分类: 安全快讯

甲骨文例行更新修复了 301 个安全漏洞 包含 45 个严重漏洞

甲骨文(Oracle)于本周进行了每季度的例行重要补丁更新(Critical Patch Update,CPU),修复了 301 个安全漏洞,其中有 45 个被列为严重(Critical)等级,在 CVSS 漏洞评分系统上达到 9.8 分,最严重的 CVE-2018-2913 为 10 分。 本周的修复更新涉及到甲骨文旗下的十多款产品,覆盖了 E-Business Suite、Fusion Middleware、Oracle MySQL、Communications、Hospitality、Retail、Java SE 及 PeopleSoft 等。其中漏洞最多的产品为 Fusion Middleware,总共修复了 65 个相关漏洞。其他依次是 Oracle MySQL 的 38 个、Retail 的 31 个与 PeopleSoft 的 24 个。本次甲骨文只修复了 Java SE 上的 12 个漏洞,有 11 个可通过远程进行利用。这是甲骨文 2018 年的最后一次修复更新,也让今年漏洞的总修复量达到了 1119 个。 被列为最高优先级需要修复的漏洞是 CVE-2018-2913 —— 影响了 Oracle GoldenGate,Oracle GoldenGate 是业内成熟的数据容灾与复制产品,也是基于日志的结构化数据复制备份软件。该漏洞属于堆栈缓冲区溢出漏洞,允许未经授权的黑客通过远程进行入侵。相关安全人士指出,相关攻击并不复杂,再加上攻击活动可通过远程执行且不需凭证,黑客还可通过它入侵 GoldenGate,从而影响企业中的其它产品,让情况更加恶化,呼吁企业谨慎对待该漏洞。 还有安全人士指出,甲骨文本季度所修复的 Java 漏洞绝大多数都是针对 Java 8 及更早的版本,只有少数的修复是针对 Java 9,Java 10 与 Java 11;此外,尽管甲骨文即将要在明年 1 月终止对 Java 8 的公开支持,但有大量的企业应用仍在使用 Java 8,如果不升级的话,这些企业未来可能会因此而陷入困境。 最后,甲骨文还是一如继往地鼓励用户立即更新产品,以防黑客利用这些已被公开的安全漏洞。   稿源:开源中国,封面源自网络;

PHP 5 将于年底停止更新,六成用户将面临安全风险

网络技术应用研究公司 W3Techs 近日表示,根据所有网站使用 PHP 版本的情况,从2019年1月1日起,有近62%的网站将会因为无法获得安全更新,而受到恶意攻击。 根据 W3Techs 的调查,从本月 15 日开始,其研究的网站样本中使用的 PHP 的比例高达 78.9%,使用 PHP 5 的网站的比例达到 61.8%。 在子版本中,使用 PHP 5.6 版的网站的比例为 41.5%,使用版本5的比例最高。 根据 PHP 官方网站列出的支持版本及时刻表(如下),PHP 5.6 于 2014 年发布,主要支持已于2017年1月19日关闭,安全支持将于2018年12月31日终止。即两个半月后,使用 PHP 5.6 版本的网站将不再收到安全漏洞或错误更新,除非用户支付操作系统供应商的更新服务费用。 如果黑客发现并利用旧版 PHP 中的漏洞,可能会使数百万个网站和用户陷入危险。 事实上,PHP 5.6 的主要及安全更新期早就结束,但因使用的网站较多,因此,PHP 维护组织曾一度分别延长其支持时间。 有些人将这种情况描述为 PHP 定时炸弹。 较新的 PHP 7.0 将不再在今年12月1日的 EOL(生命周期结束)提供安全支持。 即便是版本 7.1 也将于12月1日终止。一年后结束安全支持。 目前三大网站内容管理系统(CMS)项目中,只有 Drupal 宣布从明年3月6日起,Drupal 支持网页最低要求 PHP 7,建议采用 7.1 版。Joomla 推荐使用 5.6 或更高版本,支持下限为 5.3.10。 WordPress 建议使用 PHP 7.2 或更高版本,最低支持5.2.4。 根据 ZDNet 报道,WordFence 安全组件研发主管 Sean Murphy 表示,PHP 漏洞利用的主要目标不是在 PHP 本身,而是在 PHP 库和 CMS 系统中,但其他安全专家认为,等截止日期到来,黑客就会积极利用 PHP 5.6 中的漏洞的。   稿源:开源中国,编译自:ZDNet、JAXenter,封面源自网络;

