标签: 漏洞事件

《Magic:The Gathering》开发商证实 安全漏洞使超 45 万玩家数据遭泄露

据外媒TechCrunch报道,游戏《Magic:The Gathering》的开发商 Wizards of the Coast已经确认,安全漏洞使数十万游戏玩家的数据遭泄露。该游戏开发商将数据库备份文件留在了公共的Amazon Web Services存储桶中。但是存储桶上没有密码,任何人都可以访问其中的文件。 据悉。自9月初以来,该存储桶就已经遭泄露。但是英国网络安全公司Fidus Information Security最近找到数据库并报告了此事。   对数据库文件的检查显示,其中包括有452634名玩家的信息,含与Wizards of the Coast员工相关的约470个电子邮件地址。该数据库包括玩家名称和用户名,电子邮件地址,以及创建帐户的日期和时间。该数据库还具有用户密码,这些密码经过哈希处理,因此很难但并非不可能被解密。没有数据被加密。根据外媒TechCrunch对数据的审查,这些帐户的日期至少可以追溯到2012年,但是一些最近的条目可以追溯到2018年年中。 Fidus联系Wizards of the Coast,但没有听到任何回应。直到TechCrunch与该公司取得之后,这家游戏制造商才将存储桶脱机。 该公司发言人Bruce Dugan在一份声明中对TechCrunch表示:“我们了解到,已被停止使用的网站上的数据库文件被无意间从公司外部访问了。”他表示:“我们从服务器上删除了数据库文件,并开始了调查以确定事件的范围。我们认为这是一起孤立事件,我们没有理由相信对数据进行了任何恶意使用,”但是发言人没有提供任何证据证明这一说法。 他表示:“但是,出于谨慎考虑,我们会通知玩家其信息已包含在数据库中,并要求他们在我们当前的系统上重置密码。” Fidus研发总监Harriet Lester表示:“在当今时代,错误的配置和缺乏基本的安全卫生措施仍然令人感到惊讶,尤其是当涉及到拥有超过45万个帐户用户的大型公司时。 ”“我们的研究团队不断工作,寻找诸如此类的错误配置,以尽快提醒公司,避免数据落入不法分子之手。这是我们帮助互联网更安全的小方法,”她告诉TechCrunch。 这家游戏机制造商表示,已根据欧洲GDPR法规的违规通知规则将有关泄露情况告知了英国数据保护部门。英国信息专员办公室没有立即回应此事。 对于违反GDPR的公司,可能会最高被处以相当于其全球年收入4%的罚款。   (稿源:cnBeta,封面源自网络。)

思科 Talos 发现 LEADTOOLS 工具包中存在多个漏洞,可能导致远程代码执行

Cisco Talos的安全专家在LEADTOOLS imaging工具箱中发现了四个严重漏洞,黑客可利用这些漏洞在目标系统上执行任意代码。 LEADTOOLS是一个综合的工具包,可以将医疗,多媒体和影像技术应用到台式机,服务器,平板电脑和移动应用程序中。 专家们发现,黑客可能会利用这些漏洞发起DoS攻击,并在易受攻击的系统上执行任意代码。  Talos在其发布的安全公告中称:“ LEADTOOLS 20的TIF解析功能中存在一个可利用的堆越界写入漏洞。特制的TIF图像可能导致超出堆边界的偏移量,攻击者可以专门制作TIF图像来触发此漏洞。” 第二个漏洞是LEADTOOLS 20的CMP分析功能中存在的可利用的整数下溢问题(CVE-2019-5099)。黑客可以使用特制的CMP映像文件来利用此漏洞。 专家还发现,LEADTOOLS 20的BMP标头解析功能中出现整数溢出问题,有可能导致远程代码执行(CVE-2019-5100)。 Cisco Talos发现的最后一个问题是可利用的堆溢出漏洞(CVE-2019-5125), 该漏洞产生于LEADTOOLS 20的JPEG2000解析功能中包含的代码,可能导致对堆缓冲区的写越界。 与前两个漏洞相同,黑客将需要特制的BMP和J2K图像文件才能触发漏洞。 LEADTOOLS 20.0.2019.3.15 版本受这些漏洞的影响,这些漏洞的CVSS评分为8.8。这些漏洞在9月10日被发现,并报告给了 LEAD 公司。该公司于几天前通过补丁解决了这些问题。   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Android NFC 漏洞可被黑客拿来传播植入恶意软件

