标签: 安全漏洞

漏洞预警:Oracle WebLogic 曝 0day 漏洞,攻击者可远程执行命令

2019年04月17日,国家信息安全漏洞共享平台(CNVD)官方发布安全公告 http://www.cnvd.org.cn/webinfo/show/4989称Oracle WebLogic wls9-async组件存在反序列化远程命令执行漏洞,攻击者可利用该漏洞在未授权的情况下远程执行命令。 随后知道创宇404实验室启动应急流程,通过分析后复现了该漏洞并确定该漏洞影响启用了wls9_async_response.war及wls-wsat.war组件的所有Weblogic版本(包括最新版本),到本预警发布时,官方仍然没有发布对应修复补丁,属于“0day安全”漏洞。 值得注意的是,知道创宇旗下创宇盾监控发现,该漏洞最早在4月17日存在漏洞扫描痕迹,另外从知道创宇ZoomEye网络空间搜索引擎总共检索到100671条历史数据,其中中国30,600条 主要分布在北京、广东、上海等省市。 由此知道创宇404实验室发出紧急漏洞预警,建议所有使用Oracle WebLogic的用户引起重视,注意防范。目前经过确认,知道创宇旗下云安全防御产品“创宇盾”无需升级即可防御该漏洞。临时解决方案: 方案1:找到并删除wls9_async_response.war、wls-wsat.war 并重启Weblogic服务 方案2:通过访问策略控制禁止 /_async/* 及 /wls-wsat/* (注意) 路径的URL访问。 方案3:启用部署“创宇盾”(https://www.yunaq.com/cyd/) 知道创宇404实验室后续将发布更多漏洞细节和漏洞应急方案,敬请关注。  知道创宇404实验室,是国内黑客文化深厚的网络安全公司知道创宇最神秘和核心的部门,在知道创宇CSO、404实验室负责人周景平(黑哥)的带领下,知道创宇404实验室长期致力于Web、IoT、工控、区块链等领域内安全漏洞挖掘、攻防技术的研究工作,团队曾多次向国内外多家知名厂商如微软、苹果、Adobe、腾讯、阿里、百度等提交漏洞研究成果,并协助修复安全漏洞,多次获得相关致谢,在业内享有极高的声誉。

jQuery 的“原型污染”安全漏洞

前两周发布的 jQuery 3.4.0 除了常规更新外,更重要的是修复了一个称为“原型污染(prototype pollution)”的罕见安全漏洞。 什么是原型污染?顾名思义,原型污染就是指攻击者通过某种手段修改 JavaScript 对象的 prototype。 JavaScript 对象就跟变量一样,但它不是存储一个值(var car =“Fiat”),而是可以包含基于预定义结构的多个值 (var car ={type:”Fiat”, model:”500″, color:”white”})。 prototype 定义了 JavaScript 对象的默认结构和默认值,因此在没有为对象赋值时应用程序也不会崩溃。 但如果攻击者从 JavaScript 对象的 prototype 入手,攻击者可通过将其控制的 prototype 注入对象,然后通过触发 JavaScript 异常导致拒绝服务(denial of service),或者篡改应用程序源代码以注入攻击者的代码路径。最终的结果可能就是导致应用程序崩溃或劫持应用程序。 Snyk 团队详细描述了这个新的 jQuery “原型污染”漏洞,其中包含攻击原理和规避方法。“原型污染攻击(CVE-2019-11358)”的概念验证代码点此查看。 虽然漏洞比较严重,但好在“原型污染”攻击并不能被大规模利用,因为每段攻击代码必须针对每个目标进行微调。此外,大部分网站并不使用 jQuery 进行重要的操作,主要是用于操作动画中的菜单或创建弹窗等。 最后,如果担心安全问题,建议升级至最新版本 jQuery 3.4.0,毕竟目前大多数网站仍在使用 jQuery 的 1.x 和 2.x 分支,这意味着绝大多数基于 jQuery 的应用程序和网站仍有可能遭受攻击。   (稿源:开源中国,封面源自网络。)

