分类: 漏洞事件

微软警告黑客组织 Fancy Bear 正试图利用物联网设备漏洞

微软威胁情报中心报道称,俄罗斯黑客组织 Fancy Bear 一直试图利用 VoIP 电话和打印机等物联网设备,对企业网络展开渗透。外界普遍猜测,该组织拥有俄罗斯官方背景,又名 Strontium Group 或 APT 28 。该组织已成功地在 50 多个不同的国家 / 地区,感染了超过 50 万台消费级路由器。 (题图 via MSPU) 今年 4 月,黑客试图将企业的物联网设备作为目标,借助这些“跳板”来渗透规格更大、安全措施更严格的企业网络。 三起事件中的两件,归咎于物联网设备使用了默认的出厂设置。另一件则是设备使用了过时的固件,其中包含了已知的漏洞。 获得物联网设备的访问权限后,攻击者会进一步破坏网络上其它易受攻击的设备和节点。 通过简单的扫描,该组织可在企业内网畅通无阻地移动,寻找获得更高级别账户的访问权限,以窃取高价值的数据。 此外,黑客可执行“tcpdump”,以发现本地子网上的网络流量。幸运的是,袭击事件被迅速扼杀在了萌芽状态。 在调查结束后,我们已于所涉特定设备的制造商分享了这些信息,希望它们能够借此来探索其产品的全新保护措施。   物联网设备制造商需要对安全威胁保持更广泛的关注,了解此类威胁类型的组织和安全团队,以提供更好的企业支持和监控功能,让技术团队更轻松地保障网络安全。 据悉,同一黑客组织还与针对民主党全国委员会(DNC)、法国 TV5 Monde 电视台、以及德国外交部等机构的攻击事件有关。 安全研究人员指出,该组织还攻击了正在调查与俄方有关的网络犯罪事件的调查人员的电子邮件账户,比如 Skripal 中毒和马航 MH17 空难事件的调查者。 显然,这些未遂攻击的揭露,是微软对行业需加强物联网设备安全性的最新警告,否则后续攻击事件还会接踵而至。   (稿源:cnBeta,封面源自网络。)

网站漏洞导致超过 2000 名参与报道 E3 的记者个人信息泄漏

在参与报道了全球最大的视频游戏大会E3之后,由于组织方系统存在的安全漏洞导致大量记者的个人联系信息被公开曝光。在报告中称目前已经有超过2000人受到影响,除了各大新闻机构和媒体的记者、编辑之外,还有YouTube和Twitch等视频网站上的网红主播,以及高盛、IMDb和其他公司的工作人员。 本周六E3游戏展的组织方Entertainment Software Association(简称ESA)向这些受影响的记者发出了电子邮件警告,而这些记者都通过官方渠道注册参与了今年6月在洛杉矶会议中心举办的游戏大展,并获得了新闻报道证书。 在发送给记者的电子邮件中写道:“我们为ESA会员和参展商在一个密码保护的参展商网站上提供了媒体列表,方便用户联系媒体进行报道,以及更好地传播参展方的展示内容。而在过去20多年来一直没有问题。” 在发现这个问题之后,ESA在本周五已经发布告示称参展商网站存在缺陷,导致记者和媒体名单公布于众,随后ESA立即关闭了这个网站。 YouTuber Sophia Narwitz早些时候报道了这个漏洞并注意到她已经联系了ESA,它说可以通过点击公共E3网站页面上标有“注册媒体列表”的链接来下载一份包含联系人列表的电子表格。 她表示在这份名单中还包括了私人的住址信息,任何以新闻或内容创作者身份出席E3的人都可能受到影响。 ESA表示对此事件感到遗憾,并已采取措施确保不再发生这种情况。   (稿源:cnBeta,封面源自网络。)

