标签: 漏洞

谷歌警示三星:修改 Android 内核代码行为会暴露更多漏洞

Google Project Zero (GPZ)团队近日向三星发出警告,表示后者在Galaxy系列手机中修改内核代码的行为将会暴露更多的安全BUG。GPZ研究员Jann Horn表示,以三星为代表的多家智能手机厂商通过添加下游自定义驱动的方式,直接硬件访问Android的Linux内核会创建更多的漏洞,导致现存于Linux内核的多项安全功能失效。 Horn表示这个问题是在三星Galaxy A50的Android内核中发现的。不过他表示,这种情况在Android手机厂商中非常普遍。也就是说,这些厂商向Linux Kernel中添加未经上游(upstream)内核开发者审核的下游(downstream)代码,增加了与内存损坏有关的安全性错误。 即使这些下游定制旨在增加设备的安全性,它们也会引入安全性错误。谷歌于2019年11月向三星报告了该漏洞,随后在今年2月面向Galaxy系列手机的更新中修复了这个问题。 该错误影响了三星的PROCA(过程验证器)安全子系统。三星在其安全网站上将漏洞SVE-2019-16132描述为中等问题。它允许在运行Android 9和Android 10操作系统的某些Galaxy智能手机上“可能执行任意代码”。 Horn解释说:“Android通过锁定可以访问设备驱动程序的进程(通常是特定于供应商的)来减少此类代码对安全性的影响。”一个例子是,较新的Android手机通过专用的帮助程序来访问硬件,这些帮助程序在Android中统称为硬件抽象层(HAL)。 不过Horn表示,手机厂商通过修改Linux Kernel核心部分的工作方式,这破坏了“锁定攻击面”上做出的努力。Horn建议智能手机制造商使用Linux中已经存在的直接硬件访问功能,而不是更改内核代码。例如,PROCA旨在阻止已获得对内核的读写访问权限的攻击者,但三星需要花费工程时间来阻止攻击者首先获得该访问权限。   (稿源:cnBeta,封面源自网络。)

MIT:区块链投票系统 Voatz 存在漏洞 易受攻击

麻省理工学院工程师团队的最新研究发现,在名为Voatz的区块链投票系统中存在一系列令人震惊的漏洞。对Voatz的Android应用程序进行反向工程后,研究人员得出结论称,通过入侵选民手机,攻击者几乎可以随意观察、压制和更改选票。该论文称,网络攻击还可能揭示给定用户在哪里投票,并可能在此过程中压制投票。 研究人员说,最令人不安的是,破坏了管理Voatz API的服务器的攻击者甚至可以在投票到来时更改选票,这在理论上应该可以防止分布式分类账的威胁。 研究人员得出结论称:“鉴于本文所讨论的失败的严重性,缺乏透明度,选民隐私的风险以及攻击的琐碎性质,我们建议放弃将这个应用程序用于高风险选举的任何近期计划。” Voatz的基于区块链的投票项目旨在替代缺席选票,安全研究人员对此表示怀疑,但许多科技界人士表示了浓厚兴趣,其获得了超过900万美元的风险投资。在Voatz系统下,用户将通过应用程序远程投票,并通过手机的面部识别系统验证身份。 Voatz已经在美国的一些次要选举中使用,在2018年西弗吉尼亚选举中收集了150多张选票。 Voatz 在博客文章中对MIT的发现提出了质疑,称该研究方法存在“错误”。该公司的主要抱怨是,研究人员正在测试Voatz客户端软件的过时版本,并且没有尝试连接到Voatz服务器本身。博客文章写道:“这种有缺陷的方法使关于其破坏整个系统能力的任何主张无效。” Voatz的高管在与记者的电话中辩称,服务器端保护将阻止受感染的设备通过身份验证进入更广泛的系统。Voatz首席执行官Nimit Sawhney说道:“他们的所有主张都基于这样的想法,因为他们能够破坏设备,因此能够破坏服务器。而这个假设是完全错误的。” Voatz还强调了允许选民和选举官员事后核实选票的措施。该公司产品负责人Hilary Braseth说道:“使用Voatz提交的每张选票都会产生纸质选票,使用Voatz的每位选民一旦提交,都会收到一张选票。” 到目前为止,这些解释并没有使安全专家印象深刻。 约翰·霍普金斯密码学家Matthew Green在Twitter上指出:“设备只是将票发送到服务器。服务器可能会将它们放在区块链上,但是如果设备或服务器受到威胁,这将无济于事。Voatz需要解释他们如何处理这个问题。” Voatz还在博文中指出了其正在进行的漏洞赏金计划和定期的代码审查,以证明该应用程序具有强大的安全性-但有些研究人员可能不同意。去年10月,该公司因FBI转介事件而备受抨击,消息人士告诉CNN该事件起源于密歇根大学的选举安全课程。其他人则批评了Voatz的赏金计划对研究人员来说是繁重且敌对的,这可能解释了为什么麻省理工学院的研究人员没有参加其中。 总体而言,这仍然不是第一次提出有关Voatz或区块链投票的安全问题。11月,参议员Ron Wyden(D-OR)写信给五角大楼,提出对Voatz安全性的担忧,并要求对该应用程序进行全面审核。该请求最终被推迟。Wyden在一份声明中说道:“网络安全专家已经明确表明,互联网投票是不安全的。现在距离共和党人结束选举安全禁令和让国会通过整个选举系统的强制性安全标准已经过去了很长时间。”   (稿源:cnBeta,封面源自网络。)

