分类: 漏洞事件

安全研究人员称中兴 4G 热点可能成为黑客的温床

据外媒CNET报道,安全研究人员发现了一系列影响中兴通讯4G热点的漏洞,该公司还没有为所有受影响的设备提供修复。研究人员表示,安全漏洞可能让潜在的黑客将流量从热点重定向到其他恶意网站。 周六安全研究人员在拉斯维加斯举行的黑客大会Defcon上披露了这些漏洞。一位名为“Dave Null”的Pen Test Partners研究人员详细描述了中兴通讯的安全问题,以及他对该公司如何回应的担忧。 Null表示,漏洞很容易实现 – 攻击者只需要受害者使用中兴通讯的一个热点访问恶意网站。研究人员发现,热点模型会泄露设备的密码。 “所以你要求一把钥匙,它会返回价值,”Null在Defcon之前的一次采访中说道。“它几乎没有安全保障。” 一旦攻击者获得了热点的密码,就有很多选择可以进一步攻击。黑客可以开始记录一个人的网络活动,使用热点作为攻击与其连接的设备的方式,并将网络流量重定向到更多恶意网站。 例如,黑客可以将受害者从合法的银行网站重定向到虚假版本的页面,在那里他们可以输入财务信息而不知道他们的资料已被盗取。 中兴通讯在2月份发布了针对漏洞的安全通告,但仅针对其MF910和MF65 +产品。在其公告中,该公司没有发布修复补丁,称其在2017年9月停止了这两个4G热点,但确实修复了更新的MF920和MF65M2型号的漏洞。 目前这些已停产的型号仍然在该公司的网站上列出。 Null说道,这些漏洞可能适用于“MF”系列中更多的中兴通讯产品。他发现,由于它的许多设备共享相同的密码,除非它们被修复,否则它们会共享相同的漏洞。虽然中兴通讯认为MF910已经过时,但更新后的MF920型号存在同样的问题。Null询问了哪些其他热点会共享相同的密码,但中兴通讯拒绝提供这些信息。 “他们似乎并没有主动寻找对付漏洞,”Null说道。   (稿源:cnBeta,封面源自网络。)

因机器配置问题 黑客们难以在 Defcon 上查找原型投票机的漏洞

在近日于拉斯维加斯举办的 Defcon 安全会议上,DARPA 设立了一台价值 1000 万美元的投票机原型,并欢迎各路人员寻找该机器的安全漏洞。然而由于一个意外的错误,导致大家难以向它发起测试。据悉,原因不在于研发团队花了四个月时间去完善机器的安全功能,而是因为机器在安装过程中遇到了技术难题。 (题图 via Cnet / Alfred Ng) 政府承包商首席科学家 Joe Kiniry 表示:由于机器配置错误,导致急切的安全大会参与者们无法访问这台原型投票机的系统,更谈不上为它发现漏洞了。Galois 带来了五台机器,但每台都在设置过程中遇到了问题。 Voting Village 联合创始人 HarrisHursti 称:“他们似乎遇到了无数种不同的问题。不幸的是,当你想要推动技术发展的时候,总会发生一些这样或那样的问题”。 直到周日早上“投票村”开放,与会者才终于有机会寻找这几台投票机上的漏洞。Kiniry 表示,其团队能够解决三个问题,并在 Defcon 大会结束前搞定后两个。 作为自 2017 年以来的一个保留项目,“投票村”场地旨在鼓励人们对大选用的投票机发起找茬活动。由于一些机器相当过时,有些黑客团队甚至能够在几分钟内发现漏洞。 随着 2020 美总统大选即将开启,人们对于投票机的安全意识也日渐提升。今年 3 月份的时候,Galois 获得了 DARPA 的 1000 万美元奖金,以打造一套能够防止被黑客篡改的开源投票机。 其原型机支持人们通过触屏进行操作、打印出他们的选票、并将之插入验证机器,从而确保投票的结果安全有效。尴尬的是,为了确保安全,原型机将外部接口都取消掉了,导致黑客无法展开必要的测试。 一台机器无法连接到任何网络,另一台没有运行必备的测试套件,第三台机器甚至无法上线。Galois 一直在 Defcon 上努力设置机器,但其对于周日的情况感到相当乐观。 对于 Galois 来说,较晚的起步确实令人失望。不过 Kiniry 表示:“这是我们在这些机器上获得可靠性的第一天”。 据悉,为了打造这套原型装置,开发团队回溯了过去 20 年来的投票机 bug,然后遵从国防部相应的安全标准来构建。 为了尽可能地完善原型投票机,Galois 甚至故意包含了一些漏洞,以了解系统是如何防范的。最后,该团队已经做好了在 2020 年重返 Defcon 的准备。   (稿源:cnBeta,封面源自网络。)

