏洞通知,它就会扫描公共库(已经选择加入的私有库也会被扫描)。当发现漏洞时,就会向受影响的库的所有者和有管理员权限的用户发送安全警告。在默认情况下,用户每周都会收到一封邮件,其中包含多达 10 个库的安全警告。用户也可以自己选择通过电子邮件、每日摘要电子邮件、Web 通知或 GitHub 用户界面来接收安全警告。用户可以在通知设置页面调整通知频率。 在某些情况下,对于发现的每个漏洞,GitHub 会尝试使用机器学习提供修复建议。针对易受攻击的依赖的安全警告包含一个安全级别和一个指向项目受影响文件的链接,如果有的话,它还会提供 CVE 记录的链接和修复建议。通用漏洞评分系统(CVSS)定义了四种可能的等级,分别是低、中、高和严重。 据 GitHub 介绍,开始的时候,安全警告只会涵盖最新的漏洞,并在接下来的数周内添加更多 Python 历史漏洞。此外,GitHub 永远不会公开披露任何库中发现的漏洞。 依赖图列出了项目的所有依赖,用户可以从中看出安全警告影响的项目。要查看依赖图,在项目中点击 Insights,然后点击 Dependency graph。 要在 Python 项目中使用依赖图,需要在 requirements.txt 或 pipfile.lock 文件中定义项目依赖。GitHub 强烈建议用户在 requirements.txt 文件中定义依赖。 要了解更多信息,请查看 GitHub文档。   稿源:开源中国社区,封面源自网络;

美国国会立法:强制科技公司披露旗下软件被审查事项

新浪科技讯 北京时间 8 月 2 日上午消息,美国国会正向总统唐纳德·特朗普提出一项立法,即要求科技公司披露其是否允许其它国家检查出售给美国军方的软件内部运作情况。 该立法为五角大楼支出法案的一部分。去年路透社一名调查人员发现软件制造商允许俄罗斯国防机构寻找一些美国政府机构(包括五角大楼和情报机构等)所使用的软件中的漏洞。这件事发生之后,政府即起草了该法案。 法案的最终版本上周通过众议院批准后又于周三以 87-10 的投票获得参议院的通过。特朗普签字后这项支出法案即可生效。一旦生效,这项法律将强制美国和国外的科技公司向五角大楼披露相关信息,即他们是否允许网络对手(如俄罗斯等)调查出售给美国军方的软件。 公司将被要求解决国外源代码审查所带来的任何安全风险,直至五角大楼满意,否则将失去合同。 安全专家表示允许俄罗斯当局调查软件的内部运作情况,即源代码,可以帮助莫斯科方面发现他们可以加以利用来攻击美国政府系统的漏洞。 新的法规由新罕布什尔州民主党参议院珍妮·沙辛(Jeanne Shaheen)起草。“这一强制披露只是个开头,也是减少联邦并购过程中的关键安全漏洞的必要一步,”沙辛在邮件中写道。“国防部和其他联邦机构必须了解国外源代码的风险暴露以及其他可能使我们国家安全系统易受攻击的风险性商业行为。” 该立法还创建了一个可允许其他政府机构进行搜索的数据库,其中罗列了受其它国家检查且五角大楼认为存在网络安全风险的软件。 法律规定公开记录请求可以搜索该数据库,对一个可能涵盖公司机密的系统来说这个做法很不寻常。 行业组织软件联盟的政策高级主管汤米·罗斯(Tommy Ross)称,软件公司十分担心这样的立法可能迫使公司在美国和国外市场之间做出选择。他说,“我们观察这样一个全球担忧趋势,关注网络威胁的公司普遍认为减少风险的最佳操作就是减少海外市场。” 一名五角大楼女发言人拒绝予以置评。 路透社去年的调查发现,为了进入俄罗斯市场,包括惠普、SAP 和迈克菲在内的科技公司都允许俄罗斯国防机构搜索软件源代码查找漏洞。而在大多数情况下,这些软件公司并未通知美国机构相关事项。另外,在多数情况下,采购专家表示,美国军方在采购软件之前并不要求类似的源代码审查。 迈克菲去年宣布公司不再允许政府审核源代码。惠普也表示目前没有软件需要走这一流程。SAP 未对该立法作出评论回应。惠普和迈克菲拒绝进一步评论。       稿源:新浪科技,封面源自网络;

