分类: 漏洞事件

贝宝(PayPal)修复安全漏洞曾允许黑客窃取 OAuth 令牌

Adobe 公司软件工程师 Antonio Sanso 发现在线支付工具贝宝(PayPal)存在严重安全漏洞,允许黑客窃取第三方开发者开发的应用程序在支付时使用的 OAuth 凭证。 研究员称其他使用此类安全认证标准的网站上也存在此类问题,包括 Facebook 和 Google 。 漏洞归结于 PayPal 如何处理返回的应用程序授权认证令牌即 REDIRECT_URI 参数。 开发人员可通过特定 dashboard 注册应用使用 PayPal 支付服务,之后应用可生成令牌请求并发送到中央授权服务器,服务器会制定返回参数 REDIRECT_URI 正常情况: redirect_uri=https://demo.paypal.com/loginsuccessful&nonce=&newUI=Y 但是由于 PayPal 可使用 localhost 作为 REDIRECT_URI 参数。 将返回页面重定向至黑客自己设置的 localhost 页面 redirect_uri=http://localhost.intothesymmetry.com/&nonce=&newUI=Y 黑客可从自己的页面中提取 PayPal 返回的支付请求中的认证令牌信息, 研究员称早在九月就将漏洞报告到 PayPal ,但 PayPal 回应说:“这不是一个漏洞”。PayPal 分析了报告,并最终在 11 月份发布更新,研究人员也获得了相应赏金。 稿源:本站翻译整理,封面来源:百度搜索

Mozilla 和 Tor 释出紧急更新修复正被利用的 0day 漏洞

Mozilla 和 Tor 释出了紧急更新修复了正被利用去匿名 Tor 用户的 0day 漏洞。该漏洞只影响Windows 版本, OS X 和 Linux用户不受影响。根据 Firefox v50.0.2的发布公告,该漏洞编号为 CVE-2016-9079,被标为高危漏洞,除了影响 Firefox 外,还影响 Thunderbird 邮件客户端,以及基于 Firefox 扩展支持版的 Tor 浏览器。与该漏洞相关的 bug 被认为已经在 Firefox 代码中存在了五年之久。由于漏洞利用代码是被用于去匿名 Tor 用户的身份,因此它被怀疑是执法机构如 FBI开发的。 稿源:solidot奇客,封面:百度搜索  

Firefox 0-day 漏洞被用于攻击 Tor 用户

Tor 项目邮件列表 披露 了一个正被利用执行恶意代码的 Firefox 0-day 漏洞。Mozilla 随后证实正对此开发补丁。漏洞利用代码利用了一个堆溢出 bug 在 Windows 电脑上执行任何代码。独立安全研究人员分析了漏洞利用代码后发现,其执行的恶意负荷与 FBI 用于去匿名访问儿童色情网站的 Tor 用户身份的代码基本相同。受影响的 Firefox 版本从 v41 到最新版的 v50,其中包括 Tor browser 使用的长期支持版 v45 ESR。恶意代码需要使用 JavaScript,继续使用 Firefox 和 Tor 的用户最好关闭 JavaScript。 稿源:solidot节选,封面来源:百度搜索

Windows 10 漏洞:更新时按住 SHIFT + F10 可绕过 BitLocker 加密

硬盘加密是为了防止电脑落在错误的人手中时保护用户的数据。但 Windows 10 系统被发现其 BitLocker 加密可以被绕过。Windows 安全专家 Sami Laiho 称,在 Windows 10 电脑更新时按住 SHIFT + F10组合键,可以打开一个拥有系统权限的命令行界面。该命令行调试界面允许攻击者访问任何硬盘数据,即使存在 BitLocker 加密。一种可能的利用场景是用户在电脑更新时离开了,恶意攻击者可以打开命令行调试界面执行恶意操作。还有一种可能性是警方可以从扣押的 Windows 10 电脑里获取加密硬盘里的数据。 Laiho 已经通知了微软,而微软看来正在开发补丁。 稿源:solidot,封面来源:百度搜索