尽管谷歌已修复漏洞 网站仍会检测 Chrome 是否处于隐身模式

针对启用了无痕模式的 Chrome 用户仍会被不守规矩的网站强行检测一事,谷歌方面已经修复了一处漏洞。尴尬的是,这场利益攻防战并没有就此结束,因为聪明的网站仍会通过其它方法来检测 Chrome 76 是否启用了隐私浏览模式。其实 Chromium 团队自身也意识到存在这种可能,毕竟浏览器还提供了一些其它必要的应用程序接口(API)。 (题图 via Techdows) 默认情况下,Google 会在 Chrome 浏览器启用无痕模式时禁用文件系统 API,以防止将浏览历史记录保存到磁盘上。 反之,网站可以通过 Filesystem API,对用户浏览器的当前模式进行判断。然后强行要求用户登录或创建免费账户,以继续浏览完整的内容。 在意识到这个漏洞之后,谷歌引入了一个新的标记(flag),以便在无痕模式下启用 了 FileSystem API,Chrome 76 中已经默认打开。 谷歌在一篇博客文章中写到,其已经修复了某些网站不当利用 FileSystem API 的一个漏洞。 遗憾的是,即便急用了这个标记,《纽约时报》网站仍会检测到该模式是否已开启(如上图所示)。 近日有一位安全研究人员透露,Chrome 浏览器未能真的做到应对无痕模式的检测防御,因为网站仍可通过 Quota Management API 来检测。 另一位名叫 Jesse Li 的开发者,更是给出了一个技术概念验证,表明网站仍可通过评估 Filesystem API的 写入速度,来检测无痕模式。 当然,Chromium 开发团队仍可通过其它措施,来修复针对 Chrome 无痕模式的反向检测,比如可从配额和计时方面着手。   (稿源:cnBeta,封面源自网络。)

CheckPoint 吐槽微软对影响 Azure 的远程桌面协议漏洞重视程度不够

微软一直吹嘘自家 Azure 云基础设施的安全性,但近期的一份报告称,它还是很容易受到网络攻击。Check Point Research 指出,其在常用协议中发现了大约 12 个漏洞,导致数以百万计的微软云用户暴露在潜在的网络攻击之下。在本周早些时候举办的黑帽安全会议上,该公司指出远程桌面协议(RDP)漏洞或被别有用心的攻击者利用。 (来自:Check Point,via MSPU) 黑客能够利用 RDP 漏洞来查看、更改和删除数据,或在受害者系统上创建具有完全管理权限的新账户。尽管 RDP 最初是由微软开发的,但也有几款 Linux 和 Mac 应用程序使用了该协议。 Check Point Research 补充道,其在 Hyper-V 管理器中发现了另一个漏洞,它允许用户在 Windows 上创建和管理虚拟机。 任何连接到云端的 Windows 计算机、在其中工作的用户、或使用微软本地 Hyper-V 虚拟机的用户,都有可能成为其描述和演示的攻击者的目标。 参考木桶原理,一套系统的安全性,取决于防护措施最不到位的那一环。换言之,通过依赖其它软件库,Hyper-V 管理器可以继承 RDP 中任何其它软件库中的所有安全漏洞。 尽管开源社区很快就对此做出了反应,并修补了相应漏洞,但微软仍未修补最初的 mstc.exe 。其辩称,尽管这些漏洞很是严重,但它并未达到该公司的‘服务标准’。 然而该公司确实在 Check Point 向其发出通知后,发布了一个涉及 Hyper-V 管理器问题的补丁、以及常见漏洞披露(CVE)警告。 (图自:Check Point Research | PDF) Eyal Itkin 表示,Check Point 对微软最初的反应感到失望。庆幸的是,在他们告诉其有关 Hyper-V 产品的联系后,该公司立即就给出了不同的响应。最终他们意识到这算是一个漏洞,并发布了一个补丁。 据悉,微软在 7 月份发布了相关安全更新,启用 Windows Update 自动更新的客户将受到保护。如果未能及时部署,还请手动检查一下。   (稿源:cnBeta,封面源自网络。)