ZDNet 报道称,近期曝光的一个 Android 漏洞,导致黑客能够利用设备上的近场接触(NFC)功能,向受害者传播植入恶意软件。CVE-2019-2114 漏洞报告指出,问题源自一项鲜为人知的 Android OS 功能,它就是 NFC Beaming 。所有运行 Android 8 Oreo 及以上版本的设备,都会受到影响。 据悉,NFC 广播通过设备内部的 Android OS 服务(Android Beam)来工作。 (截图 via ZDNet) 这项服务允许 Android 设备使用近场通讯(NFC)技术来替代 Wi-Fi 或蓝牙,将图像、文件、视频、甚至应用程序,发送到另一台设备上。 通常情况下,通过 NFC 传输的 APK 安装包会存储在设备上,并在屏幕上显示相关通知,询问用户是否允许安装未知来源的应用程序。 然而今年 1 月,一位名叫 Y. Shafranovich 的安全研究人员发现:在 Android 8(Oreo)或更高版本的系统上通过 NFC 广播来发送应用程序,并不会显示这一提示。 相反,该通知允许用户一键安装应用程序,而不发出任何安全警告。 尽管缺少一个提示,听起来似乎并不那么重要,但它还是成为了 Android 安全模型中的一个重大问题。 庆幸的是,谷歌已在 2019 年 10 月修复了这个影响 Android 设备的 NFC Beaming 漏洞。 “未知来源”的定义,特指通过官方 Play 商店之外安装的任何东西,其默认都被视为不受信任和未经验证。 若用户需要侧载外部应用,必须前往设置菜单,然后手动启用“允许从未知来源安装应用”。 Android 8 Oreo 之前,这项设置并没有什么问题。然而从 Android 8 Oreo 开始,谷歌将这种机制重新设计为基于 App 的设置。 在 CVE-2019-2114 漏洞中,Android Beam 竟然被列入了白名单,获得了与官方 Play 应用商店相同的信任权限。 谷歌表示,Android Beam 服务从来就不是安装应用程序的一种方式,而仅仅是一种在设备之间传输数据的方式。 即便如此,该公司还是在 2019 年 10 月的 Android 安全补丁中,将 Android Beam 踢出了这款移动操作系统中的受信任来源列表。 (图自:LG)   对于数百万仍处于危险之中的 Android 用户,我们在此建议大家尽快升级手机的安全补丁、或者尽量在不使用时关闭 NFC 和 Android Beam 功能。   (稿源:cnBeta,封面源自网络。)

新的 PHP 漏洞可能使黑客入侵在 Nginx 服务器上运行的网站

如果您正在 NGINX 服务器上运行任何基于 PHP 的网站,并且启用了 PHP-FPM 功能,请当心最近新公开的一个漏洞,黑客有可能利用这个漏洞远程入侵您的网站服务器。 PHP-FPM 是一个PHPFastCGI管理器,可为用 PHP 编程语言编写的脚本提供高级且高效的处理。 主要漏洞是 PHP-FPM 模块中的“ env_path_info”下溢内存损坏问题,攻击者可能借助这个漏洞在易受攻击的 Web 服务器上远程执行任意代码。 尽管公开发布的PoC漏洞专门针对运行PHP 7+版本的易受攻击的服务器,但PHP-FPM下溢错误也影响到了早期的PHP版本,并且可以采用其他方式进行武器化。 简而言之,如果存在以下情况,则网站容易受到攻击: NGINX经过配置,会将PHP页面请求转发到PHP-FPM处理器, fastcgi_split_path_info指令存在于配置中,并且是以’^’符号开头和以’$’符号结尾的正则表达式, PATH_INFO变量是使用fastcgi_param指令定义的, 没有诸如try_files $ uri = 404或if(-f $ uri)之类的检查来确定文件是否存在。 受影响的提供商之一就是Nextcloud,该公司昨天发布通知,警告其用户“Nextcloud NGINX的默认配置也会受到此漏洞影响”,并建议管理员立即采取行动。 在专家们向PHP开发人员小组报告该漏洞近一个月后,该漏洞补丁已于10月25号发布。 即使当前的配置不会受到攻击,用户也最好将PHP更新到最新的PHP 7.3.11和PHP 7.2.24。   消息来源:TheHackerNews, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