WhatsApp 桌面客户端曝出远程文件访问和代码执行漏洞

Facebook 刚刚修复了 WhatsApp 桌面平台中一个严重的安全漏洞,消除了允许攻击者从 Windows / Mac 上的本地文件系统中读取文件、甚至远程代码执行的隐患。该漏洞由安全研究人员 Gal Weizman 和 PerimeterX 共同发现,美国国家标准技术研究所(NIST)评估的严重等级为 8.2 。 早在 2017 年的时候,研究人员就已经发现过可更改他人回复文字的问题。Weizman 意识到,他可以利用富媒体制作以假乱真的消息,将目标重定向到他指定的位置。 安全研究人员进一步证实了此事,可以利用 JavaScript 达成一键式持久性跨站脚本攻击(XSS)。 最终绕过 WhatsApp 的 CPS 规则来增强攻击能力,甚至实现远程代码执行 经过一番挖掘,研究人员意识到这一切都是可行的。因为 Facebook 提供的 WhatsApp 桌面应用程序版本,正式基于过时的 Chrome 69 版本。 问题在 Chrome 78 正式推出时曝光,早几个版本中使用的 javascript 技俩的功能已得到修补。 若 WhatsApp 将其 Electron Web 应用程序从 4.1.4 更新到发现此漏洞时的最新版本(7.x.x),那 XSS 也将不复存在。 Facebook 表示,CVE-2019-18426 漏洞影响 0.3.9309 之前的 WhatsApp 桌面客户端、以及 2.20.10 之前的 iPhone 客户端。 有关漏洞的详情,还请移步至 Weizman 的 PerimeterX 博客文章中查看。   (稿源:cnBeta,封面源自网络。)  