本田汽车云端数据库未设密码 全球员工信息险遭泄露

新浪科技讯 8月1日下午消息,据台湾地区科技媒体报道,安全研究人员发现,日本汽车大厂本田汽车(Honda Motor)一个包含全球所有员工信息的数据库,由于未设密码很可能会被人一览无余。在接到通报之后,本田已经修补了相关漏洞。 7月初,安全研究人员Justin Paine在网络上发现本田汽车一个未设密码的ElasticSearch数据库,似乎是本田汽车在全球所有员工电脑的库存管理数据库。这个数据库今年3月中旬才上线,但至今累积的数据量高达40GB,包含约1.34亿份文件。 经过检查,这批陷遭暴露的数据包括几乎所有本田电脑相关信息。其中一个表格包含员工电子邮件、部门名称、本田机器主机名称、MAC位置、内网IP、操作系统版本,另一个表格则有员工姓名、部门、员工编号、帐号、手机号码及最近登录时间。研究人员甚至发现本田CEO的完整电子邮件、全名、MAC位置、Windows操作系统版本、IP及设备类型。 另外,本田公司的电脑用了哪家终端安全软件,哪些机器已安装、哪些有更新版本及哪些没有没有更新版本也一目了然。为避免成为黑客的下手目标,研究人员并未提及厂商名称。 研究人员通知本田后,后者已于当天封闭漏洞。本田表示,经过追查系统日志,未发现有任何遭到第三方人士下载的迹象,目前也没有数据外泄的证据。本田表示已做好相关强化,确保未来不会重蹈覆辙。   (稿源:新浪科技,封面源自网络。)

Wind River 修复了 VxWorks 实时操作系统的 11 个重大安全漏洞

平时人们总能听到有关 Windows 和 Android 操作系统的漏洞报告,iOS 和 Linux 则要少一些。不过本文要为大家介绍的,则是 VxWorks 实时操作系统(RTOS)曝出的 11 个严重的零日漏洞。RTOS 被广泛应用于行业内的关键计算机系统上,此次曝出的大型安全漏洞,很可能引发灾难性的后果。 (题图 via SlashGear) 报道称,过去 13 年里,这些设备已存在不少于 11 个零日漏洞。遗憾的是,由于 RTOS 设备属于电子设备领域的沉默工作者,媒体并没有对其加以广泛的关注。 举个例子,RTOS 软件驱动着从调制解调器、电梯、乃至核磁共振(MRI)扫描仪等在内的各种机器。而 VxWorks 的客户名单,涵盖了 Xerox、NEC、三星、理光等知名企业。 物联网安全研究机构 Armis 将这些漏洞统称为 URGENT / 11,以敦促行业尽快更新机器的 RTOS 系统。其中六个比较严重的漏洞,或赋予攻击者远程代码执行的权限。 另外五个漏洞没有这样致命,但也可以在没有用户交互的情况下,授予攻击者相应的访问权限。讽刺的是,它们甚至可以绕过 VxWorks 自带的防火墙和 NAT 等安全设备。 视频:https://player.youku.com/embed/XNDI5NjAwOTAyNA==  (via URGENT11 Explained) 尽管 GRGENT / 11 的名字看起来有些平淡,但 Armis 还是希望业界能打起 12 分精神。研究人员提出了三种潜在的攻击方式,称威胁可来自内部或外部网络,另一项甚至威胁到了网络本身的安全措施。 Armis 表示,URGENT / 11 对工业和医疗保健行业造成了最大的风险,因其广泛使用运行 VxWorks 的设备。 好消息是,Wind River 已在 7 月 19 日发布的补丁中进行了修复。坏消息是,使用 RTOS 的设备,并不能简单地执行应用软件更新。   (稿源:cnBeta,封面源自网络。)

Telegram 修复了针对用户账户的语音信箱劫持漏洞

即时通讯服务 Telegram 在周末发布了修复程序,以防止黑客滥用语音邮件账户、获得对其它用户账户的访问权限。过去几个月,巴西的千余名 Telegram 用户一直在受到所谓的“语音信箱黑客劫持”事件的困扰。受害者中甚至包括了一些当地的政客,比如巴西总统 Jair Bolsonaro、司法部长 Sergio Moro、以及经济部长 Paulo Guedes 。 Play 应用商店截图(via ZDNet) 那么,黑客又是如何攻破 Telegram 账户防线的呢?据悉,问题出在将 Telegram 账户添加到新设备的过程。 用户可以请求通过语音消息呼叫,将短信验证码发送到账户所有者的手机上。如果用户三次未能接听电话、或忙于应答另一通电话,则该密码会被发送到用户指定运营商的语音信箱账户。 然后,黑客会利用 VoIP 服务来伪装自己,忽悠出受害者的电话号码、使用默认的 0000 或 1234 密码(大多数用户并不会更改)来访问语音信箱,以获取 Telegram 的登录密码。 如此一来,攻击者就获得了在新设备上添加 Telegram 账户的一次性密码。之后,攻击者可劫持合法账户来发送垃圾邮件,或者挖掘巴西政客的消息历史。 庆幸的是,Telegram 在周末推出了一个修复程序,能够阻止这方面的攻击得逞。该公司发言人在接受 ZDNet 采访时称: “若您的账户启用了两步验证,就只能通过账户绑定的号码来获取”。 Telegram 证实,该修复程序已面向所有 Telegram 用户推出,因为受影响的不仅仅是巴西当地的用户。 自 2017 年以来,这一攻击已经被许多人所知晓。此前,同样的招数还在 WhatsApp 身上发生过。 之后,安全研究人员证实同样的漏洞可被用于劫持 Facebook、谷歌、Twitter、WordPress、eBay 或 PayPal 等服务。   (稿源:cnBeta,封面源自网络。)