LastPass 修复了可能让恶意网站提取用户密码的漏洞

LastPass修补了一个错误,该错误会使恶意网站提取该服务浏览器扩展程序输入的先前密码。 ZDNet报告称该漏洞是由谷歌Project Zero团队的研究员Tavis Ormandy发现,并在8月29日一份漏洞报告中披露。 LastPass在9月13日修复了该问题,并将更新部署到针对所有浏览器的LastPass扩展当中。 该漏洞工作原理是诱使用户进入恶意网站,并欺骗浏览器扩展程序使用以前访问过的网站密码。 Ormandy指出,攻击者可以使用谷歌翻译等服务伪装恶意网站地址,并诱使易受攻击的用户访问流氓网站。 虽然LastPass说应该补丁自动更新,但您一定要检查您的LastPass扩展是否是最新版本,特别是如果您使用的浏览器允许您禁用扩展自动更新。这个更新之后,LastPass浏览器扩展的版本号是4.33.0。LastPass表示,它认为只有Chrome和Opera浏览器受到了这个漏洞的影响,但是还是采用严格预防措施,它已经为所有浏览器LastPass扩展部署了相同的补丁。 在其博客上发布的一份声明中,LastPass淡化了该漏洞严重性。该公司安全工程经理Ferenc Kun表示,该漏洞依赖于用户访问恶意网站,然后被“欺骗”多次点击相关恶意页面。但Ormandy仍然将该漏洞评为“高”严重等级。   (稿源:cnBeta,封面源自网络。)