爱尔兰数万宽带 Modem 存在漏洞可被远程入侵控制

Eir,是爱尔兰最大的 ISP 提供商,其为数万客户提供使用的 Eir D1000 宽带调制解调器存在漏洞,可被远程入侵控制,导致全国大面积网络面临被攻击威胁。 本月初,名为“ kenzo ”的安全研究员针对 Eir D1000 modem 进行了分析,发现其中开启了与 TR-064 和 TR-069 两种协议相关的端口号 7547。 由于电信公司对远程设备进行管理的接入控制服务器(ACS)中同时运行有 TR-069 和 TR-064 协议,TR-069 应用于广域网,而 TR-064 应用于局域网。问题却出在了这儿,按理来说,在 WAN 端是不能访问 TR-064 协议的,但是针对 Eir D1000 modem,在 WAN 端向其 modem 设备的 7547 端口发送以下 TR-064 命令之后,将使得攻击者可以远程从互联网端对modem进行操作配置。 补充说明 1、就像 2015 年初,由于 CVE-2014-9222 影响固件的“ Misfortune Cookie ”漏洞一样,这些 bug 虽然不是单纯的软件漏洞,但也需要及时修补; 2、爱尔兰国内还有上千台由 Vodafone 和其它 ISP 提供商管理使用的 modem 仍然存在该漏洞; 3、Eir 公司另一种型号调制解调器 P-660HN-T1A_IPv6 同样存在此漏洞; 4、利用 shodan 可以发现爱尔兰将近有 70,378 台此类 modem 受该漏洞影响。 稿源:Freebuf,封面来源:百度搜索

NTP 漏洞可致 Windows 系统触发 DoS(含POC)

研究人员发布了针对 CVE-2016-9311 漏洞的 PoC,这个漏洞能够导致 NTP 守护进程崩溃,并且触发 Windows 系统拒绝服务。 NTP 协议能被黑客利用。NTP 是一种广泛用于时钟同步的协议,这种协议能够在多个系统同步时间. 本周,网络时间基金会修复了一个漏洞,编号为 CVE-2016-9311 影响了 NTP.org发布的众多 nptd ,版本号为 4.2.8p9 之前,4.3.94 除外。 NTP.org,ntpd 没有默认开启 trap 服务,如果trap被开启,该漏洞能够让未授权的用户通过特别构造的数据包导致空指针引、ntpd 崩溃,进而导致服务器拒绝服务。这个漏洞只影响 Windows 服务器。 由于 PoC 代码已经流出,请管理员们立即给NTP打上补丁。 稿源:Freebuf,封面来源:百度搜索

Uber 门户网站存 IDOR 漏洞可泄露用户敏感信息

Uber 门户网站 UberCENTRAL 模块存在一系列漏漏,可能泄露用户姓名、电话号码、电子邮件地址、以及所有 Uber 用户的唯一ID。 漏洞赏金“猎人” Kevin Roh 发现这些漏洞都是由于一个不安全的直接对象引用 (IDOR)导致的。在 9 月初发现了第一个 bug,允许他以管理员身份通过 POST 请求用电子邮件枚举用户 UUID 。 在 10 月他发现可以使用类似的方法,通过 GET 请求枚举 UUID。在 10 月下旬,他发现可以让系统输出姓名、电话号码和电子邮件地址。 目前,还不清楚 Kevin Roh 通过这个三个不安全的直接对象引用漏洞获得多少赏金,但从历史上看每个漏洞的赏金应该在 500 至 1000 美元之间。 本周三 Uber 发言称,漏洞已经被修复,没有用户受到影响。 稿源:本站翻译整理,封面来源:百度搜索