只需发送一条短信 黑客就能成功入侵你的 iPhone

正在拉斯维加斯举办的黑帽安全峰会上,来自Google Project Zero团队的安全专家Natalie Silvanovich展示了存在于Apple iOS iMessage客户端中的无交互漏洞,只需要一条短信就可通过这些漏洞来控制用户的设备。目前苹果已经发布了这些BUG的部分安全补丁,但是并没有完全进行修复。 这些漏洞可以变成各种BUG,用于执行恶意代码以及访问用户的数据。所以最糟糕的情况就是有黑客利用这些错误来伤害用户。Silanovich与Project Zero成员SamueLGroß合作发现这些漏洞,通过逆向工程之后在iMessage中发现了多个可利用的漏洞。 出现这些漏洞的原因是因为iMessage提供了一系列通信选项和功能,例如Animojis和Apple Pay等等,这必然带来了更多的BUG和漏洞。这个无交互漏洞允许黑客从用户的信息中提取信息。这个漏洞还允许攻击者向目标发送特制的文本内容,偷换SMS短信或者图片中的内容。 虽然iOS通常具有阻止攻击的保护措施,但这个漏洞利用了系统的底层逻辑,因此iOS的防御措施将其解释为合法。由于这些漏洞全程不需要受害者参与,因此特别受到暗网和黑客组织的青睐。 Silanovich发现,这些漏洞在暗网上价值可能达到数千万美元。 Silanovich表示:“在像iMessage这样的程序中会有很多额外的攻击。个别错误相当容易修补,但你永远无法找到软件中的所有错误,你使用的每个库都将成为一个攻击面。因此,设计问题相对难以修复。”   (稿源:cnBeta,封面源自网络。)

KDE 存在一个很容易利用的 0day 漏洞,影响广泛

安全研究员 Dominik Penner 披露了 Linux KDE 桌面环境上存在的一个 0day 漏洞。 根据 Dominik 的说法,此漏洞存在于 KDE v4 与 v5 版本中,该漏洞使得嵌入在 .desktop 和 .directory 文件中的命令在打开文件夹或者将压缩文件夹提取到桌面时即可执行,目前几乎所有 Linux 发行版都在使用易受攻击的 KDE 版本。 .desktop 和 .directory 文件是符合 freedesktop.org 标准的桌面环境使用的配置文件,它们用于配置应用和文件夹的显示方式。.desktop 文件用于在 KDE 菜单中注册应用程序,而 .directory 文件用于描述 KDE 应如何显示文件夹。 在 BleepingComputer 的采访中,Dominik 解释:“KDE 4/5 容易受到 KDesktopFile 类中的命令注入漏洞的攻击。当实例化 .desktop 或 .directory 文件时,它通过 KConfigGroup::readEntry() 函数使用 KConfigPrivate::expandString()  不安全地评估环境变量和 shell 扩展。使用特制的 .desktop 文件,当用户在文件管理器中下载和查看文件,或者将链接拖放到文档或桌面上,就会被攻击。” 问题主要出在 KDE 允许 Shell 扩展通过环境变量或执行命令动态生成字段的值,“它们使用与 freedesktop 规范相同的语法,但是因为它们也允许 Shell 扩展(freedesktop 不允许这样做),所以这是可利用的。” 如开头 gif 所示,BleepingComputer 做了个简单的测试,可以很直观地了解该漏洞的执行过程。 该测试特别简单,测试者创建了一个 ZIP 文件,其中包含了一个带有 .directory 文件的子文件夹,在该配置文件的 icon 字段中,嵌入了一个启动并执行 kcalc 计算器的 test.sh 脚本。 因为目前无法关闭 KDE 桌面的 Shell 扩展来缓解该问题,所以 Dominik 建议用户检查每一个 .desktop 或 .directory 文件并禁用任何动态条目。   (稿源:开源中国,封面源自网络。)