SpaceX 称通信系统漏洞令其未能就潜在卫星碰撞与 ESA 进行后续沟通

据外媒报道,当地时间周一,欧空局(ESA)改变了其一颗欧洲卫星在轨道上的位置,以避免与SpaceX的一颗Starlink 卫星发生潜在的碰撞 – 这是该公司5月发射的60颗卫星之一,用于提供全球宽带互联网接入。操作卫星的欧空局在计算出两颗卫星可能相互碰撞的高于平常的概率后进行了机动。SpaceX没有移动它的卫星,并表示这与一个阻止其与ESA正确通信的计算机漏洞有关。 这样的机动并不少见。如果卫星运营商计算出他们的卫星可能与其他卫星发生碰撞,偶尔会稍微改变航天器的位置。没有人想要发生碰撞,因为这些卫星正以每小时数千英里的速度穿越太空。在这些速度下,撞击可能导致航天器分裂成数百块。由此产生的高速垃圾可能会碰到其他卫星,可能产生更危险的碎片。 ESA的这种特殊情况引起了一些担忧,因为SpaceX的探测器是该公司打算进入地球低轨道的近12000颗卫星中的第一颗。规划中的Starlink星座的庞大规模促使许多太空专家猜测这些卫星如何增加太空碰撞的可能性。当轨道上有数千颗这样的卫星时,这种情况会发生多少次? 另一个担忧是围绕SpaceX不移动Starlink卫星的决定。欧空局官员表示,他们没有与SpaceX进行最好的沟通,导致机动,并且该机构最终决定自己移动卫星。初步报告声称SpaceX“拒绝”移动Starlink卫星,但SpaceX表示糟糕的通信不是故意的,而且该公司的“待命寻呼系统”中的一个漏洞阻止了Starlink团队从ESA获得额外的电子邮件通信。 “SpaceX仍在调查此问题,并将实施纠正措施,”该公司发言人在一份声明中表示。“但是,如果Starlink运营商看到了这些信件,我们就会与ESA协调,以确定他们继续进行机动或进行机动的最佳方法。” 这种情况始于上周,当时欧空局意识到它的Aeolus卫星 – 一颗2018年8月发射的地球观测航天器 – 可能接近一颗相对低轨道的Starlink卫星,距离大约198英里(320公里)。大多数Starlink卫星已经将它们的轨道提升到大约342英里(550公里)以上,但SpaceX决定降低其中几颗卫星的轨道,以测试将这些卫星带出轨道的过程。这两颗卫星中的一颗与Aeolus卫星近在咫尺。 ESA官员表示,他们在潜在碰撞发生前一周联系了SpaceX,看看该公司是否计划移动其Starlink卫星。“另一颗卫星实际上是一个可操作的航天器,”欧空局空间碎片办公室的Klaus Merz告诉The Verge。“当然,我们会尝试协调。最基本的事情是你想知道另一个是否已经有机动计划。”Merz表示,8月28日,SpaceX通过电子邮件告知ESA该公司不打算移动Starlink探测器。“他们当时说他们没有计划,”Merz说道。SpaceX证实该公司通过电子邮件与欧空局进行联系。根据SpaceX的说法,那时碰撞的概率大约是5万分之一,因此该公司认为不需要任何预防措施。 随着潜在的碰撞日期越来越近,Merz表示欧空局收集了美国太空监视网络的数据,该网络是一系列跟踪轨道物体的地面望远镜,并将其与有关Aeolus大小和形状的内部数据相结合。利用这些信息,欧空局专家计算出这两颗卫星可能相互碰撞的概率甚至更高 – 最终达到超过千分之一的可能性。通常情况下,当碰撞机率为1万分之一时,卫星会移动。 Merz表示,欧空局每天都会与SpaceX联系,讨论其不断发展的计算方法,但该机构在原始电子邮件回复后未收到任何其他回复。SpaceX承认由于该漏洞而无法通信,并且错过了有关更高碰撞概率的电子邮件。最后,欧空局在周一早上拨打了电话,利用Aeolus的推进器将卫星的轨道提升了大约984英尺(300米),而没有等待SpaceX采取纠正措施。 通常,监视太空交通的美国空军如果发生碰撞的可能性很高,将发出联合警告。SpaceX没有透露该公司是否收到了空军的警报,或者该公司是否阻止该公司看到它。 即使欧空局没有移动Aeolus卫星,如果发现潜在的碰撞,Starlink航天器可能会自行移动。SpaceX首席执行官埃隆马斯克此前声称,每颗Starlink卫星都有自己的自主空间碎片跟踪系统,如有必要,它将用于移动潜在的碎片。SpaceX尚未表明该系统已在轨道上使用过。 最终,整个情况表明需要更好的沟通,Merz认为,特别是随着越来越多的卫星被SpaceX等公司发射到太空。像OneWeb和亚马逊这样的公司也提议将数百到数千颗卫星送入轨道,以便提供全球宽带互联网接入。“我认为通过电子邮件尝试解决这些问题不是未来,”Merz说道。“我们应该有更高效的东西。”   (稿源:cnBeta,封面源自网络。)