三个 4G/5G 漏洞曝光:可拦截电话和追踪用户位置

多名学者组成的团队近日宣布成功在4G/5G网络中发现三个新的安全漏洞,可用于拦截电话以及跟踪手机用户的位置。相关调查结果显示,这是首次同时影响现有4G网络和即将到来的5G标准的首批漏洞。5G网络声称提供更快的速度和更高的安全保护,并对窃听手机行为提供了更妥善的保护措施,但研究人员表示新型攻击方式可以绕过这些措施。 该论文的共同作者之一Syed Rafiul Hussain向外媒TechCrunch透露:“任何对蜂窝寻呼协议有所了解的人都可以发起此类攻击。”Hussain,以及来自于普渡大学的Ninghui Li和Elisa Bertino,来自爱荷华大学的Mitziu Echeverria和Omar Chowdhury,计划于本周二在圣地亚哥的网络和分布式系统安全研讨会上展示他们的发现。 根据论文描述,这三个漏洞分别为Torpedo、Piercer和IMSI-Cracking攻击。其中最为严重的就是Torpedo,它利用了蜂窝寻呼协议(paging protocol,运营商用于来电或者短信之前通知手机)的弱点,在短时间内拨打和取消手机通话可以在通知目标设备来电的情况下触发寻呼协议,从而让攻击者追踪受害者的位置。研究人员说,知道受害者的寻呼时机还可以让攻击者劫持寻呼通道,并通过欺骗消息(如Amber警报)或完全阻止消息来插入或拒绝寻呼消息。 而基于Torped漏洞,攻击者还可以推进另外2个漏洞。研究人员表示Piercer允许攻击者在4G网络上确定国际移动用户身份(IMSI),而另外一个漏洞名为IMSI-Cracking攻击,它可以在4G和5G网络中暴力攻击IMSI号码,而IMSI号码都是加密状态的。 Hussain表示美国四大电信运营商(AT&T,Verizon、Sprint和T-Mobile)均存在Torped漏洞,攻击者只需要花200美元购买一台无线电通讯设备就能发起攻击。一位不愿透露姓名的内部人士表示,美国的一家运营商已经遭受到了Piercer漏洞的攻击。     (稿源:cnBeta,封面源自网络。)

独立安全评估公司在流行的密码管理器中发现重大安全漏洞

据外媒Softpedia报道,对于那些希望抵御不断增长的攻击数量的计算机用户来说,密码管理器几乎是强制性的,但是最近的研究发现了Windows 10中四个最受欢迎的此类应用程序中的一个重大安全漏洞。 独立安全评估公司(ISE)在Windows 10上对1Password,Dashlane,KeePass和LastPass 进行了安全审计,结果令人担忧。所有这些都将主密码以明文形式保存在PC内存中,这意味着有权访问计算机的黑客可以轻松读取,然后访问存储在密码管理器中的所有数据。主密码是密码管理器用来保护应用程序的密钥,用户在解锁时需要提供密码。 安全研究人员发现,只要密码管理器本身处于锁定状态,该主密码就会以明文形式保留在设备的内存中。这意味着密码管理器已经启动,解锁,然后出于安全原因自动锁定。 “使用专有的逆向工程工具,ISE分析师能够快速评估密码管理器在锁定状态下对密码的处理。ISE发现标准内存取证可用于提取主密码及其应该保护的密码,“研究人员解释说。重要的是要知道从PC内存中读取主密码需要访问设备,无论是物理还是远程。 此外,该报告还强调,尽管此处发现了明显的安全风险,但仍建议使用密码管理器,因为它们会针对依赖弱密码的典型攻击添加额外的保护层。虽然ISE建议人员改进密码管理器清理内存的方式,但用户应避免将密码管理器保持在其设备上的锁定状态。 了解更多: https://www.securityevaluators.com/casestudies/password-manager-hacking/     (稿源:cnBeta,封面源自网络。)