蓝牙加密配对漏洞曝光:请速更新操作系统或驱动程序

据外媒报道,最近曝出的一个加密错误(Crypto Bug),对苹果、博通、英特尔、高通等硬件供应商的蓝牙实施和操作系统程序都产生了较大的影响。其原因是支持蓝牙的设备无法充分验证“安全”蓝牙连接期间使用的加密参数。更准确的说法是,配对设备不能充分验证用在 Diffie-Hellman 密钥交换期间,生成公钥的椭圆曲线参数。 该 bug 导致了弱配对,使得远程攻击者有机会获得设备使用的加密密钥,并恢复在“安全”蓝牙连接中配对的两个设备之间发送的数据。 以色列理工学院的科学家 Lior Neumann 和 Eli Biham 发现了该漏洞: 其追溯编号为 CVE-2018-5383,可知蓝牙标准的‘安全简单配对’过程和低功耗蓝牙(Bluetooth LE)的‘安全连接’配对过程都受到了影响。 计算机应急响应小组(CERT / CC)昨晚发布了一份安全通报,其中包含了针对该漏洞的如下说明: 蓝牙利用基于椭圆曲线 Diffie-Hellman(ECDH)的密钥交换配对机制,实现设备之间的加密通信。ECDH 的密钥对,由私钥和公钥组成。且需交换公钥,以产生共享配对密钥。 此外,设备还必须统一所使用的椭圆曲线参数。然而之前涉及‘无效曲线攻击’的工作表明,ECDH 参数在用于计算结果和共享密钥之前,并不总会经过验证。 这样可以减少攻击者获取受攻击设备私钥的工作量 —— 如果在计算被分享的密钥前,并未部署验证所有参数的话。 在某些实施方法中,椭圆曲线参数并非全部由加密算法实现验证。 这使得无线范围内的远程攻击者们,可以通过注入无效的公钥,从而高概率地确定会话密钥。然后这些攻击者可以被动地拦截和解密所有设备信息,或者伪造和注入恶意消息。 苹果、博通、英特尔和高通公司,已经确认蓝牙实施和操作系统驱动程序层面都受到了影响。 万幸的是,前三家公司已经发布了针对该漏洞的修补程序。至于高通,该公司发言人在一封致 Bleeping Computer 的电子邮件中称,他们也已经部署了修复程序。 CERT / CC 专家尚未确定 Android / Google 设备、或者 Linux 内核是否也受到了影响。不过微软表示,自家设备并未受到本次 Crypto Bug 的影响。 负责监督蓝牙标准发展的 SIG 也发表了一份声明: 为了使攻击成功,攻击设备需要处于两个易受攻击的蓝牙设备的无线范围内。如果只有一方设备存在漏洞,则攻击不会得逞。 此外攻击设备需要通过阻止每一次的传输、向发送设备确认,然后在窄时间窗口内将恶意数据包注入接收设备,才能拦截公钥交换。 SIG 表示,该组织已经更新了官方的蓝牙规范,要求所有配对设备验证用于基于密钥的加密蓝牙连接的所有参数,即便当前暂无野外攻击的报道。 至于 CVE-2018-5383 的补丁,将通过操作系统或驱动程序的更新(面向台式机、笔记本电脑、智能手机),或者通过固件来实现(面向物联网 / 智能设备)。   稿源:cnBeta,封面源自网络;

英特尔管理引擎修复多个安全漏洞

Chipzilla近期公布了英特尔管理引擎(Intel ME)的更多安全更新。根据发布的多个公告,共计修复了四个漏洞。Positive Technologies详细介绍了这些BUG,其中编号为CVE-2018-3628的“HTTP handler的缓冲区溢出”问题最为严重。 身处相同网络子网上的攻击者可以在Active Management Technology (AMT)环境中执行任意代码,不需要管理员权限就能访问AMT账号。这使得恶意攻击者能够完全远程控制计算机。 CVE-2018-3629是另一个缓冲区溢出漏洞,CVE-2018-3632是一个内存损坏错误,只有管理员权限的本地攻击者才能利用。CVE-2018-3627同样需要管理员权限,这是Intel Converged Security Management Engine 11.x中存在的逻辑错误,可以运行任意恶意代码。   稿源:cnBeta,封面源自网络;