18 年的漏洞仍未彻底修复:黑客仍能几秒内破解特斯拉 Model S

破解一辆特斯拉Model S需要多长时间?在2018年安全团队COSIC就曾演示过在短短几秒内完成破解!这主要利用了特斯拉 Model S中PKES(无钥匙进入系统)与无线钥匙的认证过程中存在的安全问题,从而让黑客可以在几秒内复制汽车钥匙将汽车偷走。随后特斯拉立即做出反应解决了这个问题并转换到新的遥控车钥匙。 不过根据《连线》本周二发布的一篇报道称,特斯拉最新发布的车钥匙同样非常脆弱。来自比利时大学的科研团队发现新款车钥匙中同样存在原先的漏洞,不过破解过程需要更长的时间并且需要靠的更近才能完成。 值得庆幸的是,特斯拉再次迅速作出反应,并已推出其软件更新,这将允许用户在几分钟内基本上将他们的表盘重新闪存在他们的汽车中。造成车钥匙问题的关键在于它们的加密方式。于特斯拉配合的Keyless厂商Pektron公司对于这块防盗的密码不够缜密。但Pektron公司却未正面回应研究团队提出的问题。特斯拉车钥匙仅使用了40位加密协议,而这种协议相对容易打破。为了解决这个问题,特斯拉和Pektron将这些密钥转换为80位加密,这应该是更具挑战性的。 特斯拉代表在一份声明中说:“虽然没有任何东西可以防止所有车辆盗窃,但特斯拉已经部署了一些安全增强功能,例如PIN to Drive,这使得它们更不容易发生。” PIN to Drive功能允许车主在驾驶汽车之前设置必须输入的PIN码。这与车钥匙是分开的,不受漏洞影响,想要启动汽车之前必须要输入。 特斯拉继续说道“即使我们不知道单个客户受到报告问题的影响,并且启用PIN to Drive已经阻止了这种情况发生,我们已经开始发布一个无线软件更新(2019.32的一部分)这位研究人员的研究结果让某些Model S车主可以在不到两分钟的时间内更新他们车内的钥匙扣。“ 拥有无钥匙系统的车辆有一个非常简单的操作。窃贼可以通过使用电子继电器系统、钥匙干扰技术和其他黑客手段来截获这些信息,以便立即进入这些无钥匙车辆。这种快速和无声的技术非常容易成功,这也是去年英格兰和威尔士汽车盗窃案创下6年来新高的主要原因之一。 官方数据显示,2017年上报给驾驶和车辆许可机构的被盗车辆数量增至43308辆,比2016年增加了近9000辆。然而,英国国家统计局(Office for National Statistics)的犯罪调查显示,真实数字还要更高,去年英格兰和威尔士共有8.9万辆汽车被盗。在某些地区,如西米德兰兹郡,汽车盗窃率飙升了80%。 英国保险协会(Association of British Insurers)的数据显示,今年头三个月,保险公司的赔付额约为1.08亿英镑,即每天120万英镑。与2018年同期相比,这一数字增长了22%。与此同时,活动人士和政界人士呼吁汽车公司提高安全性,尤其是针对无钥匙汽车。   (稿源:cnBeta,封面源自网络。)

