分类: 漏洞事件

Joomla! 3.7.0 Core 出现 SQL 注入漏洞,可致用户敏感数据泄露

安全公司 Sucuri 研究人员于近期发现,全球知名开源内容管理系统 Joomla! 3.7.0 Core 由于数据过滤不严谨出现 SQL 注入漏洞(CVE-2017-8917),允许黑客远程窃取数据库敏感信息、获得未经授权的网站访问权限。 知道创宇 404 安全团队针对该漏洞已输出分析报告: http://paper.seebug.org/305/ 考虑到 SQL 注入漏洞可使数百万网站遭受黑客攻击的风险,我们强烈建议网站管理员立即下载安装最新版本 Joomla! 3.7.1,以防黑客再度入侵网站、窃取用户信息。 本文内容翻译、整理:青楚,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

Chrome 漏洞可使黑客窃取 Windows 10 登录凭证

据外媒 17 日报道,安全公司 DefenseCode 的研究人员发现了 Google Chrome 浏览器中存在的一个漏洞,其允许攻击者通过欺骗用户在 Windows PC 端下载恶意文件或 SCF 文件,从而窃取用户登录凭证并启动 SMB(服务器消息块)中继攻击。 研究人员表示,此次攻击活动极其简单,受害者在点击恶意链接时,将自动下载 Windows Explorer Shell 或 SCF 文件,而 SCF 文件被触发后会向攻击者发送 SMB 服务器身份验证请求,从而泄露受害者的用户名与哈希密码。 调查显示,攻击者仅需诱导受害者在 Windows 环境下使用 Chrome 浏览器访问其恶意网站,即可窃取并使用受害者的身份凭证,即便受害者并无管理员权限。此外,研究人员表示,该漏洞将影响所有 Windows 版本下的 Chrome 浏览器,甚至包括 Windows 10 系统。 Chrome 的这一漏洞目前尚未被修复。安全专家提醒用户可通过禁用浏览器自动下载功能来防范风险,同时将 SMB 服务限制在专用网络内,并配置好基于 Internet SMB 服务器连接的防火墙端口。 原作者:India Ashok,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

谷歌 PHP API客户端存有XSS漏洞,可使黑客开展网络钓鱼攻击

据外媒 12 日报道,安全公司 DefenseCode 研究人员发现谷歌 PHP API 客户端存在两个 XSS 漏洞,可能导致用户遭受网络钓鱼攻击。 XSS(跨站脚本攻击):攻击者在 Web 页面插入恶意 Script 代码,致使用户浏览页面时自动执行代码,从而达到恶意攻击用户的目的。 调查显示,XSS 漏洞存在于 $_SERVER[‘PHP_SELF’] 函数之中,允许攻击者发送网络钓鱼邮件。倘若用户接收邮件并 “点击链接 ” ,那么攻击者即可假冒目标用户肆意发送恶意 JavaScript 并拥有无限访问网站权限。 目前,谷歌表示该库仅是 “ 测试版本 ” ,而关于如何使用 API 与 OAuth2 协议将谷歌数据应用于其他项目的可信 Stackoverflow 论坛与教程已在线公布很长时间。所以,用户不必太过担心,谷歌承诺尽快修复补丁,以保证用户系统的安全。 原作者:Richard Chirgwin,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

安全研究人员发现惠普音频驱动中存在键盘记录器

来自瑞士安全公司 Modzero 研究人员在检查 Windows Active Domain 的基础设施时发现惠普音频驱动中存在一个内置键盘记录器,允许黑客监控用户的所有按键输入。研究人员指出,惠普的音频驱动文件中隐藏缺陷代码 ( CVE-2017-8360 ) 的漏洞,它不但会抓取特殊键,而且还会记录每次按键并将其存储在人类可读取的文件中。 按键记录器会通过监控用户所按下的键来记录所有的按键。恶意软件和木马通常会使用这种功能来窃取用户账户信息、信用卡号、密码等私人信息。惠普计算机带有集成电路厂商 Conexant 开发的音频芯片,该厂商还会为音频芯片开发驱动即 Conexant 高清音频驱动,有助于软件跟硬件通信。根据计算机机型的不同,惠普还将一些代码嵌入由 Conexant 开发的音频驱动中,从而控制特殊键如键盘上的 Media 键。 这个记录文件位于公用文件夹 C:\Users\Public\MicTray.log 中,包含很多敏感信息如用户登录数据和密码,其它用户或第三方应用程序都可访问。因此安装到计算机上的恶意软件甚至是能物理接近计算机的人都能够复制日志文件并访问所有的用户按键、提取敏感数据如银行详情、密码、聊天日志和源代码。 据悉,受影响的机型包括 HP Elitebook 800 系列、EliteBook Folio G1、HP ProBook 600 和 400 系列等等。此外,研究人员还告警称 “ 其它使用了 Conexant 硬件和驱动器的硬件厂商 ” 也可能受到该漏洞影响。 稿源: cnBeta,封面源自网络

