分类: 漏洞事件

流行 WordPress 插件再现严重 SQL 注入漏洞

一个安装量超过 100 万的流行 WordPress 插件被发现存在严重 SQL 注入漏洞,允许攻击者从网站的数据库窃取密码和密钥等敏感数据。该插件叫 NextGEN Gallery,开发者已经修复了该漏洞,释出了 v2.1.79 版,安装该插件的网站应该尽可能快的更新。网站如果允许用户递交帖子,并且激活了 NextGEN Basic TagCloud Gallery 选项,允许访问者通过标签导航图库,攻击者可以修改 URL 参数,插入 SQL 查询指令,加载恶意链接时插件将会执行指令。该漏洞是因为对 URL 参数不正确的输入处理导致的,这种问题在 WordPress 以及非 WordPress 网站中间非常普遍。 稿源:solidot,有删改,封面来源于网络

谷歌披露了另一个未打补丁的 Windows 漏洞 Edge 用户处于风险之中

谷歌公布了另一个未修补的 Windows 安全漏洞详细信息,根据谷歌的 Project Zero 计划政策,该漏洞在通知对方 90 天后仍然不修补,那么谷歌将公布此漏洞。这一次,漏洞存在于微软 Edge 和 Internet Explorer 浏览器的一个模块当中。谷歌工程师 Ivan Fratric 发布了一个概念证明,这个漏洞可以使浏览器崩溃,为潜在的攻击者获得受影响系统的管理员权限打开了大门。 Fratric 在 Windows Server 2012 R2 上对 64 位的 Internet Explorer 进行了分析,但 32 位 Internet Explorer 11 和微软 Edge 都应受同一漏洞的影响。这意味着 Windows 7,Windows 8.1 和 Windows 10 用户都暴露在了同一漏洞当中。该漏洞在 11 月 25 日报告给了微软,根据谷歌 Project Zero 的政策,该漏洞在 2 月 25 日公开,因为微软尚未提供补丁。有趣的是,微软已经推迟了本月应该发布的例行补丁,现在计划在 3 月 14 日发布安全更新,但还不知道公司是否真的在其中修复了谷歌发现的此漏洞。 这是 Google 在短短几个星期内披露的第二个安全漏洞,谷歌还公布了在 2016 年 3 月首次向微软报告的 gdi32.dll 中漏洞详细信息。谷歌 Project Zero 成员 Mateusz Jurczyk 试图说服微软在 2016 年 6 月修补这个缺陷,但问题只有部分解决,所以在 2016 年 11 月向谷歌提交了另一份报告。在 3 个月的窗口过期后,谷歌公布了此漏洞的细节。 谷歌这次给我们带来了两个不同的安全漏洞,微软尚未推出补丁进行修复,很难相信微软会在 3 月 14 日之前外修这些漏洞。 稿源:cnBeta;封面源自网络

Firefox 缓存中间证书机制泄露用户“指纹”信息

据外媒报道,Firefox 缓存中间证书运行方式存在隐患,允许攻击者查看 Firefox 用户的各种详细信息。 安全研究员 Alexander Klink 发现,如果浏览器的中间 CA 证书已缓存完成,那么即使服务器没有向其提供完整的证书链,Firefox 也可以加载网页。通常,Root 证书颁发机构不会使用 Root 证书来建立安全连接,而是用 Root 证书生成中间证书的代替。当服务器配置错误时,如果仅发送服务器证书,那么浏览器将加载失败无法获取网页信息,不过,要是 Firefox 浏览器的中间 CA 证书已缓存完成,用户仍可成功建立连接、加载信息。 攻击者可以根据浏览器缓存的中间 CA 证书来确定有关目标用户的具体细节。这些细节包括地理位置、浏览习惯、运行环境等用户“指纹”。攻击者可以将此信息出售给广告公司,或者利用它向目标用户提供特定“内容”。 Klink 在 1 月 27 日向 Mozilla 报告了这个问题,但目前还不清楚该公司将如何解决该问题。 用户可行的解决方法: 1、定期清理配置文件、创建新配置文件 2、从 Firefox UI 中或使用 certutil 命令行清除现有配置文件 3、使用插件阻止第三方 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