Sudo 出现可让非特权用户获得 root 权限的漏洞

Sudo 维护团队指出,从 Sudo 1.7.1 到 1.8.25p1 都包含一项可让非特权用户获得 root 权限的漏洞(编号 CVE-2019-18634),他们已在最新发布的 1.8.31 版本中完成修复,同时提供了暂时缓解的方法。Sudo 1.7.1 于2009年4月19日发布,因此该漏洞已存在大约 10 年。 另外,1.8.26 到 1.8.30 版本也发现存在 CVE-2019-18634 漏洞,但 1.8.26 版本发布时曾变更 EOF(end of file)处理的设定,致使该漏洞无法被利用。 Sudo 是 UNIX 和 Linux 操作系统广泛使用的工具,它让系统管理员给普通用户分配合理的权限,以执行一些只有管理员或其他特定帐号才能完成的任务。此次被发现的高危漏洞在启用了 pwfeedback 选项的系统中很容易被利用,根据漏洞的描述,pwfeedback 功能让系统能够以 ‘*’ 表示目前输入的字符长度,原意是一项提升安全性的功能,但安全研究员 Joe Vennix 发现系统启用 pwfeedback 功能后,用户可能会触发基于堆栈的缓冲区溢出 bug,从而获得 root 权限。 虽然在 sudo 的上游版本中默认情况下未启用 pwfeedback,但某些下游发行版,例如 Linux Mint 和 elementary OS 在其默认 sudoers 文件中启用了它(Ubuntu 不受影响)。 具有 sudo 特权的用户可以通过运行以下命令来检查是否启用了 pwfeedback: 如果在”Matching Defaults entries”输出中列出了 pwfeedback,则 sudoers 配置将受到影响。如下所示的 sudoers 配置就很容易受到攻击: $sudo -lMatchingDefaults entries for millert on linux-build:insults,pwfeedback, mail_badpass, mailerpath=/usr/sbin/sendmailUsermillert may run the following commands on linux-build:(ALL : ALL) ALL 最后,建议受影响的系统尽快将 sudo 升级至最新版本 1.8.31。如果没条件升级到新版本,在启用了 pwfeedback 的 sudoer 配置文件里,将“Defaults pwfeedback”改成“Defaults !pwfeedback”,也能有效阻止攻击。   (稿源:开源中国,封面源自网络。)

本月补丁星期二将修复严重安全漏洞 Windows 7 或无缘获得

援引外媒KrebsonSecurity报道,在2020年1月的补丁星期二活动中,微软可能已准备好修复存在于Windows系统中的严重加密漏洞,而该漏洞能够让恶意程序伪装成为受信任的组件欺骗用户进行安装感染。而重点是,今天正式停止支持的Windows 7系统可能不会修复该漏洞。 KrebsonSecurity在推文中写道:“消息源称微软计划在补丁星期二中修复存在于所有Windows版本中的严重安全漏洞,该漏洞是一个核心加密组件,可能会被用来欺骗数字签名软件的来源。显然,国防部和其他一些人会获得一个高级补丁https://t.co/V6PByhjTNR” 报道中称存在于Windows组件crypt32.dll中的安全漏洞非常严重,以至于Microsoft提前向政府安全服务发布了补丁。 KrebsonSecurity表示:“多方消息源确认,微软公司定于本周二发布软件更新,以修复所有Windows版本中核心加密组件中的严重漏洞。目前相关补丁已经提前发给了美军分支机构、以及管理关键互联网基础设施的其他高价值客户/目标,而且这些组织被要求签署协议以阻止他们透露漏洞的细节。” 不过在后续的声明中,微软否认了这一点。更为严重的是,该组件可以追溯到Windows NT时代的所有Windows版本,不过由于Windows 7停止支持,微软将不会发布相应的安全补丁。   (稿源:cnBeta,封面源自网络。)

谷歌 Project Zero 团队宣布新政策 漏洞披露前将有完整的90天缓冲期

谷歌 Project Zero 团队以披露大量严重漏洞而被人们所熟知,但也因为严格的快速披露政策而遭到了行业内的批评。于是 2020 年的时候,谷歌安全团队试图制定新的政策,将问题披露的宽限期给足了整整 90 天。即便如此,谷歌还是对过去五年的政策表现感到满意,指出有 97.9% 的漏洞报告在当前的 90 天披露政策下得到了有效的修复。 相比之下,2014 年有些 bug 拖了六个月、甚至更长的时间来解决。不过在审查了“复杂且经常引起争议”的漏洞披露政策之后,谷歌还是决定在 2020 年做出一些改变。 那些易被曝光漏洞的企业,将被给予默认 90 天的缓冲时间,而无论其将于何时修复相关 bug 。若企业顺利或提前完成了修复,也可以与谷歌 Project Zero 取得联系,以提前公布漏洞详情。 ● 厂家在 20 天内修复了 bug?谷歌将在第90天公布漏洞详情; ● 厂家在 90 天内修复了 bug?谷歌也将在第 90 天公布漏洞详情! 当然,在争取推动“更快的补丁开发”流程的同时,Project Zero 还希望全面提升补丁程序的采用率。 现有政策下,谷歌希望供应商能够快速开发补丁,并制定适当的流程,以将之交付给最终客户,我们将继续紧迫地追求这一点。 然而有太多次,供应商只是简单的记录了漏洞,而不考修改或从根本上修复已曝光的漏洞。有鉴于此,Project Zero 团队希望推动更快的补丁开发,以防别有用心者轻易地向用户发动大大小小的攻击。 改进后的新政策指出,发现漏洞之后,最终用户的安全性不会就此得到改善,直到 bug 得到适当的修复。只有最终用户意识到相关 bug,并在他们的设备上实施了修补,才能够从漏洞修复中得到益处。 最后,在新政策转入“长期实施”之前,Google 将给予 12 个月的试用。   (稿源:cnBeta,封面源自网络。)