iOS 12.1.4 更新修复严重安全漏洞 但又产生新问题

上周五,苹果发布了旨在修复严重安全漏洞的iOS软件更新12.1.4版本,除了修复 FaceTime群组通话的安全漏洞,还修复了“内存崩溃问题”以及一个获取内核优先权运行恶意代码的安全漏洞,以及实况照片漏洞。但是据许多升级后的用户反映,升级12.1.4版本后引起了SIM卡识别故障,丢失WiFi连接等等网络连接问题。 福布斯也报道了许多用户反应的其它问题,包括12.1.4升级后的iPhone设备AirPods、Touch ID和语音备忘录、蜂窝信号的性能降级,这些用户在升级前从未经历类似的问题。     稿源:cnBeta,封面源自网络;

数据揭示 Windows 漏洞的实际破坏性正在降低

昨天Matt Miller在Blue Hat的演讲中披露了一些惊人的统计数据。根据微软安全响应中心收集的数据,这些数字清楚地证实了我们多年来一直在说的话:与在现实中遭遇破坏的方式相比,将Windows和Office补丁推迟长达30天而受到恶意软件攻击的可能性微乎其微。 他演讲的幻灯片显示了安全漏洞的数量(通过CVE测量)如何突飞猛进 – 漏洞数量在过去五年中翻了一番 – 但实际被披露在外的违背修补的漏洞数量却下降了一半。 这证明了安全社区的侦察能力在提升,此外微软改进的安全功能 – DEP,ASLR和改进的沙盒这些存在技术运行良好。在过去的几年中,分发补丁的30天内,被利用的漏洞只有2%到3%,在补丁可用的30天内发布非零日漏洞的现象现在并不常见。 这意味着恶意软件世界正在变得越来越复杂:坏人要0day漏洞,而不是已经被修补的安全漏洞。   稿源:cnBeta,封面源自网络;

研究发现了七个新的“幽灵”与“熔毁”安全漏洞 现有补丁或可抵御

针对 CPU 底层设计缺陷的“幽灵”(Spectre)和“熔毁”(Meltdown)漏洞,让科技界陷入了相当尴尬的境地。为了应对这类特殊的安全威胁,业界协同使出了空前的努力,并推出了相应的补丁 —— 即便可能造成性能上的一定损失。遗憾的是,后续又不断有新的变种曝光。本文要介绍的,就是由 9 人研究团队发现的 7 种新式攻击手段。 由概念演示代码可知,其中两种攻击利用了‘熔毁’漏洞: Melrdown-BR 可利用 AMD 与 Intel 处理器中的 x86 指令路径,而 Meltdown-PK 仅能绕过英特尔处理器上的内存保护密钥。 实际上,研究人员开发出了 8 种‘熔毁’漏洞攻击手段,但尚未让剩余的 6 种攻击手段发挥作用。 其余五个新漏洞都属于‘幽灵’变种,它们会影响 Intel、AMD、ARM 处理器。 其中有两个利用了分支目标缓冲区(Branch Target Buffer)、另三个则利用了模式历史表(Pattern History Table)。 研究人员已向各大芯片供应商通报了上述攻击,但收到的答复并不能让他们满意 —— 英特尔觉得没必要推送新的补丁、AMD 甚至不承认相关结果。 英特尔发表声明称,文章中纪录的漏洞,可通过部署现有的缓解措施来完全克服。 保护客户仍是我们的首要人物,在此要感谢格拉茨科技大学、imec-DistriNet、KU Leuven、以及威廉玛丽学院等团队正在进行的研究。 根据他们的研究,一些现有的补丁‘可能有用’,但不全然如此。 然而英特尔声称,他们的实验过程存在错误,在现实情境下无法成功实施攻击。 即便如此,研究人员还是决定忽略英特尔方面的说辞,在研究论文(PDF)中概述了如何修补上述漏洞。 【PS】“幽灵”漏洞打破了不同应用程序之间的隔离,即便是遵循最佳实践的无 bug 程序,其秘密亦有可能被泄露于攻击者面前。 尽管目前尚未有利用‘幽灵’或‘熔毁’漏洞发起的实际攻击报告,但我们还是推荐大家努力将设备保持在最新状态,以封堵这方面的隐患。 [编译自:TechSpot]     稿源:cnBeta.COM,封面源自网络;

