分类: 漏洞事件

全球最大证书颁发机构(CA)也发错证书

Comodo (科摩多)是世界上最大的证书颁发机构(CA),迄今为止在 HTTPS  SSL 证书市场中处于领先地位。 近日科摩多表示 已修复 证书自动颁发程序的漏洞,目前该机构 已处理曾允许攻击者请求并成功颁发不属于自己网站证书的缺陷机制。 科摩多的自动验证程序会将 Whois 记录中注册者邮件与请求证书验证的邮件做对比,系统将域名以图片形式存储再利用图像识别技术匹配两者信息。而此次出现缺陷的原因在于 OCR 识别模块无法将小写字母 “l” 与数字 “1”、字母”o”和数字”0″区分开来,另外该组件在读取”L / 1″时,如果字符后的是数字将会当成是”1″,紧随其后的是字母则会认为是小写 “l”。研究人员以域名“altelekom.at”、“a1telekom.at”作为测试请求证书也获得了通过。 安全公司在今年 9 月通报了这个漏洞,然而调查发现漏洞在科摩多自动验证程序中存在已久,目前 Mozilla 工程师们也在积极报告处理这个问题。 稿源:本站翻译整理,封面来源:百度搜索

尽快修复:Linux 全版本提权漏洞 Dirty COW (脏牛漏洞)

据国外媒体消息,近日曝出的 Dirty COW  0-Day 漏洞存在于 2007 年发布的 Linux 2.6.22 内核中,能够使低权限用户在全版本  Linux 系统上实现本地提权,直至 2016年 10 月 18 日 Linux 内核小组发布官方补丁表示 CVE-2016-5195 (Dirty COW)漏洞已被修复。 官方给出的漏洞原理是: Linux 内核的内存子系统在处理 Copy-on-Write 时出现竞争条件(漏洞),导致私有的只读内存映射被破坏、获取读写权限后进一步提权。 此前并无任何证据表明,有黑客在利用 Dirty COW 进行攻击,但安全研究人员 Phil Oester 通知 Red Hat 指出近期已有黑客组织在部署利用该漏洞的代码。 Red Hat 官网 21 日发布公告把漏洞评级为“重要”, 并表示以下版本将受漏洞影响: Red Hat Enterprise Linux 5 Red Hat Enterprise Linux 6 Red Hat Enterprise Linux 7 Red Hat Enterprise MRG 2 Red Hat Openshift Online v2 用户可到官网下载脚本进行检测。此外 Debian、Ubuntu 版本  Linux 也已发布 CVE-2016-5195 漏洞公告 21 日下午,据国内 360 安全团队最新消息: “在 Android 7.0 最新的 10 月补丁安全级别的系统上测试过漏洞 POC,确认 Android 系统受影响。 稿源:本站翻译整理,封面来源:Dirty COW 专用 Twitter 

英特尔芯片 BTB 组件漏洞,60 毫秒可绕过 ASLR 防护

来自两所美国大学的科学家团队发现一种利用 BTB(分支目标缓冲器)来绕过 ASLR(地址空间布局随机化)保护的方法。 BTB 是现代许多 CPU 架构中的重要组件,包括 Intel Haswell CPU 处理器都在使用。 ASLR 是当今所有主流操作系统使用的一项安全防御机制。在本周发布的研究报告中,专家随机数据轰击BTB缓存系统,直到找到已经存储在缓冲区中的相同数据。该技术允许研究人员从包含 ASLR 索引表的 CPU 内核中恢复数据,允许攻击者确定特定应用程序代码执行的位置,以便利用漏洞。研究员称该过程只需 60 毫秒。研究人员称操作系统供应商需要在代码功能级别实现 ASLR 保护。 稿源:本站翻译整理,封面来源:百度搜索

VeraCrypt 审计报告公布,发现多个高危漏洞

在 DuckDuckGo 和 VikingVPN 的资助下,QuarksLab 对开源加密软件 VeraCrypt 进行了安全审计。VeraCrypt 是 TrueCrypt 的分支,主要开发者是法国的 Mounir Idrassi,他在 TrueCrypt 基础上强化了防暴力破解功能。QuarksLab 刚刚公布了审计报告,发现了 8 个高危漏洞和十多个中低威胁级别漏洞。VeraCrypt 发布了 1.19 版本,修复了报告披露的部分漏洞,但还有部分漏洞因为其复杂性而尚未修复。已经修复的漏洞包括:VeraCrypt 使用了旧版本的 zlib 库, 1.19 版移除了旧版本用新版本替换;移除 GOST 28147-89 加密选项,原因是其实现不安全;修复了多个 UEFI 支持问题,等等。 稿源:solidot,封面来源:百度搜索