卡巴斯基修复四年老漏洞 注入 HTML 源码的唯一标识符会泄露用户隐私

多年来,卡巴斯基反病毒软件一直在各项安全测试中名列前茅。然而近日曝出的数据泄露事件,竟使得第三方能够长期监视用户的网络活动。德国网站 Heise.de 编辑 Ronald Eikenberg 指出,在其办公室电脑上的一个奇怪发现,让他知晓卡巴斯基反病毒软件造成了惊人的数据泄露。 (题图 via Heise.de) 作为 c’t issue 3 / 2019 测试第一部分,小编会定期对反病毒软件进行测试,以观察其是否履行了企业所声称的安全承诺。 在刚开始的几周和几个月,事情似乎波澜不惊 —— 卡巴斯基软件的表现,与 Windows Defender 基本相同或差强人意。 然而忽然有一天,Ronald Eikenberg 在查看了任意网站的 HTML 源码后发现,卡巴斯基竟然为其注入了如下代码: <script type=”text/javascript” src=”https://gc.kis.v2.scr.kaspersky-labs.com/9344FDA7-AFDF-4BA0-A915-4D7EEB9A6615/main.js” charset=”UTF-8″></script> 显然,浏览器正在加载来自 Kaspersky 域、名为 main.js 的外部 JavaScript脚本。尽管 JS 代码并不罕见,但当深入查看浏览器中显示的其它网站的 HTML 源码时,几乎都有同样奇怪的发现。 毫无意外的是,Ronald Eikenberg 竟然在个人网银网站上,也查看到了来自卡巴斯基的脚本。因此其断定 —— 这件事可能与卡巴斯基软件有些关联。 为了验证,Ronald Eikenberg 尝试了 Mozilla Firefox、Microsoft Edge、以及 Opera 浏览器,结果发现相同的代码随处可见。 鉴于没有安装可疑的浏览器扩展程序,他只能简单理解为是卡巴斯基反病毒软件在操纵当前的网络流量 —— 在未获得用户许可的情况下,卡巴斯基僭越了! 在此事曝光前,许多人可能只会在网银木马类恶意软件上观察到这种行为,以图窃取或篡改关键信息(比如悄悄地变更了网银转账的收款方)。现在的问题是 —— 卡巴斯基你到底在干嘛呢?! 经过对 main.js 脚本展开的一番分析,可知卡巴斯基会在判别某个‘干净’网站链接后,在地址栏显示带有谷歌搜索结果的绿色图标。 然而还有一个小细节 —— 加载卡巴斯基脚本的地址,也包含了一段可疑的字符串: https://gc.kis.v2.scr.kaspersky-labs.com/9344FDA7-AFDF-4BA0-A915-4D7EEB9A6615/main.js 链接加粗部分,显然属于某种“通用唯一标识符”(UUID)。但是作为一款计算机安全软件,卡巴斯基要拿这串字符去识别或追踪谁呢? 扩展扩展验证,Ronald Eikenberg 在其它计算机上也安装了卡巴斯基软件,发现它确实会向其它系统同样注入 JavaScript 代码、并且留意到了一个至关重要的区别。 源地址中的 UUID,在每台系统上都是不一样的。这些 ID 属于持久性的标识,即便过了几天也不会发生改变。显然,每台计算机都会拥有自己的永久分配 ID 。 而将这串 UUID 直接注入每个网站的 HTML 源码,绝对是一个糟糕头顶的主意。因为在网站域上下文环境中运行的其它脚本,都可以随时访问整个 HTML 源,甚至读取卡巴斯基这串 UUID 。 这意味着任何网站都可以读取并追踪卡巴斯基软件用户的网络 ID,只要另一个网站检测到了同一字符串,就能认定其访问源来自同一台计算机。 基于这种假设,卡巴斯基显然是打造了一套危险的追踪机制,甚至比传统的 cookie 更加极端 —— 就算你切换了浏览器,也会被追踪并识别到在使用同一台设备、让浏览器的隐身模式形同虚设。 为避免更多用户陷入风险,c’t 决定立即向卡巴斯基通报这一发现、并且迅速得到了对方的答复,称其已着手调查此事。 大约两周后,卡巴斯基莫斯科总部对这一案例进行了分析,并证实了 c’t 的这一发现。 该问题影响所有使用 Windows 版卡巴斯基安全软件的消费者版本,从入门机的免费版、互联网安全套装(KIS)、直至全面防护版(Total Security)。 此外,卡巴斯基小企业安全版(Small Office Security)也受到了该问题的影响,导致数百万用户暴露于风险之中。 Heise.de 调查显示,卡巴斯基从 2015 年秋发布的“2016”系列版本中引入了该漏洞。但既然普通网友都能在无意间发现这个漏洞,包括营销机构在内的第三方,也极有可能早就展开了野外利用。 即便如此,卡巴斯基仍表示这种攻击过于复杂,因此发生的概率极低,对网络犯罪分子来说有些无利可图。 然而 Heise.de 并不赞同该公司的说法,毕竟许多企业都在努力监视每一位网站来访者,这个持续四年的漏洞,很有可能是其展开间谍活动的一个福音。 万幸的是,在认识到事情的严重性之后,卡巴斯基终于听从了爆料者的要求,在上月发布了 CVE-2019-8286 安全公告,且相关补丁也已经打上。 当然,为了安全起见,您也可禁用卡巴斯基软件中提供的相关功能: 点击主窗口左下角的齿轮(设置)图标 -> 点击‘其它 / 网络’-> 然后取消‘流量处理’下的‘将脚本注入 Web 流量以与网页交互’选项。 (稿源:cnBeta,封面源自网络。)

