分类: 漏洞事件

Splunk 修复安全漏洞:诱导用户访问恶意网站,泄露个人信息

据外媒 3 日报道,Splunk 已修复 JavaScript 代码中存在的安全漏洞,该漏洞被编号为 CVE-2017-5607 ,允许攻击者诱导已完成身份验证的用户访问恶意网页、泄露个人信息。 Splunk 是机器数据的引擎。使用 Splunk 可收集、索引和利用所有应用程序、服务器和设备(物理、虚拟和云中)生成的快速移动型计算机数据 。(百度百科) 无论用户是否启用远程访问功能,该漏洞都会泄漏用户的登录名称,并允许攻击者使用网络钓鱼攻击方式定位用户位置、窃取用户凭据。 调查表明,该漏洞源自 Splunk 于 Object 原型在 Java 中的使用方式。专家发布 Poc 概念验证: <script> Object.defineProperty(Object.prototype,“$ C”,{set:function(val){ // prompt(“Splunk Timed out:\ nPlease Login to Splunk \ nUsername: ”+ val.USERNAME,“Password” ) for(var i in val){ alert(“”+ i +“”+ val [i]); } } }); </ script> 受影响的 Splunk Enterprise 版本为: 6.5.x 当中 6.5.3 之前的各类版本; 6.4.x 当中 6.4.6 之前的各类版本; 6.3.x 当中 6.3.10 之前的各类版本; 6.2.x 当中 6.2.13.1 之前各类版本; 6.1.x 当中 6.1.13 之前的各类版本; 6.0.x 当中 6.0.14 之前的各类版本; 5.0.x 当中 5.0.18 之前的各类版本; 以及 Splunk Light  6.5.2 之前的各类版本。 目前,该公司已针对出现漏洞的全部版本发布修复补丁。 原作者:Pierluigi Paganini, 译者:青楚      本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

苹果 iOS10.3 正式版隐藏特性:修复黑客控制 Safari 索要赎金的漏洞

苹果今天早些时候发布了 iOS10.3 正式版,其中包含了许多新功能。照常,还有一些没有写在更新日志中的改变。外媒 Arstechnica 指出,iOS 10.3 正式版修复了 Safari 中允许诈骗者欺骗用户支付费用的漏洞。 Arstechnica 的报告显示,上述 Safari 的这一漏洞允许诈骗软件的黑客用无限弹窗的方式阻止用户使用浏览器,攻击者宣称自己是执法部门,称用户查看了非法网站,解决问题的唯一办法是通过短信发送 iTunes 礼品卡的方式支付罚款。黑客针对的主要是观看色情内容或试图非法下载音乐或其他内容的用户。 Lookout 的研究人员描述了黑客如何捕获用户并欺骗他们支付赎金费用: 诈骗者滥用移动 Safari 中的弹出式对话框的功能,以阻止受害者使用浏览器。攻击将阻止在 iOS 上使用 Safari 浏览器,直到受害者以 iTunes 礼品卡的形式支付攻击者赎金。在封锁期间,袭击者显示出威胁性的信息,企图吓倒恐吓受害者,并令其付钱。 事实上,解决这个问题的方法很简单,用户可以通过清除其浏览历史和缓存来解决问题,但不了解的用户往往不知所措。使用 iOS10.3 正式版,这一漏洞已经完全被修复,因此用户不会再被困在 JavaScript 弹出窗口的无尽循环中。 稿源:IT之家;封面源自网络

医疗也疯狂 :德国美诺( Miele )清洁消毒设备被曝目录遍历漏洞

近日,德国高端家电厂商美诺( Miele )生产的 Professional PG 8528 设备被曝存在 Web 服务器目录遍历漏洞,允许攻击者未经身份验证即可访问 Web 服务器任何目录,漏洞编号为 CVE-2017-7240 。 美诺 Professional PG 8528 是一款用于消毒实验室与手术器械的医疗设备。这款设备所采用的嵌入式 Web 服务器PST10 WebServer 主要监听 80 端口,容易遭受目录遍历攻击。非法入侵者可利用该漏洞在 Web 服务器上添加并执行恶意代码以访问敏感信息。 据悉,该漏洞由在德国咨询公司 Schneider & Wulf 任职的 Jens Regel 发现并曾于 2016 年 12 月向美诺提交报告。遗憾的是,对于他的此番举动,厂商并未给予任何回应。四个月后,他决定公开披露该漏洞的概念证明( PoC ),希望引起厂商的足够重视。 Proof of Concept: ================= ~$ telnet 192.168.0.1 80 Trying 192.168.0.1… Connected to 192.168.0.1. Escape character ist ‘^]’. GET /../../../../../../../../../../../../etc/shadow HTTP/1.1 to whatever IP the dishwasher has on the LAN. 原作者:Pierluigi Paganini, 译者:青楚     校对:Liuf 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