苹果公司成功修复 iCloud Keychain 漏洞

据外媒 10 日报道,苹果公司近期修复了允许黑客利用 MitM(中间人)攻击、窃取 iCloud 用户私人信息(姓名、密码、信用卡数据与 Wi-Fi 网络信息)的 iCloud Keychain 漏洞。 iCloud Keychain 同步功能允许用户在所有 Apple 设备之间共享密码与其他私人数据。苹果公司根据每台设备独有的同步身份密钥为同步过程实现端到端加密。 用户私人信息通过 iCloud Key-Value Store(KVS)传输时,应用程序与 KVS 之间的任何连接均由  syncdefaultsd 服务 与其他 iCloud 系统服务评断。 据悉,今年 3 月,研究人员 Alex Radocea 在即时通信加密协议(OTR)中发现这一漏洞,它能允许攻击者利用受信设备传输 OTR 数据。研究人员指出,攻击者不仅可以通过 MitM 攻击在无需同步身份密钥的情况下绕过 OTR 签名验证流程,还可在同步过程中利用该漏洞伪造其他可信设备截获相关数据。 安全专家强调,如果用户账户未启用双因素验证,攻击者可直接使用受害者 iCloud 密码访问并篡改 iCloud KVS 数据条目。此外专家警示,iCloud KVS 条目的潜在篡改与 TLS 通信证书的缺失都将为攻击者打开设备系统的大门。 原作者:Pierluigi Paganini, 译者:青楚,译审:游弋 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

思科修复 CIA 零日漏洞:曾允许黑客远程执行恶意代码

思科近期修复了一个通过 CIA 机密文件泄漏的 零日漏洞。漏洞编号为 CVE-2017-3881,允许攻击者向 318 个型号的思科网关发送命令远程执行恶意代码。 攻击代码是作为 Wikileaks  Vault7 系列 CIA 文件的一部分泄漏出去的。漏洞位于思科的 Cluster Management Protocol (CMP)中。CMP 使用 telnet 协议在网络中传递信号和通信,但它未能限制本地通信的 telnet 选项,不正确的处理畸形 CMP 特有的 telnet 选项。一位攻击者可以通过发送畸形 CMP 特有 telnet 选项,利用该漏洞与受影响的思科设备建立 telnet 会话,配置接受 telnet 连接。 稿源:Solidot奇客,封面源自网络

谷歌 Fuzz Bot 在开源项目中嗅探出超过千余 Bug

自 Google 宣布 OSS-Fuzz 之后的五个月内,这款工具在开源项目中嗅探出超过 1000 个 bug,其中包括 264 个潜在的安全漏洞。谷歌团队非常努力,每天都要处理 10 万亿的测试输入。其中,有 47 个项目早已整合了 Fuzz。Google 表示:“ OSS-Fuzz 已经在几个关键开源项目中找到了多个安全漏洞 ”。 其中,FreeType 2(10 个)、FFmpeg(17 个)、LibreOffice(33 个)、SQLite 3(8 个)、GnuTLS(10 个)、PCRE2(25 个)、gRPC(9 个)、Wireshark(7 个)。此外,OSS-Fuzz 还与另一个独立安全研究工具碰上了同一个 bug,它就是 CVE-2017-2801 。 据该公司所述,当某个项目集成 OSS-Fuzz 之后,后续它会自动抓取问题且几个小时后回溯至上游资源库,从而将用户受影响的可能性尽可能降低。Google 还称,OSS-Fuzz 已经报告超过 300 次超时和内存不足失败,其中有 3/4 已被修复。 稿源:据 cnBeta,封面源自网络

Google 安全专家在线公布 Windows 远程代码执行漏洞

据报道,Google Project Zero 研究员 Tavis Ormandy 和 Natalie Silvanovich 在线公布一个 “ 非常糟糕 ” 的 RCE 漏洞,但并未披露细节和风险:“ 我们可能发现了近期内最糟糕的 Windows 远程代码执行漏洞,攻击者们不需要处于同一局域网中就可静默安装,这简直是一个虫洞 ”。 目前,微软尚未就此事作出回应,但该公司至少有 90 天的时间窗口开发修复补丁。如果他们在未来 3 个月内未能成功修复,那两位研究人员将会把漏洞详情公布在互联网中,这是 Google Project Zero 项目的一贯政策。其实,这并非 Google 安全研究人员首次(及近期)在微软产品中发现的漏洞,此前 Google 也曾在“ 超期 ”后强行曝光其它漏洞详情,比如今年 2 月份时曝光的某个微软浏览器漏洞。 尽管微软在上一个 “ 补丁星期二 ” (5 月 2 日)中进行了修复,但还是对 Google 披露漏洞(公开披露漏洞详情)行为表示不满,指责该举措将致使成千上万的 Windows 用户处于风险之中。此外,至于微软能否在 5 月 10 日修复上周曝光的漏洞,目前仍有待观察。 稿源:cnBeta,封面源自网络