Ubuntu 18.04 和 16.04 LTS 迎来 Linux 内核实时补丁 修复五个安全漏洞

Canonical 为长期支持(LTS)的 Ubuntu 18.04 和 16.04 操作系统提供了最新的 Linux 内核安全更新,Bionic Beaver 和 Xenial Xerus 用户可借助实时补丁服务(Livepatch Service)实施免重启的操作系统内核更新。本次实时补丁主要修复了五个安全问题,比如 CVE-2019-11815 竞争条件漏洞。其可能导致 Linux 内核的可靠数据包套接字(RDS)协议被攻击者利用,导致系统崩溃或执行任意代码。 (题图 via Softpedia) 其次是影响 ARM CPU 的 CVE-2019-2054 缺陷,攻击者可借此绕过 seccomp 限制。还有 Linux 内核的 EXT4 文件系统中的一个缺陷: CVE-2019-11833 和 CVE-2019-11884 会使本地敏感信息(内核内存)暴露给攻击者,因为 Linux 内核在某些情况下无法正确清零内存、或验证 NULL 终止字符串。 需要指出的是,本次内核实时补丁中包含了一个修复程序,修复了在 Vasiliy Kulikov 在 Linux 内核的蓝牙堆栈中发现的有八年历史的 CVE-2011-1079 漏洞: 该缺陷或导致本地攻击者向系统发起拒绝服务(DoS)攻击,导致系统崩溃或内核堆栈内存泄露,对用户的隐私造成了一定的威胁。 (稿源:cnBeta,封面源自网络。)

Google 公布重大 iOS 漏洞:可通过 iMessage 发动攻击

新浪科技讯 北京时间7月30日晚间消息,据美国科技媒体ZDNet报道,谷歌旗下安全团队Project Zero的两名成员日前公布了影响iOS系统的6个“无交互”安全漏洞中其中5个的详细信息和演示用攻击代码。 据悉,这6个“无交互”安全漏洞可通过iMessage客户端发动攻击。上周,即7月22日,苹果发布了iOS 12.4版,修复了这6个安全漏洞。但是,其中一个“无交互”漏洞的细节此次并未公布,是因为iOS 12.4补丁还没有完全解决问题。 据谷歌研究人员称,这6个安全漏洞中的4个可以导致在远程iOS设备上执行恶意代码,而无需用户交互。攻击者需要做的只是向受害者的手机发送一条“错误格式”的消息,一旦用户打开并查看接收到的项目,恶意代码就会被执行。而第5个和第6个漏洞允许攻击者从设备内存中泄漏数据,并从远程设备读取文件,同样无需用户干预。 根据漏洞交易平台Zerodium的价格表显示,类似于谷歌此次公布的这些漏洞,每条的价格可能超过100万美元。可以毫不夸张地说,谷歌此次公开的这些漏洞信息的价值远超500万美元,很可能达到1000万美元。 在下周于拉斯维加斯举行的“黑帽”(Black Hat)安全会议上,谷歌安全研究人员将举行一场关于远程和无交互iPhone漏洞的演示。 谷歌Project Zero安全团队成立于2014年7月,专为第三方软件寻找漏洞。他们并不会利用这些漏洞,只会对第三方软件开发商发出警告,以避免被恶意利用。   (稿源:新浪科技,封面源自网络。)  