报告:针对 iOS 设备的加密货币挖矿攻击上升近 400%

据外媒报道,来自Check Point研究团队的《2018年9月全球威胁指数》数据显示,针对iOS设备以及使用Safari浏览器设备的加密挖矿恶意软件数量出现了近400%的增长。Check Point威胁情报部门经理Maya Horowitz表示:“加密挖矿仍旧是全球个组织面临的主要威胁。最有趣的是,在9月最后两周,针对iPhone和Safari浏览器的攻击增加了四倍。” 另外他还指出,这些针对苹果设备的攻击并没有使用什么新功能,为此他们将对这一背后的可能原因继续展开调查。 据了解,所有针对运行iOS和Safari设备的攻击都使用了JavaScript挖矿程序–Coinhive,它能非常容易地被集成到任何web应用程序中以此来窃取程序打开时的处理能力。 攻击者利用Coinhive挖矿程序来暗中挖掘门罗币(Monero),不同于比特币的是,门罗币区块链提供的是几乎无法追踪的交易,这一特性使其对大多数网络骗子来说相当具有吸引力。 在Check Point 2017年12月份的《全球威胁指数》中,Coinhive占据了第一的位置。 尽管基于Coinhive的攻击并不是为窃取数据以及感染其他受害者而设计的,但它却能将遭其攻击的设备锁住并为之服务。很显然,这对于那些不具备足够网络安全专业知识的用户来说是个极其令人难搞的问题。 Check Point在报告指出,增长背后的原因尚不清楚,但这倒是提醒了人们,移动设备是一个组织攻击界面中经常被忽视的元素。至关重要的是,移动设备要得到全面的威胁预防解决方案保护,这样它们才不会成为企业安全防御的薄弱环节。 眼下,基于Coinhive的加密货币挖矿攻击影响了全球近19%的组织,与此同时,像Cryptoloot、XMRig、Jsecoin等其他加密挖矿程序也出现在了Check Point的十大威胁指数榜单中。   稿源:cnBeta,封面源自网络;

WhatsApp 曝安全漏洞 一个视频电话就能被黑

新浪科技讯 北京时间10月10日晚间消息,Facebook旗下消息服务WhatsApp日前曝出一项安全漏洞,当用户接听视频呼叫时,黑客即可控制用户的这款应用。 谷歌研究人员特拉维斯·奥曼迪(Travis Ormandy)在今年8月底发现了该漏洞,影响Android和iOS版本的WhatsApp应用。由于Facebook已在本月初发布了补丁程序,并修复了该漏洞,奥曼迪才公开该漏洞。 奥曼迪在Twitter上称:“用户只要发送一个视频通话邀请,如果用户接听,即可完全控制其WhatsApp。” 目前,Facebook尚未对此发表评论,也不清楚该漏洞在修复之前是否被黑客利用过。 但今年,Facebook已经被安全相关的问题弄得焦头烂额。继今年3月份的8700万用户信息被非法共享事件后,Facebook上月底又宣布,Facebook的“View As”(访客视图)功能存在缺陷,允许黑客获取访问权限,从而控制用户账号,受该漏洞影响的账号数量高达5000万个。   稿源:新浪科技,封面源自网络;

微软 10 月补丁日部署安全更新:修复已被用于攻击的 Win32k 提权漏洞

10月9日,微软发布了2018年10月份的月度例行安全公告,并且发布了安全更新部署修复了多款产品的多项安全漏洞。在Windows 10的安全更新部署的修复中,重点提及了CVE-2018-8453 Win32k提权漏洞,今年8月份最初由卡巴斯基实验室观测到活动,并发现被APT组织FruityArmor用于攻击活动中的漏洞。 CVE-2018-8453漏洞在近日被APT组织FruityArmor用于攻击活动中,卡巴斯基实验室指出这一利用由高质量代码写成,影响目标可以包括尽可能多的微软Windows版本,包括Windows 10 RS4。 CVE-2018-8453 Win32k提权漏洞 CVE-2018-8453漏洞最初由卡巴斯基实验室观测到在野利用,经过后续研究发现其被APT组织FruityArmor用于攻击活动中,这也是该组织第三次利用0day漏洞(CVE-2016-3393、CVE-2018-5002 )。不过此漏洞不能导致远程代码执行,只能用于感染机器后实现提权。   稿源:cnBeta,封面源自网络;