Red Hat发布RHEL 7/CentOS 7内核更新 修复数据连接丢失BUG

Red Hat和CentOS社区本周宣布,面向Red Hat Enterprise Linux(RHEL) 7和CentOS Linux 7操作系统推出全新的内核更新来修复一个严重的BUG。之前在解决Spectre V4安全漏洞而发布的Linux内核更新中,RHEL 7.5和CentOS Linux 7.5被发现存在一个错误,连接追踪信息无法正常工作,导致连接丢失以及关于连接追踪相关的配置属性泄露到其他域名空间内的情况。 Red Hat在安全公告中写道:“此前,转发到另一个网络空间数据包的连接追踪信息并未正确清除。即使在新的域名空间内,这些数据包会标记旧域名空间的‘NOTRACK’,从而在新的域名空间中被排除连接追踪。因此根据网络域名空间的数据包过滤规则集,偶尔会发生数据接连丢失的情况。” 在RHEL 7系列最新版本中,Red Hat修复了这个问题。这些版本涵盖Red Hat Enterprise Linux 7 Desktop, Workstation and Server editions, Red Hat Enterprise Linux 7 for IBM z Systems, IBM System z (Structure A), POWER Big Endian, POWER Little Endian, ARM64, POWER 9, as well as Red Hat Enterprise Linux EUS Compute Node 7.5以及Red Hat Enterprise Linux for Scientific Computing 7。   稿源:cnBeta,封面源自网络;

Chrome浏览器加固修复幽灵漏洞:内存占用将多出13%

数据显示,Chrome(Chromium内核)浏览器的全球用户量已经超过了10亿,牢牢占据No.1。 不过,Chrome早年一直背负着一个“槽点”,那就是内存占用量高,谷歌为此还做过针对性的优化。 据外媒报道,谷歌本周宣布Chrome浏览器实现了对Spectre(幽灵)漏洞的修复,这个旁路攻击漏洞来自处理器底层,影响包括Intel、AMD甚至ARM平台的大量芯片。 之所以浏览器也要加固是因为漏洞的执行依赖恶意代码加载到本地,而上网传播是最简单直接的方法。 修复了当然是好事,但谷歌软件工程师Charlie Reis确认,这种修复操作将在大型负载下多占用10~13%的运行内存。对于4GB以下的客户来说,绝非一件好事。 据悉,Windows、Mac包括Chrome OS平台的Chrome都在此次“修复”之列。   稿源:快科技,封面源自网络;

Facebook 漏洞泄露私密群组成员信息:目前已被修复

新浪科技讯 北京时间7月13日早间消息,Facebook日前修复了一个隐私漏洞。此前通过该漏洞,第三方可以获知私密、封闭群组成员的名字。之前Facebook还曾出现一个漏洞,通过Chrome插件,营销人员可以大规模收集信息,这个插件目前也被关闭。 Facebook平台有一个私密群组,里面都是女性,她们因为基因突变存在很高的乳腺癌患病风险。此前群组成员向Facebook投诉说,她们的名字有可能曝光并公开,导致保险商区别对待,还可能侵犯其它隐私。 不过Facebook新闻发言人却说,关闭查看封闭群组成员信息这一功能与该团体的投诉没有关系,决定是基于几个因素做出的。 Facebook代表接受CNET采访时强调说:“虽然我们最近对封闭群组进行调整,但它并不是隐私漏洞。”   稿源:新浪科技,封面源自网络;