微软警告黑客组织 Fancy Bear 正试图利用物联网设备漏洞

微软威胁情报中心报道称,俄罗斯黑客组织 Fancy Bear 一直试图利用 VoIP 电话和打印机等物联网设备,对企业网络展开渗透。外界普遍猜测,该组织拥有俄罗斯官方背景,又名 Strontium Group 或 APT 28 。该组织已成功地在 50 多个不同的国家 / 地区,感染了超过 50 万台消费级路由器。 (题图 via MSPU) 今年 4 月,黑客试图将企业的物联网设备作为目标,借助这些“跳板”来渗透规格更大、安全措施更严格的企业网络。 三起事件中的两件,归咎于物联网设备使用了默认的出厂设置。另一件则是设备使用了过时的固件,其中包含了已知的漏洞。 获得物联网设备的访问权限后,攻击者会进一步破坏网络上其它易受攻击的设备和节点。 通过简单的扫描,该组织可在企业内网畅通无阻地移动,寻找获得更高级别账户的访问权限,以窃取高价值的数据。 此外,黑客可执行“tcpdump”,以发现本地子网上的网络流量。幸运的是,袭击事件被迅速扼杀在了萌芽状态。 在调查结束后,我们已于所涉特定设备的制造商分享了这些信息,希望它们能够借此来探索其产品的全新保护措施。   物联网设备制造商需要对安全威胁保持更广泛的关注,了解此类威胁类型的组织和安全团队,以提供更好的企业支持和监控功能,让技术团队更轻松地保障网络安全。 据悉,同一黑客组织还与针对民主党全国委员会(DNC)、法国 TV5 Monde 电视台、以及德国外交部等机构的攻击事件有关。 安全研究人员指出,该组织还攻击了正在调查与俄方有关的网络犯罪事件的调查人员的电子邮件账户,比如 Skripal 中毒和马航 MH17 空难事件的调查者。 显然,这些未遂攻击的揭露,是微软对行业需加强物联网设备安全性的最新警告,否则后续攻击事件还会接踵而至。   (稿源:cnBeta,封面源自网络。)

网站漏洞导致超过 2000 名参与报道 E3 的记者个人信息泄漏

在参与报道了全球最大的视频游戏大会E3之后,由于组织方系统存在的安全漏洞导致大量记者的个人联系信息被公开曝光。在报告中称目前已经有超过2000人受到影响,除了各大新闻机构和媒体的记者、编辑之外,还有YouTube和Twitch等视频网站上的网红主播,以及高盛、IMDb和其他公司的工作人员。 本周六E3游戏展的组织方Entertainment Software Association(简称ESA)向这些受影响的记者发出了电子邮件警告,而这些记者都通过官方渠道注册参与了今年6月在洛杉矶会议中心举办的游戏大展,并获得了新闻报道证书。 在发送给记者的电子邮件中写道:“我们为ESA会员和参展商在一个密码保护的参展商网站上提供了媒体列表,方便用户联系媒体进行报道,以及更好地传播参展方的展示内容。而在过去20多年来一直没有问题。” 在发现这个问题之后,ESA在本周五已经发布告示称参展商网站存在缺陷,导致记者和媒体名单公布于众,随后ESA立即关闭了这个网站。 YouTuber Sophia Narwitz早些时候报道了这个漏洞并注意到她已经联系了ESA,它说可以通过点击公共E3网站页面上标有“注册媒体列表”的链接来下载一份包含联系人列表的电子表格。 她表示在这份名单中还包括了私人的住址信息,任何以新闻或内容创作者身份出席E3的人都可能受到影响。 ESA表示对此事件感到遗憾,并已采取措施确保不再发生这种情况。   (稿源:cnBeta,封面源自网络。)