2018 上半年有 45 亿账号被盗 平均每分钟 4822 个

根据Gemalto公布的最新报告[PDF],2018上半年用户账户信息被盗数量达到惊人的4,553,172,708,同比增长133%。虽然被盗用户数量比去年由明显增长,但是被盗事件仅有945起,而去年为1162起。Gemalto报告称自2013年以来累积账号被盗数量为14,644,949,623,平均下来每天为6,947,320,而其中只有4%的账号是进行过加密的。 如果按照行业来划分,那么账号被盗的重灾区就是社交媒体,在所有被盗记录中的占比达到了56.11%,其次是政府,占比达到26.62%。此外56.08%的数据泄露是外部攻击者通过漏洞或者恶意软件等方式窃取的,记录的被窃记录达到36亿条,增长了1000%。 意外丢失和内部人士恶意窃取占比分别为33.65%和6.46%,事故发生率下降至9亿,下降了47%。Gemalto将泄露事件类型分为身份盗窃,账户凭证,金融凭证,骚扰和Existential Data,其中身份盗窃占比高达64.55%,其次是账号凭证(17.47%)和金融凭证(13.02%)。   稿源:cnBeta,封面源自网络;

欧盟隐私部门主管:首轮涉数据违规罚款或在年底实施

新浪科技讯 北京时间10月10日早间消息,据路透社报道,欧盟隐私部门主管表示,监管机构将依据新隐私法行使权力,对违规行为处以罚款甚至临时禁令,预计今年年底将实施第一轮制裁。 《欧盟通用数据保护条例》(GDPR)于5月25日生效,被外界认定为欧盟二十多年来最大的数据隐私法规改革。新规允许消费者更好地控制他们的个人数据,并赋予监管机构权力,对违反规定的企业处以罚款,金额可高达其全球收入4%或2000万欧元(约合2300万美元)。 欧洲数据保护监督官员乔瓦尼·布塔雷利(Giovanni Buttarelli)说,从新法规公布之日起,执法人员收到大量有关违规行为的投诉,并被要求对此加以澄清,仅在法国和意大利,报告数量就与去年相比增长了53%。 布塔雷利在接受路透社采访时透露,“我预计到今年年底,第一批GDPR处罚情况将会对外公布。不一定是罚款,还包括废除控制方、实施初步禁令、临时禁令或给予他们最后通牒。” 数据控制方可以包括收集和处理个人数据的社交网络、搜索引擎和在线零售商,而数据处理方只代表控制方处理数据。 罚金由欧盟各成员国的国有隐私监管机构征收。虽然布塔雷利本人不从事罚款工作,但他负责协调整个欧盟的隐私代理机构。 罚款针对任何在欧洲经营的公司,无论总部设在哪里,都会受到GDPR的监管。 “罚金与企业直接挂钩,对公众舆论、消费者信任至为重要。但从行政角度来看,这只是全球执法的一个因素,”布塔雷利说。 制裁将在许多欧盟国家实施,许多公司和公共管理机构将受到冲击,但他拒绝提供细节,因为调查仍在进行中。 他指出,在GDPR规则实施当天,谷歌、Facebook、Instagram和WhatsApp均遭到奥地利隐私活动家麦克斯·施雷姆斯(Max Schrems)投诉,因为调查尚处于初期阶段,结果不会在近期公布。 布塔雷利还敦促欧盟各国和立法者弥合在修改电子隐私指令方面的分歧,该指令旨在为电信运营商和在线消息和电子邮件服务(如WhatsApp和Microsoft子公司Skype等)之间创造一个公平的竞争环境。 这项电子隐私提案受到隐私保护人士的赞扬,但被科技公司和一些欧盟国家指责为过于苛刻,因为它将严格的电信隐私规则扩展到科技巨头。 “电子隐私是必不可少的。这是必要的,它是数据保护和隐私的拼图中缺失的一部分。如果欧盟不能在(欧洲议会)选举前尽快更新其通信保密规则,那将是一种失职,”布塔雷利说。 欧洲议会选举将在2019年5月举行。 “我认为有机会找到可持续性策略,尽管有些问题是无法谈判的,例如OTT(Over-the-top,即互联网公司越过运营商,发展基于开放互联网的各种视频及数据服务业务),”他说。 消费者游说集团BEUC正在呼吁欧盟国家应该停止拖延。 BEUC发言人约翰内斯·克雷斯(Johannes Kleis)说:“这项法律将进一步保护消费者上网或使用移动应用程序时的隐私,以及保护他们在线通信的私密性,更为必要。”   稿源:新浪科技,封面源自网络;