一加 3/3T 被曝可通过恶意适配器入侵,现已修复

一加 3T 凭借着超高的性价比等优势获得了外媒 PhoneArea 的青睐,并评为 2017 年春季最佳手机,然而在众多荣耀和光环的背后却隐藏着一个安全隐患。近日,来自 Aleph Security 的安全研究专家发现一加 3/3T 存在安全问题,能够让攻击者在用户完全不知情的情况下使用恶意适配器来入侵手机。 攻击本质上依赖于两项已经曝光的漏洞,编号分别为能够绕过设备的防御机制并注入恶意代码,而且更为糟糕的是攻击者在破解过程中完全掩盖他们的足迹。 专家通过两段视频证明已经成功破解一加 3 和一加 3T 手机,可以从视频中观察到:只有在设备完全关闭的情况下恶意适配器才能执行入侵设备。即使下次重启过程中并没有连接恶意适配器,攻击者依然能够临时获得设备的 root 权限,从而让用户进入包含有恶意程序的系统。 在攻击者更改完成之后,受害者在不知情的情况下进入包含有恶意程序的系统,从而让攻击者掌握各种隐私数据和相关信息。好消息是这个漏洞仅限于一加 3 和 3T ,使用相同 Oxygen OS 的一加 2 并不存在该问题。Aleph Security 已经将这两个漏洞的详细信息提交给一加公司,在最新发布的 4.0.3 Oxygen OS 系统已经修复了这个 BUG。 稿源:cnBeta;封面源自网络

谷歌曝赛门铁克伪造证书:多个步骤减少信任

Google Chrome 工程师在开发者邮件列表上宣布将逐步减少对赛门铁克( Symantec )证书的信任。Google 发现赛门铁克旗下的 Root CA 在过去几年内未经同意签发了众多域名的数千个证书,其中包括 2015 年在 Google 不知情下为 Google 域名颁发了有效期一天的预签证书。 赛门铁克( Symantec )是世界顶级的安全机构之一,也是世界知名的 ROOT CA 机构,非常多的知名站点均使用赛门铁克颁发的证书。 据外媒报道,12 月 15 日 Google 在其官方博客上宣布将不再信任由赛门铁克旗下 Thawte CA 颁发的 Class 3 Public Primary CA 根证书。Google 称,包括旗下 Google Chrome 浏览器、Android 系统以及其他的 Google 产品都将不再信任 Class 3 Public Primary CA 根证书。Google 还透露赛门铁克似乎并不愿意更换该证书,而 该证书已不能保证用户的安全。 Google Chrome 团队称,他们从 1 月 19 日开始调查赛门铁克的证书有效性,在调查期间发现有问题的证书数量从最初报告的 127 个暴涨到至少 3 万个。开发者称,他们对赛门铁克公司的证书签发政策和实践不再抱有信心,为了用户安全起见,他们决定采取多个步骤减少对赛门铁克所签发证书的信任:对赛门铁克新签发证书接受的有效期减少到 9 个月或更少;通过多个版本的 Chrome 逐步减少对目前信任的赛门铁克证书的信任,鼓励替换现有的证书;移除对赛门铁克所签发证书的 Extended Validatio 状态的认可。Google 工程师称,他们发现赛门铁克公司允许至少四个第三方访问它的基础设施,甚至允许它们签发证书。 稿源:solido、gfan,封面源自网络

LastPass 存在漏洞允许攻击者窃取密码

近期,Google 安全专家 Tavis Ormandy 在 Chrome 和 Firefox 浏览器中发现 LastPass 密码管理扩展程序存在多个漏洞。目前,LastPass 安全专家已成功修复所有漏洞。 Lastpass 是一个优秀的在线密码管理器和页面过滤器,它采用强大的加密算法,允许自动登录多款浏览器。(百度百科) 2017 年 3 月 16 日,Ormandy 在 Firefox 版本的 LastPass 扩展(版本 3.3.2 )中发现了一个漏洞,但他并没有及时公开披露细节。随后,Ormandy 于3月21日紧接着披露了另一个影响 LastPass 的 Chrome 和 Firefox 版本漏洞并表示该漏洞不仅允许攻击者窃取用户密码,还可以在受害者启用二进制组件时远程调用( RPC )命令执行任意代码。据悉,该漏洞的传播是由于 websiteConnector.js 脚本内容未经代理服务器邮件认证,攻击者可以利用该漏洞访问内部 LastPass RPC 命令。此外,Ormandy 还发现另一个漏洞允许任何域的窃取密码,具体报告将于未来一段时间内公布。 目前,LastPass的安全专家已成功修复所有漏洞并提醒用户及时更新系统,防止数据信息的再次泄露。 原作者:Pierluigi Paganini, 译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

新型恶意 Word 文档现身网络,可攻击 Windows 和 macOS 系统

安全公司 FortiGuard Labs 发出警告,近日网络上出现了利用宏功能漏洞携带有恶意程序的 Word 文档,当 Windows 或者 macOS 设备打开这些文档之后就有可能下载各种恶意程序。微软 Office 生产力办公套件宏功能经常被网络黑客用于注入和感染系统,而新一波攻击采用了相似的手段,基于 VBA( Visual basic for Applications )代码来部署恶意程序。 而更为重要的是,本次 Word 文档中包含的恶意程序能够同时对 Windows 和 macOS 系统发起攻击,而且脚本还会尝试不同的路径来最终确保成功入侵系统。 FortiGuard 表示一旦宏命令执行 python 脚本,那么就会在受害者不知情的情况下下载文件,并在本地机器上执行。该脚本会尝试连接目标主机的 443 端口,不过在 FortiGuard 的测试中服务器并未做出响应。 稿源:cnBeta, 封面源自网络