幽灵安全漏洞 Spectre1.1 新变种曝光 源于投机执行与缓冲区溢出

来自麻省理工的 Vladimir Kiriansky 和咨询公司 Carl Waldspurger 的两位安全研究人员,刚刚发布了一篇揭露臭名昭著的“幽灵”(Spectre)安全漏洞新变种的论文,因其会产生投机性的缓冲区溢出。论文中,两人解释了他们新发现的这个变种(Spectre 1.1 / CVE-2018-3693)可以如何攻击和防御。 对于处理器厂商来说,年初被曝光的该漏洞、以及后续陆续出现的多个其它变种,着实令业界感到头疼。而最新的 Spectre 1.1 漏洞,则利用了投机性的缓冲区溢出。 与经典的缓冲区溢出安全漏洞类似,Spectre 1.1 又被称作‘边界检查绕过存储’(简称 BCBS),将其与最原始的投机性执行攻击区分开来。 研究人员考虑将新变种归于 Spectre V1 家族的一个微小版本: 其在投机性执行窗口中使用了相同的开口(即有条件分支投机),但 Spectre 1.1 还是影响了数十亿的现代处理器(波及 Intel 和 AMD)。 研究人员称,预测缓冲区溢出使得本地攻击者可以在脆弱的系统上执行任意不受信任的代码。 通过边际信道分析(side-channel analysis)和投机缓冲区溢出(speculative buffer overflow),它可利用微处理器的投机性执行和分支预测来暴露敏感信息。 通过直接或重定向控制流,数据值攻击可以绕过一些 Spectre-v1 的缓解补丁。 控制流攻击允许任意投机代码的执行,它可以绕过栅栏指令和此前所有针对预测执行攻击的软件补救措施。 更可怕的是,研究人员还指出了所谓的 Spectre 1.2 漏洞! 作为幽灵漏洞的另一个小变体,其影响那些不会强行读/写保护和依赖于懒惰的 PTE 强制执行的处理器。 在一场 Spectre 1.2 攻击中,被允许的投机存储可覆写只读的数据、代码指针、以及代码元数据: 其包括 vtables、GOT / IAT、以及控制流缓解元数据,结果就是依赖于只读存储器的硬件执行沙箱都被无效化了。 研究人员已经在英特尔 x86 和 ARM 处理器上验证了 Spectre 1.1 和 Spectre 1.2 攻击: 对于 Spectre 1.1,推荐采取 SLoth 家族微架构缓解方案。对于芯片制造商来说,可在未来的处理器上部署所谓的‘流氓数据缓存存储’保护特性。 尽管研究人员认为通过处理器微代码更新即可完全缓解 Spectre 1.1 漏洞,但英特尔还是建议用户和操作系统供应商部署安全补丁,以应对在可预见的将来会出现的一些新变种。   稿源:cnBeta,封面源自网络;

Intel 推出季度安全更新计划:首波 13 个补丁含幽灵变种

Intel的处理器也要开始定期打补丁了?Intel在美东时间周二发布了为应对潜在安全风险的缓解措施,共计13项。包括针对Spectre v1(幽灵漏洞,绕过边界存储)变体的补丁以及本地用户可以从内存泄露中读出BIOS和管理员密码的BUG(CVE-2017-5704,影响4~7代酷睿平台)等。 幽灵v1的变体是首次公开,允许恶意代码在Intel计算机上利用推测执行来潜在地改变函数,并将其他线程中返回的地址通报给被劫持的应用程序。 TheReg确认,这是Intel季度安全补丁的第一次集中发布,也就是说,Intel今后将按照季度为单位,集中进行安全补丁的释放操作,看起来非常像是“好队友”微软的Patch Tuesday(周二补丁日,即每个月的第二个周二进行系统补丁更新)。 当然,考虑到消费者很少有直接从Intel官网下载“补丁”的习惯,Intel的安全更新更多是联合合作伙伴一道发行。报道称,主板、OEM厂商在3月份就拿到Intel的这波补丁了,此间一直在进行部署测试。 年初,幽灵(Spectre)和熔断(Meltdown)漏洞在业内引发轩然大波,其中又以Intel产品“受伤最深”。 Intel推出季度安全更新计划一方面是为解决像幽灵这样底层级别漏洞的变体攻击,另外也是他们对安全问题采取新重视态度的表现。   稿源:快科技,封面源自网络;