本田汽车云端数据库未设密码 全球员工信息险遭泄露

讯 8月1日下午消息,据台湾地区科技媒体报道,安全研究人员发现,日本汽车大厂本田汽车(Honda Motor)一个包含全球所有员工信息的数据库,由于未设密码很可能会被人一览无余。在接到通报之后,本田已经修补了相关漏洞。 7月初,安全研究人员Justin Paine在网络上发现本田汽车一个未设密码的ElasticSearch数据库,似乎是本田汽车在全球所有员工电脑的库存管理数据库。这个数据库今年3月中旬才上线,但至今累积的数据量高达40GB,包含约1.34亿份文件。 经过检查,这批陷遭暴露的数据包括几乎所有本田电脑相关信息。其中一个表格包含员工电子邮件、部门名称、本田机器主机名称、MAC位置、内网IP、操作系统版本,另一个表格则有员工姓名、部门、员工编号、帐号、手机号码及最近登录时间。研究人员甚至发现本田CEO的完整电子邮件、全名、MAC位置、Windows操作系统版本、IP及设备类型。 另外,本田公司的电脑用了哪家终端安全软件,哪些机器已安装、哪些有更新版本及哪些没有没有更新版本也一目了然。为避免成为黑客的下手目标,研究人员并未提及厂商名称。 研究人员通知本田后,后者已于当天封闭漏洞。本田表示,经过追查系统日志,未发现有任何遭到第三方人士下载的迹象,目前也没有数据外泄的证据。本田表示已做好相关强化,确保未来不会重蹈覆辙。   (稿源:,稿件以及封面源自网络。)

Wind River 修复了 VxWorks 实时操作系统的 11 个重大安全漏洞

平时人们总能听到有关 Windows 和 Android 操作系统的漏洞报告,iOS 和 Linux 则要少一些。不过本文要为大家介绍的,则是 VxWorks 实时操作系统(RTOS)曝出的 11 个严重的零日漏洞。RTOS 被广泛应用于行业内的关键计算机系统上,此次曝出的大型安全漏洞,很可能引发灾难性的后果。 (题图 via SlashGear) 报道称,过去 13 年里,这些设备已存在不少于 11 个零日漏洞。遗憾的是,由于 RTOS 设备属于电子设备领域的沉默工作者,媒体并没有对其加以广泛的关注。 举个例子,RTOS 软件驱动着从调制解调器、电梯、乃至核磁共振(MRI)扫描仪等在内的各种机器。而 VxWorks 的客户名单,涵盖了 Xerox、NEC、三星、理光等知名企业。 物联网安全研究机构 Armis 将这些漏洞统称为 URGENT / 11,以敦促行业尽快更新机器的 RTOS 系统。其中六个比较严重的漏洞,或赋予攻击者远程代码执行的权限。 另外五个漏洞没有这样致命,但也可以在没有用户交互的情况下,授予攻击者相应的访问权限。讽刺的是,它们甚至可以绕过 VxWorks 自带的防火墙和 NAT 等安全设备。 视频:https://player.youku.com/embed/XNDI5NjAwOTAyNA==  (via URGENT11 Explained) 尽管 GRGENT / 11 的名字看起来有些平淡,但 Armis 还是希望业界能打起 12 分精神。研究人员提出了三种潜在的攻击方式,称威胁可来自内部或外部网络,另一项甚至威胁到了网络本身的安全措施。 Armis 表示,URGENT / 11 对工业和医疗保健行业造成了最大的风险,因其广泛使用运行 VxWorks 的设备。 好消息是,Wind River 已在 7 月 19 日发布的补丁中进行了修复。坏消息是,使用 RTOS 的设备,并不能简单地执行应用软件更新。   (稿源:cnBeta,封面源自网络。)