Struts2 S2-045漏洞补丁有绕过?S2-046 来袭

就在两个星期前的 3 月 6 日,Apache 发布公告称旗下 J2EE 框架 Strtus2 存在远程代码执行漏洞,并将此漏洞编号为 S2-045,漏洞级别为高危。 在官方发布公告后,有黑客随即公布了该漏洞利用方法,仅漏洞公布后 24 小时内,知道创宇旗下云防护产品创宇盾即截获针对平台防护网站的 6 万余次攻击,且随着漏洞利用方法的大范围扩散,攻击次数急剧上升,并在利用方法公布 13 个小时内,疑似高级黑客已完成全球网站扫荡,期间知道创宇监控到大量网站因该漏洞被黑。 事情延续到 3 月 20 日,刚好是 S2-045 漏洞公开 2 个星期,Apache 在次发布公告,Struts2 再次发现漏洞,官方将最新补丁命名为 S2-046,从公布的补丁说明来看,该补丁和 S2-045 的 CVE 编号一致约为 CVE-2017-5638。 S2-046 公布后,经过知道创宇安全团队确认,创宇盾平台可不用升级即可防御针对 S2-046 漏洞的攻击,使用创宇盾的用户网站可直接防御,客户如有需可,可根据官方最新补丁公告升级 Struts2 版本至 2.5.10.1。 稿源:西盟科技资讯,封面源自网络

Cisco IOS / IOS XE 软件集群管理协议远程代码执行漏洞

近期, 继 CIA Vault7 存档泄露后,来自全球领先网络解决方案供应商思科( Cisco ) 的安全专家再度发现一个零日漏洞。该漏洞驻留在 Cisco IOS / IOS XE 软件集群管理协议( CMP )远程执行代码中允许攻击者通过执行任意代码,在无需身份验证的情况下提升权限,影响受感染设备重新装载系统。据悉,目前该漏洞未能被修复。 集群管理协议( CMP )利用 Telnet 作为内部集群成员之间的信令和命令协议。CyberX 的安全专家称,Telnet 于 1969 年建立,存在着大量的未知漏洞。攻击者可通过开源工具轻松扫描 Cisco 服务器,利用该漏洞创建大规模 DDoS 僵尸网络。 据调查,该漏洞主要与两个因素有关: 1.未将 CMP 特定 Telnet 选项限制于仅用于内部集群成员之间的本地通信; 2.错误处理格式不正确的 CMP 特定 Telnet 选项。 研究表明,该漏洞影响了 300 余台不同型号的交换机和路由器,主要包括 264 个台 Catalyst 交换机、51 台工业以太网交换机和 3 台其他 Cisco 设备。目前,存在该漏洞的设备仍在运行 IOS 并配置为接收 Telnet 连接。 研究人员称,目前还未能提供关于该漏洞的具体修复方案,但作为缓解措施,建议禁用 Telnet 连接,SSH 仍是远程访问设备的最佳选择。 原作者:Pierluigi Paganini, 译者:青楚,校对:LF 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

潜伏七年终被揪出, Linux 迅速修复 CVE-2017-2636 内核漏洞

Linux 内核漏洞( CVE-2017-2636 ),允许攻击者本地提权或导致拒绝服务,在潜伏了七年后被研究人员发现并迅速修复。 Positive Technologies 的安全专家 Alexander Popov 发现了 n_hdlc 驱动程序中存在竞争条件的问题,允许攻击者在操作系统上获得本地特权的升级。 编号为 CVE-2017-2636 的漏洞在 Linux 内核中存在长达七年之久,如今就连安全专家也无法确认该漏洞是否已被其他黑客所利用。 此驱动程序提供 HDLC 串行线路的规则,并作为多数 Linux 发行版中的内核模块,在内核配置中具有 CONFIG_N_HDLC = m 。攻击者只需要利用存在漏洞的模块,就可以自动加载。然而非特权用户则需打开伪终端,并调用 TIOCSETD ioctl 设置 N_HDLC 线路规则,才会自动加载模块。CVE-2017-2636 漏洞影响了大多数流行的 Linux 发行版本,包括 Ubuntu 、RHEL 6/7 、Fedora 、SUSE 和 Debian 。 Linux 用户可以选择安全更新或手动禁用存在漏洞的模块。Popov 解释说,根据 Linux 系统的年龄,该漏洞普遍存在于 Linux 系统中。据专家介绍,漏洞是在 2009 年 6 月 22 日引入的,时隔多年,安全专家在使用 syzkaller 进行系统调用 fuzz 测试时发现了此漏洞并报告给 kernel.org,同时还提交了一个修复补丁以及漏洞利用 PoC。 CVE-2017-2636 细节已于 3 月 7 日公开披露,目前官方已迅速修复了漏洞,并对其进行了安全更新。 原作者:Pierluigi Paganini, 译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接