潜伏 11 年的 Linux 内核提权漏洞(CVE-2017-6074)曝光

Linux 内核近日又曝出权限提升漏洞,该漏洞可追溯至 2005 年,漏洞影响 Linux 操作系统主要发行版本,包括 Redhat、Debian、OpenSUSE 和 Ubuntu。利用该漏洞,攻击者可以从低权限进程中进行内核代码执行。目前已知受影响的最老版本是 2.6.18(2006 年 9 月),不过该漏洞可能在先前的版本中已经存在,或许从支持 DCCP 开始( 2005 年 10 月的 2.6.14)就已经存在问题了。 在 Seclists.org 发布该漏洞的作者 Andrey Konovalov 表示,很快就会放出 PoC,在此期间给予修复时间。 安全研究员 Andrey Konovalov 最近用 Syzkaller fuzzing 工具,发现了 DCCP 协议实现中的 Linux 内核漏洞,漏洞潜伏时间超过 10 年。 DCCP协议 DCCP协议是面向消息的传输层协议,可最小化数据包报头带来的开销和终端处理的工程量。该协议可建立、维护和拆卸不可靠连接的数据流以及对不可靠数据流进行拥塞控制。 该 DCCP 双重释放漏洞可允许本地低权限用户修改 Linux 内核内存,导致拒绝服务(系统崩溃),或者提升权限,获得系统的管理访问权限。 漏洞详情 这是个 UAF 漏洞:在 IPV6_RECVPKTINFO 开启的情况下,内核解析DCCP 协议的流程中判断已经收到了 DCCP_PKT_REQUEST 返回包,就会释放解析过程使用的 SKB 地址。(“DCCP protocol implementation freed SKB (socket buffer) resources for a DCCP_PKT_REQUEST packet when the IPV6_RECVPKTINFO option is set on the socket.”) 按现在的实现,解析 DCCP 协议的流程中如果 dccp_v6_conn_request 有返回值,就会通过 dccp_rcv_state_process 中的 __kfree_skb 释放掉解析过程中收到了 DCCP_PKT_REQUEST 返回包的 SKB 地址。但是,如果 IPV6_RECVPKTINFO 开启的情况下编译内核,skb 地址就会被存储在 ireq->pktopts,而 dccp_v6_conn_request 中的引用计数会增加,这样 skb 就仍然会被使用。直到 dccp_rcv_state_process 进程中才会被释放。 攻击者使用某些内核堆喷射技术就能控制任意对象,并用任意数据重写其内容。如果重写过的对象中包含任何可触发的函数指针,攻击者便可在该内核中执行任意代码。这个漏洞并不是远程代码执行漏洞,所以攻击者必须拥有系统本地账户,才能利用该漏洞。 两个月前,Linux内核也曝出了类似的提权漏洞CVE-2016-8655,该漏洞可以追溯到2011年,低权限本地用户利用Linux内核af_packet实现中的竞争条件,可获得root权限(漏洞详情)。 修复方案 手动修复:调用consume_skb,而非跳转discard并调用__kfree_skb。 更详细的修复方案请点击这里。如果你是高级Linux用户,那么可以应用补丁,重新构建内核,或者等待发行商发布更新。 稿源:FreeBuf, 由 FB 小编 kuma 编译;封面源自 FreeBuf

研究员利用 JavaScript 破解英特尔等 22 款 CPU 的 ASLR 保护

阿姆斯特丹自由大学系统及网络安全小组 VUSec 本月 15 日揭露了一项攻击技术,可绕过 22 款处理器的 ASLR 保护,波及 Intel、AMD、Nvidia 及 Samsung 等处理器品牌。 ASLR 是许多操作系统的预设安全机制,它在虚拟位址空间中随机配置应用程序的代码与资料,以提高黑客的攻击门槛,被视为保护网络用户的第一道防线。而 ASLR 的限制正是现代处理器管理内存的基础,VUSec 研究人员打造了一个 JavaScript 攻击程序可完全去除 ASLR 对处理器所带来的安全保障。 研究人员解释称,处理器中的内存管理单元(MMU)是借由快取阶层来改善搜寻页表的效率,但它同时也会被其他程序利用,像是浏览器中所执行的JavaScript。于是他们打造了名为 ASLRCache(AnC)的旁路攻击(side-channelattack)程序,可在 MMU 进行页表搜寻时侦测页表位置。 安全研究人员开发了 AnC 的原生版本与 JavaScript 版本,通过原生版本来建立可在 22 款处理器上观察到的 MMU 讯号,再以 JavaScript 版本找出 Firefox 及 Chrome 浏览器上的程序码指标与堆积指标,计算出档案的实际位址,最快只要 25 秒就能让 ASLR 的保护消失无踪。 现阶段 VUSec 已释出 AnC 的原生版本以供研究使用,但为了维护网络使用者的安全,并不打算发表 JavaScript 版本。即便如此,研究人员仍然预期任何拥有较高能力的黑客在几周内就可复制相关的攻击程序。VUSec 警告,由于 AnC 攻击程序利用的是处理器的基本属性,现在是无解的,对使用者而言,唯一的防范之道就是不执行可疑的 JavaScript 程式,或是直接在浏览器上安装可封锁 JavaScript 的插件。 其实 AnC 早在去年 10 月就出炉了,但当时 VUSec 决定先行知会相关业者,包括处理器、浏览器与操作系统领域,一直到本周才对外公开。 稿源:cnBeta;封面源自网络