Npm 团队针对新的“二进制植入”错误发出警告

Npm 团队近日发布了安全警报,建议所有用户更新到最新版本(6.13.4),以防止“二进制植入”(binary planting)攻击。Npm 开发人员表示,npm 命令行界面(CLI)客户端受到了安全漏洞的影响,同时包括文件遍历和任意文件(覆盖)写入问题。攻击者可以利用该错误来植入恶意二进制文件或覆盖用户计算机上的文件。 仅在通过 npm CLI 安装受感染的的 npm 软件包期间,才能利用此漏洞。 目前,Npm 团队一直在扫描可能包含旨在利用此 bug 的恶意软件包,暂未发现任何可疑案例。他们认为这并不能保证该 bug 已经被使用过,还是得提高警惕。该团队表示将继续进行监视, “但是,我们不能扫描所有可能的 npm 软件包来源(私有注册表、镜像、git 仓库等),因此尽快更新非常重要。” 相比较之下,该问题对 npm 用户的影响比对 yarn 的影响更大。 因为 npm 不仅是最大的 JavaScript 软件包管理应用,而且还是所有编程语言的最大软件包存储库,拥有超过 350,000 个库。从浏览器到金融应用程序,从台式机到服务器,JavaScript 如今无处不在。因为 npm 在 JavaScript 生态系统中具有如此重要的作用,所以它经常被滥用。 黑客的最终目标是在使用受感染的 npm 软件包构建的应用程序内部发起攻击或植入后门程序,这些应用程序以后可用于从它的用户那里窃取数据。过去有很多这样的案例。曾在 2017 年 8 月,npm 团队删除了 38 个 JavaScript npm 程序包,这些程序包是从其他项目中窃取环境变量而捕获的,旨在收集项目敏感信息,例如密码或 API 密钥。 最新的这个漏洞最初是由德国安全研究员 Daniel Ruf 发现的,他的博客上有更深入的技术报告。最后,再次提醒用户们升级到最新版本,以免遭受攻击。   (稿源:开源中国,封面源自网络。)

卡巴斯基安全软件被发现漏洞 可为黑客提供签名代码执行

安全研究公司SafeBreach在卡巴斯基安全连接软件中发现的一个安全问题,它本身被捆绑到一系列其他卡巴斯基安全产品中,允许恶意攻击者在更复杂的攻击情况下获得签名代码执行,甚至规避防御。 编号为CVE-2019-15689的安全公告详细介绍了该漏洞,该漏洞使黑客能够通过作为NT权限/系统启动的签名版本运行未签名的可执行文件,技术上为在受攻击设备上进一步恶意活动打开了大门。 SafeBreak解释说,卡巴斯基安全连接捆绑到卡巴斯基杀毒软件、卡巴斯基互联网安全软件、卡巴斯基Total Security软件和其他软件中,使用的服务具有系统权限,并且可执行文件由“ AO Kaspersly Lab”签名。如果攻击者找到了在此过程中执行代码的方法,则可以将其用作应用程序白名单绕过安全产品。 而且由于该服务是在引导时运行的,这意味着潜在的攻击者甚至可以在每次系统启动时获得持久性,来运行恶意有效负载。深入分析发现,卡巴斯基的服务试图加载一系列dll,其中一些dll丢失了,而且由于安全软件不使用签名验证,很容易将未签名的可执行文件伪装成已签名的可执行文件。此外,Kaspersky服务不使用安全DLL加载,这意味着它只使用DLL的文件名,而不是绝对路径。该错误已于2019年7月报告给卡巴斯基,SafeBreak于11月21日发布了CVE-2019-15689安全公告。   (稿源:cnBeta,封面源自网络。)

