分类: 漏洞事件

美国应用交付网络 F5 Networks 产品存在高危漏洞,攻击者可远程恢复加密数据、开展 MitM 攻击

HackerNews.cc 11 月 20 日消息,德国鲁尔大学的研究人员 Hanno Böck 与 Juraj Somorovsky 近期发现美国应用交付网络(ADN)领域的 F5 Networks 产品存在一处高危漏洞(CVE-2017-6168、CVSS 分值为 9.1),允许黑客远程恢复加密数据并发动中间人(MitM)攻击。目前,受影响产品是 F5 BIG-IP 企业管理器的一部分,其中包括 LTM、AAM、AFM、Analytics、APM、ASM、DNS、GTM、Link Controller 与 PEM 等产品。此外,该漏洞也影响了 F5 WebSafe 反欺诈解决方案。 调查显示,该漏洞在线暴露了虚拟服务器配置客户端的 SSL 配置和 RSA 密钥交换功能,从而允许黑客发动 chosen-ciphertext 攻击(又称 Bleichenbacher 攻击)。此外攻击者还可通过该漏洞针对使用 RSA 密钥交换器建立的 TLS 会话发起黑客攻击、远程恢复加密数据并启动中间人 (MitM) 攻击。网络安全公司 Cloudflare 的安全专家 Nick Sullivan 指出,该漏洞与臭名昭着的 DROWN 类似,允许攻击者在使用 SSLv2 时解密 TLS 通信。不过随着 SSLv2 需求的消除,F5 Networks 漏洞也变得愈加严重,因为黑客只需要一个使用密钥的服务器就可解密 TLS 会话。 另外,F5 Networks 在其安全报告中表示:“黑客恢复的加密数据需要在 TLS 会话结束后才可读取。利用此漏洞进行 MiTM 攻击需要攻击者在配置的握手超时窗口内的目标会话握手阶段完成初始攻击,这可能需要数百万次服务器请求。“这种攻击可以针对任何使用 RSA 签名的 TLS 会话进行,但只有在使用 RSA 密钥交换的密码套件也在虚拟服务器上启用的情况下适用。机会有限,带宽限制和延迟使得这种攻击更难执行”。 目前,F5 Networks 已修复受影响产品的安全漏洞并发布更新。此外,该公司还提醒各企业检查自家虚拟服务器的通用警报是否已经开启,以便抵制黑客攻击的同时减少各企业利益的损失。 消息来源:securityweek,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

Android MediaProjection 服务被曝高危漏洞,允许黑客窃听系统音频、截取设备信息

据外媒 11 月 20 日报道,网络安全公司 MWR 的研究团队近期发现 Android MediaProjection 服务存在一处高危漏洞,允许黑客窃听系统音频、截取用户屏幕等敏感信息。目前,运行 Lolipop、Marshmallow 和  Nougat 应用的 Android 设备普遍遭受影响(约占所有 Android 设备的 77.5%)。 MediaProjection 是一项允许应用程序捕获屏幕、记录系统音频的服务,其自推出以来就存在于 Android 系统当中。不过,要想使用这一服务功能,其应用程序需要在线发出请求后通过 SystemUI 弹出窗口获取 root 访问权限,并使用设备的系统密钥进行签名。据悉,虽然 MediaProjection 早期仅供 Android OEM 开发的系统级应用程序使用,但随着 Android Lolipop(5.0)的发布,Google 向所有应用开放了这项服务。 调查显示,此漏洞的根源在于易受攻击的 Android 设备不能检测部分隐藏的 SystemUI 弹出窗口机制,即攻击者可以在开发一款应用程序时覆盖 SystemUI 的弹出,从而绕过安全检测。一旦用户点击已被覆盖的页面后攻击者即可获取 root (包括捕获用户屏幕和音频的)权限。研究人员强调,黑客利用该漏洞开展攻击时并非完全无法察觉。如果一款应用访问 MediaProjection 服务时,它会在生成一个虚拟显示,从而自动激活通知栏中的截图图标后获取用户信息。如下图所示: 目前,Google 仅在 Android Oreo Android Oreo(8.0)版本中修补了漏洞,但旧版本仍受到该问题的影响。另外,尚不清楚 Google 是否计划针对较早受影响的 Android 版本进行修复,对此研究人员提醒用户尽快更新设备或通过应用程序的 WindowManager 中启用 FLAG_SECURE 参数,以便确保应用程序的界面安全。 消息来源:securityaffairs.co ,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