思科 Anyconnect VPN 移动客户端提权漏洞,允许攻击者获得系统权限、执行任意文件

思科 AnyConnect 安全移动客户端 4.2.05015 及 4.3.02039 之前版本,由于错误地处理路径名导致本地用户可通过一个精心设计的 INF 文件获得特权。该漏洞允许经过身份验证的本地攻击者,以相当于 Microsoft Windows 操作系统系统账户的权限,安装和执行任意可执行文件。 稿源:securiteam.com,封面来源:百度搜索

思科会议服务器客户端身份验证绕过漏洞,允许攻击者冒充合法用户

周三思科对企业视频会议产品发布了一个更新,修复会议服务器客户端身份验证绕过漏洞(CVE-2016-6445)。该漏洞是由于可扩展消息与存在协议(XMPP)服务不正确地处理过时的身份验证方案,允许未经身份验证的远程攻击者伪装成合法用户访问系统。 Cisco Meeting Server 2.0.6 之前版本启用 XMPP 服务的将受到影响。 Acano Server prior to 1.8.18 之前版本及启用 XMPP 服务的 1.9.6 之前版本也将受到影响。 稿源:本站翻译整理,封面来源:百度搜索

外媒曝使用富士康固件的 Android 设备或暗藏后门

据外媒报道,美国安全专家 乔恩·索耶 今年 8 月发现,一些 Android 设备所使用的富士康固件残留调试程序,攻击者可利用该后门完全绕过身份验证和授权控制入侵 USB、访问通讯内容。 乔恩·索耶 提供了关于如何从Android设备中检测该漏洞的信息: 可检查 ftmboot 和 ftmdata 分区。 “ftmboot” 分区关联传统的 Android 内核/ ramdisk 镜像,含有后门的设备将会关闭 SELinux 安全设置,并以 root 权限运行。而 FTM 引导模式下 ftmdata 分区挂在到 /data 。这些迹象显示设备存在一定风险。 。 目前受影响设备具体数量未知。 稿源:本站翻译整理,封面来源:百度搜索

监控设备制造商 AVTECH 不断忽略漏洞警告长达一年终曝光,影响 13 万多设备

台湾升泰科技公司 AVTECH 是全球领先的 CCTV 制造商之一,近日,匈牙利安全公司 Search-Lab 发表了一份 公告 详细的披露了 AVTECH 监控产品存在的 14 个漏洞。事实上早在 2015 年 10 月 19 日安全公司就尝试与 AVTECH 联系通报发现的漏洞,但没有收到回应,此后又进行了 3 次联系但都没有收到回应,最终 2016 年 10 月 11 日安全公司决定公开发现的问题。根据撒旦搜索引擎搜索结果,有超过 130,000 个 AVTECH 设备被暴露在互联网。鉴于 AVTECH 迟迟未能提供固件更新、修复漏洞,研究人员发出公开警告,希望借此督促系统管理员更改默认密码、厂家及时发布更新。 稿源:本站翻译整理,封面来源:百度搜索

Flash Player 修复 12 处“关键”漏洞,曾允许攻击者远程代码执行、绕过安全措施

虽然许多安全专家表示, Adobe Flash 项目不值得继续开发应该被关闭,但 Adobe 公司仍然尽一切努力去支持 Flash 继续发展,周二推出了全新的安全补丁,修复 12 个“关键”级别的安全漏洞。其中有 11 项允许黑客在受害者设备上执行远程代码,这可能允许攻击者控制受影响的系统。还有一个漏洞是可绕过 Flash 是安全措施。目前尚没有证据表明有黑客利用这些漏洞执行过攻击,考虑到漏洞等级为“关键”级别,用户应该尽快安装。 稿源:本站翻译整理,封面来源:百度搜索

黑客发现 Twitter 旗下短视频分享应用 Vine Docker 镜像漏洞,可下载其完整源代码

短视频分享应用 Vine 于 2012 年 10 月成为 Twitter 旗下的服务,可提供用户分享一个长达 6 秒的短视频。最近印度赏金猎人 Avinash 发现了一个漏洞,允许攻击者不受任何限制下载包含 Vine 的完整源代码的  Docker 镜像包。Avinash 使用似于 Shodan (撒旦)搜索引擎  Censys.io 发现 80 多个 Docker 镜像,从中下载了名叫 “vinewww” 的镜像,因此看到了 Vine 的全部源代码、 API 密钥以及第三方密钥和秘密。随后 Avinash 将漏洞报告给 Twitter 并获得了 10080 美元的漏洞赏金,该漏洞也在 5 分钟内被修复。