Google 在欧洲上线安全中心网站 包含隐私设置及安全工具

谷歌宣布其安全中心网站正在欧洲各地推广,从现在起比利时,法国,德国,意大利,荷兰和英国的人们可以访问谷歌选择自己适合的工具和获取保持在线安全的技巧。此次发布时间恰逢欧洲网络安全月,但谷歌似乎还没有决定如何拼写自己的产品名称: Safety Center或者Safety Centre。 Google表示: 从今天开始,我们将在欧洲六个国家(比利时,法国,德国,意大利,荷兰和英国)推出新的安全中心。现在,您可以找到更多工具,设定简单提示以及有关数据安全性,隐私控制以及如何以适合您的家庭的方式使用技术的信息,此次发布正好赶上欧洲网络安全月,未来几周将有更多的国家和语言的支持。 帮助人们管理他们的隐私和安全是我们致力所做的事情。多年来,我们创建了许多工具并且始终在改进它们以便您掌控:Google帐户可让您访问所有设置以保护您的数据和隐私;隐私检查可帮助您快速查看和调整Google用于个性化体验的数据;“我的活动”可帮助您查看与您的帐户相关联的活动数据。 访问Google安全中心官网: https://safety.google   稿源:cnBeta,封面源自网络;

Chrome 70 即将发布,数千个网站或因安全证书受影响​​​​​​​

由于使用了旧的安全证书,互联网上的数千个网站将会在谷歌发布 Chrome 70 后受到影响 —— 访问这些网站的用户将会收到浏览器提示的安全警告。这是因为 Google 已放弃对赛门铁克在2016年6月之前发布的 HTTPS 安全证书的信任。 一年多前,当谷歌发现赛门铁克不正当地颁发安全证书时,谷歌方面就警告说它将放弃对来自赛门铁克受影响的批量证书的支持。简单来说,赛门铁克在2016年6月之前发布的安全证书都将不会受到 Chrome 70 的信任。因为谷歌早已在一年前就已公布时间表,所以 Web 开发者有一年多的时间来准备此更改。 安全研究员斯科特·赫尔姆(Scott Helme)在 Alexa 排名前 100 万个网站中发现超过 1000 个网站依然使用赛门铁克旧的安全证书,这些网站可能会受到谷歌推出 Chrome 70 的影响,其中包括一些来自印度和特拉维夫的知名政府网站。 据 TechCrunch 报道,除赛门铁克证书外,在2016年6月之前使用 Thawte, VeriSign, Equifax, GeoTrust 和 RapidSSL 颁发的证书的网站也将受到 Chrome 70 的影响。   稿源:开源中国,封面源自网络;

法律禁止默认密码 “admin”,“无意入侵”没那么容易了

据 techcrunch 报导,前几日,加州通过了一项法律,2020 年之后禁止在所有新的消费电子产品中使用 “admin”、“123456” 和经典的 “password” 这样的默认密码。 从路由器到智能家居技术在该州建造的每个新设备都必须具有开箱即用的“合理”安全功能,法律特别要求每个设备都带有“每个设备独有的”预编程密码。它还要求任何新设备“包含一个安全功能,要求用户在首次授予设备访问权限之前生成新的身份验证方法”,在第一次打开是强制用户将其唯一密码更改为新的密码。 弱密码问题一直是黑客进行攻击利用的有效且低成本手段,多年来,僵尸网络利用了安全性较差的连接设备的强大功能,在网站上拥有大量的互联网流量,也就是所谓的分布式拒绝服务(DDoS)攻击。僵尸网络通常依赖于默认密码,这些密码在构建时被硬编码到设备中,用户以后不会对其进行更改。 恶意软件使用公开的默认密码侵入设备,劫持设备并诱使设备在用户不知情的情况下进行网络攻击。两年前,臭名昭着的 Mirai 僵尸网络将成千上万的设备拖到了目标 Dyn,这是一家为主要网站提供域名服务的网络公司。通过使 Dyn 无法正常解析域名,导致其它依赖其服务的网站也无法访问,造成在大面积的网络瘫痪。简单的 Mirai 能够造成大损失的很大原因就在于利用了设备默认的简单密码。 虽然新法可以防止这类僵尸网络,但却无法解决更广泛的安全问题,比如有些攻击是不需要猜测密码的,另一方面,该法律并未要求设备制造商在发现错误时更新其软件,像亚马逊、苹果和谷歌这样的大型设备制造商确实会更新他们的软件,但更多鲜为人知的品牌却不会这样做。 然而这毕竟是在为保证网络安全迈出的一小步,也许可以避免“腾讯员工因对酒店 Wi-Fi 服务器是否存在漏洞产生好奇并选择黑入,结果成功被捕”这样的事。你觉得怎么样?   稿源:开源中国,封面源自网络;