英特尔在 Management Engine 系统中发现多处漏洞

自 2008 年起,英特尔处理器平台内置了一个低功耗子系统 Management Engine(ME),它包含了一个或多个处理器核心、内存、系统时钟、内部总线、保留的受保护内存、有自己的操作系统和程序,以及能访问系统主内存和网络。过去几个月,ME 引发了越来越多的关注,安全研究人员也在 ME 中发现了多个问题。 英特尔因此在对 ME、Server Platform Services (SPS)和 Trusted Execution Engine (TXE) 展开了深入的安全评估后发现多处漏洞,旨在提权与缓冲溢出。芯片巨人已经释出最新版本的固件修复。据悉,受影响的产品包括了第 6、7 和 8 代 Core 处理器、多款至强处理器、Atom  C3000、Atom E3900、Apollo Lake 奔腾、赛扬 N 和 J 系统。 稿源:solidot奇客,封面源自网络;

英飞凌漏洞或危及西班牙 6000 万公民智能卡身份证

前景提要:捷克 Masaryk 大学的安全研究人员于今年 10 月中旬发现,德国半导体制造商英飞凌 Infineon 科技公司所采用的专用微控制器 TPM 存在一处高危漏洞 ROCA(CVE-2017-15361),允许攻击者进行因数分解攻击的同时,通过目标系统的公钥反向计算私有 RSA 加密密钥。此外,该种攻击手段影响了公司 2012 年之前生产的所有加密智能卡片、安全令牌以及其他安全硬件芯片等。 据外媒 ZDNet 11 月 17 日报道,继爱沙尼亚数周前被曝 76 万国民电子身份证受英飞凌加密漏洞 ROCA 的影响后,网络安全公司 Enigma Bridge 研究人员 Dan Cvrcek 于近期再次发现该漏洞或将危及西班牙逾 6000 万张代表国民身份的智能卡片 DNIe 。 每一张 DNIe 卡片都是独一无二的,它其中内含两款证书芯片分别用于身份识别和电子签名。据悉,攻击者可通过该漏洞在用户使用电子签名时导致合约签署失效,不过出现这一状况的部分原因还有可能是因为西班牙公民在一些重要签名时未使用时间戳进行记录。西班牙国家报《El País》 在此前的调查中写道:“虽然公民仅仅只在 0.02% 的公共服务中使用了该身份证件,但随着影响规模的不断增大,其攻击场景也会随之变得更加混乱。” 近期,虽然西班牙政府在此次事件发生后强烈建议用户在多数公共部门的自助终端上禁用该智能卡片进行电子签名,但用户仍可通过个人电脑的小型读卡器使用该卡片对其文件进行在线签名。当地警方与其他公共机构当前仍保持沉默,尚未通过社交媒体提供有关漏洞的影响以及受到影响后如何采取措施的更多信息,而西班牙巴斯克的证书颁发机构 Izenpe 目前已撤销 3 万份证书,并提供了关于如何更换证书的相关信息。 消息来源:ZDNet,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

GitHub 将警告开发者流行软件库的漏洞

研究人员表示,当今的软件项目通常有大量的依赖库,而上游库的漏洞将会影响到下游软件。据悉,最大的开源软件开发平台 GitHub 于近期宣布了安全警告服务,将搜索依赖库后寻找已知漏洞,以便帮助开发者尽可能快的修复漏洞。 目前,GitHub 将会识别所有使用受影响依赖的公开项目。然而,使用私有库的项目则需要选择加入后才能使用安全警告服务。 稿源:solidot奇客,发明源自网络;

逾 2000 万亚马逊 Echo 与 Google Home 设备易遭 BlueBorne 攻击

网络安全公司 Armis 研究人员于今年 9 月在蓝牙协议中发现 8 处零日漏洞,允许黑客远程操控 Android、iOS、Windows 与 Linux系统后普遍影响逾 53 亿台机器,其中包括所有运行 9.3.5 或更旧版本的 iOS 设备、运行时间超过 Marshmallow 或更旧版本的 Android 设备以及运行 Linux 版本的数百万智能蓝牙设备等。随后,研究人员将这 8 处漏洞构建成一组攻击场景,并将其称为 “ BlueBorne ”攻击。 近期,Armis 研究人员在调查时发现逾 2000 万台亚马逊 Echo 与 Google Home 的智能扬声设备也极易遭到 BlueBorne 攻击,允许攻击者完全接管蓝牙设备、传播恶意软件,甚至建立 “ 中间人 ”(MITM)连接,从而在无需与受害用户进行交互时访问设备关键数据与网络。不过,要想快速实现攻击,除受害设备的蓝牙处于开启状态外,还需在攻击设备连接范围之内。 调查显示,亚马逊 Echo 或将受到 BlueBorne 其中两处漏洞影响: Ο Linux 内核中存在远程执行代码漏洞(CVE-2017-1000251) Ο Linux 蓝牙堆栈(BlueZ)中存在信息泄漏漏洞(CVE-2017-1000250) 而 Google Home 设备会受到其中一处漏洞影响: Ο Android 设备中存在信息泄露漏洞(CVE-2017-0785) 值得注意的是,BlueBorne 对亚马逊 Echo 的威胁要比 Google Home 设备更加严重,因为它所使用的 Linux 内核易受远程代码执行漏洞的攻击,且自身的 SDP 服务器也存在信息泄露的风险。然而,Google Home 主要受到 Android 蓝牙堆栈中信息泄露的影响,其允许攻击者阻止 Home 的蓝牙通讯功能后肆意开展拒绝服务(DoS)攻击。 Armis 在发现亚马逊与谷歌设备极易遭受 BlueBorne 攻击后立即对其进行了报备,随后两家公司也迅速发布了漏洞补丁修复。研究人员提醒用户可以从 Google Play 商店安装 “ BlueBorne 漏洞扫描器 ”,以检查设备是否遭受 BlueBorne 攻击。如果发现易受攻击,建议用户在不使用设备时关闭蓝牙。目前 Amazon Echo 客户应确认所使用的设备运行着 v591448720 或更高版本,而 Google 方面尚未提供有关其版本的任何信息。 原作者:Swati Khandelwal,编译:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Windows 7/8.1 迎来 11 月更新汇总:修复诸多 BUG