Zerocoin 源码一字之差损失 58 万美元,市场 1/4 零币均系伪造

去年孟加拉银行因 SWIFT 系统漏洞曾遭黑客盗取 10 亿美元,因为黑客转账时一字之差给银行挽回巨大损失,最终只被窃走 8100 万美元。然而这次,虚拟货币 Zerocoin 也发生了一起重大的生产事故,因代码多打一个字符导致公司损失超过 58.5 万美元(约合人民币 401.85 万元)。 由于 Zerocoin 源代码中字符打印错误多印刷了一个字符,从而使 Zerocoin cryptocurrency 加密协议出现漏洞。攻击者可利用漏洞重复使用加密凭证创建新的 Zerocoin 支出交易。事实上,攻击者凭空创造出了约 370000 个新 Zcoin 币。除了 20000 多个 Zcoin 币之外,其他的 Zcoin 币都已被黑客交易使用并流进市场。 被创造的 370000 个新 Zcoin 币相当于整个 Zcoin 市场价值的四分之一。换句话说,目前流通的零币有四分之一是伪造的。 Zerocoin 团队称攻击者十分“专业”,他们通过生成大量的交换账户、分散存款和提款等手段来隐蔽真实交易。此外,Zerocoin 称加密协议不存在漏洞、匿名性不受影响,问题出在代码印刷错误。目前漏洞已经修复。 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

谷歌安全团队公布 Windows 10 漏洞:微软仍未提供修复方案

据外媒报道,近日,谷歌 Project Zero 公布了其在 Windows 10 中发现的一个漏洞。据悉,该漏洞位于用于处理大量程序的 gdi32.dll 文件中。Project Zero 是谷歌公司在 2014 年推出的一项网络安全项目,旨在遭恶意软件利用之前找到并修复该安全漏洞。据了解,Project Zero 在发现漏洞之后并不会马上公布于众,而是会将这一情况反应给软件开发商并给他们 90 天的修复时间,如果该开发商未在这一期限内完成修复那么团队就会对外公布。 针对这一漏洞报告,微软方面并未作出回应,所以近期是否会有修复方案就不得而知。按理说,微软应当在此前的周二补丁日向用户推送该漏洞修复更新,但在那天,微软却宣布延迟,换句话说,用户将最快在下个月 14 日才可能补上该漏洞。 稿源:cnBeta;封面源自网络

多款 Android 应用存漏洞,数百万汽车面临被盗风险

近日,卡巴斯基的一组研究人员对 9 辆互联网汽车的 Android 应用(来自 7  家公司)进行了测试,这些应用的下载量已经超过几十、上百万,但却连最基础的软件保护都没有提供。 研究人员表示,通过 Root 目标设备获得欺骗用户安装恶意代码,黑客能够使用卡巴斯基所测试的所有 7 款应用来定位车辆位置,解锁车门,甚至能够在某种情况下点火启动。研究人员发现最糟糕的攻击行为是,允许黑客进入到锁定车辆的内部;通过仿制钥匙或则禁用车辆的防盗器等额外手段,偷车贼能够产生更严重的后果。研究人员指出尽管并未纳入到本次的测试中,但是特斯拉的汽车允许通过智能手机应用启动驾驶,一旦智能手机被入侵将会产生更严重的损失。 目前尚未发现有 Android 恶意软件激活使用这种攻击手段。不过研究人员仍然认为,只是单单查看应用的代码脚本,偷车贼都可能知道利用这些漏洞和功能。消息指出,来自黑客论坛的有限证据已经表示在这种攻击已经在黑市上引起了注意和兴趣。 为了避免那些偷车贼利用这些信息进行犯罪,目前安全公司并未对外透露关于测试应用的详细名称。不过,他们认为应该向汽车行业发出警告,要求汽车制造商更加谨慎的对待安全问题。 据 搜狐科技、威锋网 消息整理,封面源自网络

Adobe 发布 Flash 插件更新,修复重大安全漏洞

Adobe 本周发布了 Flash Player 版本 24.0.0.221 ,新版解决了可能导致攻击者控制被感染系统的重大安全漏洞。受影响的系统包括 Mac 、Windows、Linux 和 Chrome OS。安装有 Flash 24.0.0.194  或更早版本的 Mac 用户应该立刻升级。 谷歌 Chrome 浏览器内置 Flash 会自动升级至 24.0.0.221 版本。这次的安全漏洞由谷歌、微软、 Palo Alto Networks 和 Trend Micro 公司的安全团队发现。 macOS Sierra 系统中的 Safari 会默认禁用 Flash 插件,用户可以手动打开。在过去1年中,Adobe 已经发布了 15 次 Flash 插件重大安全漏洞修复补丁。 稿源:cnBeta;封面源自网络

OpenSSL 1.1.0 修复高严重性漏洞 CVE-2017-3733

本周四,OpenSSL 开发团队修复了高严重性 DoS 漏洞( CVE-2017-3733 )。该漏洞是由红帽子 Joe Orton 于 1 月 31 日报道,并称该漏洞为“ Encrypt-Then-Mac 重新协商崩溃”漏洞。在重新协商握手期间,如果 Encrypt-Then-Mac 扩展协商不是在原来的握手过程中会导致服务崩溃(依赖于 OpenSSL 密码套件)。目前确定客户机和服务器都受影响的。 漏洞影响范围: OpenSSL 1.1.0 版本 ** OpenSSL version 1.0.2 版本不受影响 修复方案 将 OpenSSL 1.1.0 升级到最新版本 OpenSSL 1.1.0e 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。