UWP API 被爆安全漏洞:可在用户不知情下窃取任意数据

相关证据表明Windows 10系统中的UWP API存在严重的安全漏洞,允许恶意开发人员远程自由遍历你的磁盘信息,并窃取你的任意数据。UWP应用由于使用沙盒机制,并且限定在自身路径和特殊文件夹内,因此具备较高的安全系数。 不过近期外媒发现broadFileSystemAccess API允许者访问整个硬盘,而该API存在的BUG可以不向用户发出咨询的情况下获得访问磁盘的权限,并且默认授予完整的文件系统访问权限。 在Windows 10 October 2018更新中微软已经修复了这个问题。   稿源:cnBeta,封面源自网络;

美国土安全局官员透露手机存安全漏洞 数百万美国用户受影响

本周在拉斯维加斯召开的Black Hat峰会上,国土安全部官员Vincent Sritapan向新闻机构Fifth Domain透露:当前智能手机中存在安全漏洞。报道称该漏洞涉及美国四大通信运营商(Verizon,AT&T,T-Mobile和Sprint),数百万美国智能手机用户受到影响。 具体表现在黑客可以通过这些漏洞可以在用户不知情的情况下访问用户的电子邮件、短信等等。 Kryptowire是一家由美国国土安全部投资的移动安全公司,公司近期研究发现了这些漏洞。 Kryptowire创始人Angelos Stavrou在接受Fifth Domain采访时候表示:“可以在用户不知情的情况下对个人发起攻击。早在今年2月份就已经向设备厂商发送了通知,不过依然有部分制造商没有公开补丁进程,因此开发人员不确认设备制造商是否已经修复。”   稿源:cnBeta,封面源自网络;

Hotspot Shield VPN 产品被曝安全漏洞,或泄漏用户敏感信息

外媒 2 月 7 日消息,独立安全研究员 Paulos Yibelo 上个月发现,一款名为 Hotspot Shield (热点盾)的 VPN 产品存在一个严重的安全漏洞,可能会泄露用户的敏感信息(如 Wi-Fi 网络名称 、真实 IP 地址等)。据 Yibelo 称,该漏洞允许未经身份验证的请求访问本地 Web 服务器托管的 JSONP 端点,从而获取有关 Hotspot Shield 服务的敏感信息(其中包括其配置详细信息)。 Hotspot Shield 由 AnchorFree 公司开发,是一项在 Google Play Store 和 Apple Mac App Store 上免费提供的 VPN 服务,在全球拥有超过 5 亿的用户量。Hotspot Shield 一直主打保护用户所有的在线活动,承诺隐藏用户的 IP 地址和身份,并使用加密通道传输互联网和浏览流量来保护用户免于跟踪。 Paulos Yibelo 声称他已向 AnchorFree 报告了该漏洞(被指定为 CVE-2018-6460), 并且还发布了一个概念验证代码(PoC)来证实该漏洞的可利用性。 尽管 Yibelo 声称该 PoC 能够获得 Hotspot Shield 用户的真实 IP 地址,不过 AnchorFree 的发言人针对该言论进行了否认。 AnchorFree 表示虽然该漏洞的确存在,但不会泄露任何用户的真实  IP 地址或者个人信息。值得注意的是,AnchorFree 发表的声明中提到了该漏洞可能会暴露一些通用信息(如用户所在的国家)。 除了泄露信息之外,Yibelo 认为攻击者还可以利用此漏洞实现远程代码执行,不过目前并无确实证据。 消息来源:Thehackernews,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。