据悉,微软在本月的补丁星期二活动中为 Windows 10 系统发布了更新,并也面向 Windows 7/8.1、Windows Server 2008/2012 发布了月度更新汇总。如果用户还在使用 WIndows 7 SP1 或者 Windows Server 2008 R2 SP1,那么可通过微软 Update Catalog 中下载 KB4048957 更新。  KB4048957 更新主要修复的内容如下: ● 修复了基于微软 JET Database 引擎(Microsoft Access 2007 以下版本或者其他非微软应用)的应用在创建和打开微软 Excel的.xls 文件出现错误的问题。错误提示信息为:“Unexpected error from external database driver (1). (Microsoft JET Database Engine)。” ● Microsoft Windows Search Component, Microsoft Graphics Component, Windows kernel-mode drivers, Windows Media Player和Windows kernel 的安全更新。 如果你正在使用 Windows 8.1 或者 Windows Server 2012 R2,那么你会获得 KB4048958 更新,包含的更新内容如下: ● 修复虚拟智能卡无法访问 Trusted Platform Module (TPM)的问题 ● 修复了基于微软 JET Database 引擎(Microsoft Access 2007 以下版本或者其他非微软应用)的应用在创建和打开微软 Excel 的 .xls 文件出现错误的问题。错误提示信息为:“Unexpected error from external database driver (1). (Microsoft JET Database Engine)。” ● 修复了 IE 浏览器使用更大字体时候出现崩溃的情况 ● 修复了导致 SharePoint Online 网站无法在 IE 浏览器中工作的情况 ● Microsoft Windows Search Component, Microsoft Graphics Component, Windows kernel-mode drivers, Windows Media Player和Windows kernel 的安全更新。 由于本次累积更新刚刚推出,目前尚不清楚是否出现“惯例”的无法安装问题,但是每次更新多少都会出现这样或者那样的问题。但坦白来说,首先微软服务面向的设备众多,而且在每次的累积更新中都经过了大量的测试,并努力地降低失败安装的比例。 稿源:cnBeta,封面源自网络;

英国协同办公软件 Huddle 存在安全漏洞,或致毕马威会计师事务所、英国医疗服务 NHS 等机构敏感信息泄露

据英国媒体 BBC 报道,安全研究人员于近期访问毕马威会计师事务所(KPMG)共享的工作日志时意外发现英国协同办公软件 Huddle 存在一处安全漏洞,致使用户敏感信息在线泄露。目前,该研究人员已通过与毕马威无关的签名证书获取公司财务信息。此外,英国国家卫生服务组织 NHS、内政部和税务及海关部等超过 16 万家机构均使用了该办公软件处理企业工作。 调查显示,如果不同用户利用该漏洞在 20 毫秒内进行两次登录将会得到同一授权密码,这意味着在双因素验证过程中,第一位点击链接输入密码的人与下一位用户将被认为是同一个人并被授予管理员权限。据称,该漏洞影响了今年 3 月至 11 月期间的六位客户会话,并证实第三方供应商可能已经访问目标客户敏感信息,而官方发言人表示,“在同一时间段内 Huddle 发生过四千九百多万次登录,发生这种错误的情况是非常罕见”。 Huddle 随后发表声明,宣称公司对于此次事件的发生深表歉意,他们正与其所有合作厂商取得联系,以便妥善解决此类问题。 安全研究人员经调查发现,虽然该漏洞对于政府、金融机构以及大学在内的用户群体来说影响较小,但所有软件都可能存在漏洞,甚至那些声称为用户信息提供超级安全保护的软件。目前,Huddle 已在接到通知后及时修复补丁。不过,毕马威现并未发表任何置评。 原作者:Jason Murdock,译者:青楚  本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