Apache Solr RCE 漏洞的 PoC 利用代码在线曝光

Apache Solr 这次遇到的漏洞比想象的要危险得多。 Apache Solr 是一个用Java编写的高度可靠,可扩展且容错的开源搜索引擎,可提供分布式索引,复制和负载平衡查询,自动故障转移和恢复,集中式配置等。 安全公告称,此问题最初被命名为“solr.in.sh 含有未注释行”,并告诉用户检查其  solr.in.sh 文件。后来由于远程执行代码的风险,他们升级了此漏洞并取得了CVE编号。 该漏洞影响 Apache Solr 在 Linux 系统上的8.1.1和8.2.0版本(不影响Windows),这些版本的 sol.in.sh 文件中的 ENABLE_REMOTE_JMX_OPTS 配置不安全。 发现该漏洞时,由于专家认为攻击者只能利用该漏洞访问Solr监视数据,所以 Apache Solr 团队没有意识到它的严重性。 10月30日,用户“ s00py ” 在GitHub上发布了漏洞利用代码,使得黑客可以远程执行代码。为了使用Apache Velocity 模板,漏洞利用代码使用了暴露的 8983 端口 ,并利用该模板来上传和运行恶意代码。 两天后,用户“ jas502n ”发布了第二个PoC代码  ,凭借此代码,黑客可以轻松利用该漏洞。 这两个PoC迫使Solr团队于11月15日更新安全公告,漏洞CVE为 CVE-2019-12409。   专家们目前还没有探测到在野利用攻击,不过他们认为这只是时间问题。   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

收到这样的邮件请立即删除:勒索软件伪装成 Windows 更新诱骗用户点击

如果您收到一封声称来自微软的电子邮件,并要求安装所谓的关键更新,那么请立即删除这封邮件。安全公司Trustwave近日发现了新的恶意程序活动踪迹,它们利用电子邮件方式进行传播,伪装成为Windows更新让设备感染Cyborg勒索软件。 这是一种非常典型的攻击方式,首先给潜在目标发送电子邮件,邮件中会包含虚假的Windows更新。该更新似乎使用的是JPG文件扩展名,实际上是一个可执行文件,一旦启动,便从GitHub下载其他有效负载。 rustwave解释称:“根据我们的调查,受感染的设备会从一个名为misterbtc2020的GitHub账号中下载名为bitcoingenerator.exe的文件,该账号在几天前还处于活跃状态,目前已经被删除。该文件包含了btcgenerator存储库。就像附件一样,这是.NET编译的恶意软件,也就是Cyborg勒索软件。” 勒索软件感染设备后,用户文件将被加密并重命名为使用“777”扩展名。此时,用户文件被锁定,勒索软件将文本文档放置在桌面上,以向受害者提供有关如何获取解密密钥的指令。 在勒索消息中写道:“不用担心,你可以赎回所有文件!您可以发送一个加密文件[sic],我们将免费对其进行解密。您必须按照以下步骤来解密文件:将500美元的比特币发送到钱包[钱包号码],然后向我们的邮箱发送通知。” Trustwave警告说:“任何拥有该Builder的人都可以创建和分发Cyborg勒索软件。攻击者可以使用其他不同的主题来诱骗用户点击,并以不同的形式来逃避电子邮件网关的审查。攻击者可以使用已知的勒索软件扩展名,来误导受感染的用户识别出这种勒索软件。” 不用说,最简单的安全保护方法是避免打开电子邮件并下载附件。更新安全软件还可以帮助检测受感染的文件,并阻止勒索软件感染您的设备。   (稿源:cnBeta,封面源自网络。)