特斯拉专属 App 爆漏洞,或被黑客利用盗走爱车

挪威互联网安全公司 Promon 日前指出,特斯拉为其电动汽车定制的专属应用(App)实为一把“双刃剑”。在为车主提供方便的同时,它也可能被盗车贼利用。 Promon 首先在特斯拉超级充电站附近建立一个免费的 WiFi 热点,然后发起一个虚假的免费提供汉堡的促销活动,以吸引周围的人在其网络上注册。接下来,Promon 将恶意软件安装到热点用户的移动设备上,不知不觉中就窃取了特斯拉车主的用户名和密码。通过这种方法,黑客还能窃取车主手机上的银行账户和电邮账户的登录信息,以及其他敏感信息。 Promon 创始人兼首席技术官汤姆·莱斯莫斯·汉森(Tom Lysemose Hansen)称:“取消实体钥匙与银行和支付行业的做法是一样的,实体货币正在被移动货币所取代。但我们认为,特斯拉和汽车行业需要提高其应用的安全等级。” Promon 还表示,目前正与特斯拉进行密切对话。特斯拉一位发言人称,特斯拉已经意识到该问题。到目前为止,还没有车主报告称有黑客试图通过专属应用来盗取汽车。 稿源:新浪科技,封面来源:百度搜索

WordPress 自动更新服务器存漏洞,全球 27% 网站可被恶意更新

WordPress 核心更新服务器存在漏洞,允许攻击者入侵服务器并替换更新内容,受影响站点将占全球网站的 27% 。该漏洞于 9 月 2 日提交给了 WordPress 开发方 Automattic ,Automattic 在 5 天后 9 月 7 日发布了更新修复了漏洞。漏洞存在于服务器 api.wordpress.org 内的 php webhook 中,它允许开发人员设置哈希算法来验证上传代码更新的合法性。然而 WordPress 开发人员 Matt Barry 发现该验证过程采用安全性较弱的 adler32 散列算法,这导致可能的排列组合由 43 亿个( 2 的 32 次方)大幅缩减至 10 万到 40 万个。攻击者只需要数个小时即可暴力破解,获得开发者用来上传代码时使用的共享密钥,从而获得服务器访问权。 此后,攻击者可以制作一个含有后门的恶意更新下载链接,并替换 WordPress 更新服务器发送的用于更新的 URL 链接,该链接随即被推送到所有 WordPress 站点,因而,全球 27% 的网站都将受到影响。 Barry 称用于更新的 api.wordpress.org 服务是一个很可能被黑客利用的切入点,然而 Automattic 没有回应他提出的故障点讨论并更新认证机制的建议。这周在 OpenWall 安全邮件组讨论当中也有安全员提出了相似的攻击策略。 稿源:本站翻译整理,封面来源:百度搜索

Realtek 音频芯片曝致命硬件缺陷:声卡被攻击中招率100%

在防止黑客窃取隐私信息方面人们通常都会更多关注软件防护,比如安装防火墙、防病毒软件,了不起的弄一个硬盘物理加密。不过,黑客们目前已经另辟蹊径,找到了我们计算机上硬件上最隐蔽的环节来实施攻击——声卡。而且中招率接近 100%!以色列 Ben Gurion 大学的研究者写出了一段名为 “Speake(a)r” 的代码,将它植入计算机之后便会劫持声卡,即使在麦克风被禁用的情况下也能利用耳机、扬声器进行监听。 研究者表示,这种监听手段的实现依赖于 Realtek 音频芯片的一处设计缺陷。目前的 Realtek 音频芯片有一个特殊功能,在一定条件下可以将信号输出线路反转成为信号输入线路,这种功能的确方便了用户,但也给黑客提供了机会。 研究人员称,因为几乎所有个人 PC 都在使用 Realtek 音频芯片(包括主板集成声卡和独立声卡),因此这项缺陷所影响的范围是全球性的。而且由于是硬件层面的缺陷,所以目前并没有很好的方法来防止借助这种技术实施的攻击,只能期待下一代 Realtek 音频芯片可以改善设计。 稿源:cnBeta.com 有改动,封面:cnBeta