AVGater 攻击:可滥用反病毒软件隔离功能提权,影响卡巴斯基、趋势科技等多家安全厂商产品

HackerNews.cc 11 日消息,安全专家 Florian Bogner 近日设计了一种名为 AVGater 的攻击方法 ,可通过滥用某些杀毒软件的隔离功能来提升权限。目前已确认有包括卡巴斯基、趋势科技,Check Point 在内的多个流行反病毒软件也受此漏洞影响,均可通过滥用隔离功能感染系统并提权。 安全专家 Bogner 的表示,攻击者先通过引导杀毒软件软件将恶意 DLL 文件放入隔离区,然后攻击者利用软件 (具备 SYSTEM 权限)的 Windows 进程来恢复该文件。然而恶意 DLL 并不会被恢复到原始路径,而是进入操作系统执行特权的区域(如 Program Files 或 Windows 文件夹),而在此区域内低权限用户根本无法删除恶意文件。 “如果一个非特权用户能够操纵跨越安全边界的任何通信通道(”非特权用户模式到特权用户模式“或”特权用户模式到内核模式“),那么他将能够提升他的特权。”Bogner 表示,正如视频中所演示的情况,文件恢复过程通常由具备特权的杀毒软件执行,因此文件系统 ACL 是可以被规避的(因为它们并不真正指望 SYSTEM 用户权限)。这种类型的问题被称为特权文件写入漏洞,可用于在系统中的任何位置放置恶意 DLL。同时专家也强调,AVGater 漏洞只能是在“受影响系统可以恢复被隔离文件”的情况下被利用。 影响卡巴斯基、趋势科技等多家安全厂商产品 研究人员表示,目前漏洞影响到来自 Emsisoft,卡巴斯基实验室,Malwarebytes,趋势科技,Check Point 和 Ikarus 的反病毒软件,其他厂商的反病毒解决方案也会受到影响,但考虑到问题严重性目前不便透露这些厂商的名称。 安全专家 Bogner 目前仅发表了针对 Emsisoft 和 Malwarebytes 反病毒软件的 AVGater 攻击详细分析报告 ,Emsisoft 和 Malwarebytes 官方也已在一周内发布了安全补丁。HackerNews.cc 在此提醒读者朋友们尽快留意安全厂商发布的相关信息并及时更新反病毒产品。 详细报告内容:<#AVGater: Getting Local Admin by Abusing the Anti-Virus Quarantine> 文章编译自 securityaffairs.co,译者:FOX 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

研究显示通过 USB 接口触发英特尔 ME 漏洞可成功入侵目标系统

网络安全公司 Embedi 研究人员 Maksim Malyutin 于今年 3 月发现 Intel Management Engine(IME) 存在一处高危漏洞(CVE-2017-5689),允许黑客用作后门攻击时执行恶意活动。随后,莫斯科安全机构 Positive Technologies(以下简称 PT) 于今年 9 月找到一种利用 IME 漏洞展开黑客攻击的最新技术,并计划将在 12 月举行的欧洲 Black Hat 安全会议上展示。 自 2008 年起,英特尔处理器平台都内置了一个低功耗的子系统 ME,其包含一个或多个处理器核心并与平台控制器中枢芯片协同使用,是 Intel 的一个固件接口,用于处理器与外围设备的通讯传输。 然而,事情并未结束。PT 研究人员近期发表一份安全报告,旨在提供关于该漏洞利用技术的更多细节,即从目标设备的 USB 接口触发漏洞访问系统,从而允许任何主板上都可运行无符号代码。此外,知情人士透露,该漏洞技术可以通过以下两种方式加以利用: 1、非特权网络攻击者可以通过获取系统特权配置英特尔主动管理技术(AMT)和英特尔标准可管理性(ISM)加以利用: CVSSv3 分值为 9.8   / AV:N / AC:L / PR:N / UI:N / S:U / C:H / I:H / A:H 2、非特权本地攻击者可以通过获取非特权网络或本地系统特权配置英特尔可管理性特性(ISM)加以利用:  CVSSv3 分值为 8.4   / AV:L / AC:L / PR:N / UI:N / S:U / C:H / I:H / A:H PT 研究人员表示,他们已经利用英特尔管理引擎的硬件进行了调试(JTAG),并通过英特尔 USB 接口(DCI)获得了对所有 PCH 设备(平台控制器中心)的访问权限。不过,这种技术仅影响 Skylake 及新平台的处理器。目前,研究人员表示暂时无法彻底移除 IME 组件,因为它被植入于计算机中最核心的中央处理器里。而现在唯一的预防手段,就是关闭 IME 固件。 原作者:Pierluigi Paganini,译者:青楚  本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接