英特尔芯片漏洞比想象中更严重:控制计算机无需密码

英特尔芯片出现一个远程劫持漏洞,它潜伏了 7 年之久。本月 5 日,一名科技分析师刊文称,漏洞比想象的严重得多,黑客利用漏洞可以获得大量计算机的控制权,不需要输入密码。 英特尔主动管理技术(AMT)功能允许系统管理者通过远程连接执行多种繁重的任务,包括:改变启动计算机代码、接入鼠标键盘和显示器、加载并执行程序、通过远程方式启动设备等。 许多 vPro 处理器都支持 AMT 技术,如果想通过浏览器界面远程使用它必须输入密码,然而,英特尔的验证机制输入任何文本串(或者连文本都不要)都可以绕过。Tenable Network Security 刊发博客文章称,访问认证时系统会用加密哈希值(cryptographic hash)验证身份,然后才授权登录,不过这些哈希值可以是任何东西,甚至连文字串都不需要。Tenable 逆向工程主管卡罗斯·佩雷兹(Carlos Perez)指出,即使输入错误的哈希值也可以获得授权。 还有更糟糕的地方。一般来说,没有获得验证的访问无法登录 PC,因为 AMT 必须直接访问计算机的网络硬件。当 AMT 启用时,所有网络数据包会重新定向,传到英特尔管理引擎(Intel Management Engine),然后由管理引擎传到 AMT。这些数据包完全绕开了操作系统。 Embedi 是一家安全公司,英特尔认为它是首先发现漏洞的公司,Embedi 技术分析师也得出了相同的结论并以邮件形式将分析结果发给记者,未在网上公布。英特尔表示,预计 PC 制造商在本周就会发布补丁。新补丁会以英特尔固件的形式升级,也就是说每一块存在漏洞的芯片都要刷新固件。与此同时,英特尔鼓励客户下载并运行检查工具,诊断计算机是否存在漏洞。如果工具给出正面结果,说明系统暂时是安全的,安装补丁才能真正安全。富士通、惠普、联想等公司也针对特殊机型发出警告。 稿源:cnBeta 节选,封面源自网络

黑客利用 SS7 协议漏洞窃取德国 O2-Telefonica 公司银行账户资金

据外媒 4 日报道,德国 O2-Telefonica 公司向 SüddeutscheZeitung 机构证实,攻击者利用 SS7 协议漏洞绕过 SFA 认证机制网络劫持银行账户资金。 SS7( 7 号信令系统)是 20 世纪 70 年代末以来电信公司一直使用的一组协议,可使数据传输安全畅通、无泄露。而 SS7 协议漏洞则允许黑客通过重定向来电进行手机定位、发送短信至目标设备。 据悉,攻击者在利用 SS7 协议漏洞展开攻击时可绕过常见 Web 服务(例如 Facebook,WhatsApp )的用户身份验证流程。 2014 年 12 月,德国研究人员在 Chaos Communication Hacker Congress 上透露,多数移动通信运营商使用的协议均存在严重安全隐患。尽管电信公司对其安全保障投入巨资,但使用此类漏洞协议显然导致客户面临严重的隐私泄露与安全风险问题。 网络如何确定用户位置? 德国研究人员托比亚斯表示,网络能够根据基站信号较为准确地判断用户位置。尽管运营商管理信息的访问权限受限于网络技术操作,但通过全球 SS7 网络可发送任意语音通话与短消息至用户移动设备。 调查表明,黑客常在以往发生过的安全问题上大做文章,其中不乏 2014 年 4 月那起据称与俄罗斯黑客有关的 NKRZI 系统(乌克兰国家通信与信息化管理委员会)遭受入侵事件。专家注意到,许多乌克兰移动设备持有者已被源自俄罗斯的 SS7 数据包跟踪并窃取信息。 目前,安全专家正在紧密观察这起利用 SS7 协议漏洞窃取银行账户信息的前所未有的大规模黑客活动。经多方面来源证实,黑客在过去几个月内一直使用该种技术展开攻击活动。 据悉,黑客利用德国银行交易认证号码双因素认证系统发送垃圾邮件:首先在银行客户 PC 端传播恶意软件以收集财务信息(包括银行帐户余额、登录凭据与手机号码等);再通过购买恶意电信供应商的访问权限重定向受害者手机号码并对其进行控制;最后登录受害人银行帐户、利用SS7协议漏洞访问帐户并授权进行欺诈性交易。 用 Diameter 协议替代 SS7 协议? 电信专家提出在 5G 网络上利用 Diameter 协议替换 SS7 协议。不幸的是,该协议同样受到若干重要安全漏洞影响,其中包括缺乏对 IPsec 协议的强制执行等。 专家团队曾于去年进行多次测试并在由某全球移动运营商建立的测试网络上进行攻击仿真以评估连接至 LTE 网络的用户受攻击状态。在测试中,安全专家向来自芬兰的英国用户发起网络攻击并发现多种中断用户服务的方法,甚至能够临时或永久关闭整个地区范围内的所有用户连接。 原作者:Pierluigi Paganini, 译者:青楚,译审:游弋 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接