网页端 Outlook 365 发送的邮件会泄露用户的 IP 地址

任何使用Office 365 WebMail组件发送的邮件都可能无意中向对方共享了自己的IP地址。网页端Outlook 365会在邮件的标题中插入发送者的IP地址。虽然注入IP地址可以达到某种目的,但确实在很多用户都不知情的情况下存在隐私和安全风险。 包含IP地址是微软有意识的决定。管理员可以通过这项功能基于发送者的IP地址来执行电子邮件的搜索。这意味着通过https://outlook.Office365.com发送的任何电子邮件都包含标记为x-originating-ip的标题字段。 虽然这个问题并非是近期才调整的,不过渗透测试人员Jason Lang最近在推特上曝光了这个问题,随后这个问题被外媒Bleeping Computer进行了报道。 在推文中写道:“友好的隐私/操作提醒:如果你使用Outlook 365 Web GUI,那么在新信息标题中会显示所发送设备的IP地址(例如你的家庭IP)。” Jason表示如果用户想要避免将自己家里的IP地址分享给对方,使用Brave浏览器或者其他方式可以轻松解决这个问题。或者你也可以联系你的Office 365管理员,让他们在Exchange管理中心中创建新规则就能取消这个功能。   (稿源:cnBeta,封面源自网络。)

VideoLAN 反击:VLC 远程代码执行漏洞早就修复了!

之前报导过最新版本 VLC 媒体播放器被曝出存在严重的远程代码执行漏洞,根据德国网络安全机构 CERT-Bund 披露的消息,该漏洞同时存在于 Windows、Linux 与 Unix 系统中,使得远程匿名攻击者可以执行任意代码、造成 DoS 条件,并且提取用户信息或操作文件。漏洞已被收录为 CVE-2019-13615,危险分值在满分 10 分制中达到了 9.8。 24 日 VLC 项目背后的公司 VideoLAN 发推文表示这个安全问题没有外界所说那么严重,而且这个漏洞其实是存在于第三方库上的。 问题发生在名为 libebml 的第三方库中,并且已经在 16 个月前修复,VLC 3.0.3 版本已经修复了该问题。 VideoLAN 同时指责了最初“恶意”公开该漏洞的 @MITREcorp,VideoLAN 称其使用的是 Ubuntu 18.04 操作系统,这是一个旧版本,并且显然没有更新所有库。 而不知出于什么原因,@MITREcorp 在决定提交这个 CVE 的时候,并没有先告知 VideoLAN,这直接违反了他们自己的政策。甚至“这其实不是 @MITREcorp 第一次这样做,事实上,当他们在 VLC 上发现安全问题时,他们永远不会联系我们,而且我们总是在他们公开之后,当用户或分销商询问我们时才发现问题。” 目前在 NVD 中,VLC 这个漏洞已经从 9.8 分降级到 5.5,VideoLAN 的公共 bug 跟踪器中的相关条目也将问题标为已修复。   (稿源:开源中国,封面源自网络。)

VLC 媒体播放器发现漏洞,目前仍未修补

根据 ZDNet 报道,在最新版本的 VLC 媒体播放器中发现了一个严重的漏洞,可能支持远程代码执行和其他恶意操作,而且目前没有修补程序。 非营利视频局域网的 VLC 播放器是一款流行的软件,用于播放和转换各种音频和视频文件。该软件可适用 Windows、Linux、MacOSX、Unix、IOS 和 Android 系统,事件被报道后,这款开源媒体播放器现在已经成为德国计算机应急小组(CERT-Bund)最近发布的安全咨询的焦点。 CERT-Bund 称,在 CVSS 3.0 级别上,这个漏洞的打分为 9.8/10,严重程度可想而知。它已被命名为为 CVE-2019-13615,此安全漏洞不需要权限升级或用户交互即可利用。 具体来说,当从 mkv:open in Module/demux/mkv/mkv.cpp 调用模块 /demux/mkv/demux.cpp 协议时,VLC 的 mkv:demux_sys_t:FreeUnuse() 中发现基于堆的缓冲区超读错误。ESET 表示: 远程匿名攻击者可以利用 vlc 中的漏洞执行任意代码、造成拒绝服务条件、提取信息或操作文件 虽然已经知道该漏洞是存在 Windows、Linux 和 Unix 机器上的最新版本的 VLC 中,但并不排除会影响过去版本的可能性。 德国出版物 Heise Online 报告说,只要使用一个特别的 .mp4 文件就有可能触发该漏洞,但研究人员和 CERT-Bund 尚未证实这一点。 VLC 正在快速修复,据两天前发布更新的一名开发人员称,该漏洞已被授予修补程序的最高优先级,修补程序已完成 60% 。 虽然没有发布补丁的具体日期,不过幸运的是,目前还没有发现有人利用这一漏洞。   (稿源:开源中国,封面源自网络。)