安全漏洞导致 Suprema Biostar 2 百万人指纹数据曝光

近年来发生的多起大规模信息泄露事件,使得网络用户不得不修改那些不再安全的账户密码。但若安全性更高的指纹数据被曝光,那后果就更加严重了。遗憾的是,这正是 Suprema Biostar 2 指纹锁身上所发生的事情。据悉,研究人员在 Suprema 的系统中发现了一个安全漏洞,使之能够访问超过 100 万人的身份验证数据。 (图自:vpnMentor,via BGR) 英国《卫报》指出,这些数据包括了指纹 / 面部识别数据、未加密的用户名和密码、甚至员工的个人信息。 鉴于 Suprema 生物识别认证系统有许多企业和公共机构大客户 —— 其中包括英国大都会警察局、国防承包商和银行 —— 甚至伤害美国、巴基斯坦、芬兰、印尼等地的跨国企业。 以色列研究人员 Noam Rotem、Ran Locar 与 vpnmentor 一起寻找到了 Suprema 的安全漏洞,并且获得了 Biostar 2 数据库的访问权限。 最令人震惊的是,在获得访问权限后,安全研究人员发现该数据库缺乏应有的保护,且大多数据处于未加密的存储状态,很容易访问到总量超过 2780 万条(23GB+)的记录。 除了敏感信息,安全研究人员还能够轻松监控存储的生物识别数据的实际使用情况。比如实时查看哪个用户通过特定的安全门进入任何设施,甚至查看到管理员账户的密码。 此外,研究人员能够编辑某人的帐户,在其中加入自己的指纹。因此从理论上来讲,攻击者可以突破所有需要授权进入的地方。 更令人不安的是,研究人员发现密码数据根本没有受到任何保护,使得黑客能够轻易复制指纹数据、并将之用于恶意目的。其在一篇论文中写到: Suprema 未采用无法进行逆向工程的散列式指纹数据存储,而是偷工减料得让攻击者能够轻易复制实际的指纹数据、并将之用于恶意的目的。 即便如此,Suprema 营销主管 Andy Ahn 还是在接受《卫报》采访时称:此事并没有什么可担心的。 我司已对 vpnmentor 的报告进行了‘深入评估’,若威胁确实存在,Suprema 会立即采取行动并发布适当的公告,以保护我司客户宝贵的业务和资产。 然而目前尚不清楚是否有其他人在安全研究人员之前发现了同样的问题,并对这批数据展开了滥用。   (稿源:cnBeta,封面源自网络。)

Raidforums 攻破 Cracked.to 黑客论坛网站 曝光其 32.1 万名成员数据

外媒报道称,近日 Raidforums 攻破了竞争对手 Cracked.to 的黑客论坛网站,并泄露了后者超过 32.1 万名成员的数据。之所以发起这场行动,或是因为一些受害者正在讨论如何破解《堡垒之夜》账户、销售软件漏洞、自己从事其他可能非法的活动。漏洞披露网站 Have I Been Pwned 报道称:Raidforums 在上周五转储暴露了 74 万 9161 个唯一的电子邮件地址。 除了电子邮件地址,Raidforums 还泄露了 Cracked.to 论坛用户的 IP 地址、私信、bcrypt 转储的哈希密码等数据,由网站论坛应用程序 myBB 所生成。 外媒指出,Cracked.to 自诩为一个提供破解教程、工具、组合、市场和更多恭喜的综合性论坛,而 Raidforums 旗下也存在许多类似主题的论坛。 外媒 ArsTechnica 概览了一遍 Raidforums 公布的 2.11 GB 文件,发现其中包含了近 39.7 万条私信,且大量涉及诸多黑客极力避免的细节内容。 详细内容包括用户名、电子邮件地址、求购记录、销售或支持的软件服务、以及针对人们视频游戏《堡垒之夜》账户的破解等。 除了一些笼统的信息,还有部分论坛用户提到了如何利用 CVE-2019-20250 这个在今年早些时候被发现的严重漏洞。其与 WinRAR 文件压缩程序有关,可在易受攻击的计算机上安装大量讨人厌的恶意软件。 外界猜测,Cracked.to 的大量访客,可能是通过暗网或其它隐匿 IP 地址的方式来访问该网站的。所以公布出来的用户名和邮件地址,也极有可能是匿名或伪造的。 即便如此,执法部门或竞争对手仍可借此来实施一定程度的打压。对于网站管理员来说,这起事件也算是向他们发出了一个警示,毕竟 Raidforums 声称是通过某漏洞利用来实现的“脱裤”。 几个月前,Cracked.to 管理员称其已将默认脆弱的 myBB 哈希密码转储,切换到了更加强大的解决方案。但在此事发生后,该网站已强烈要求用户变更密码。 此外,我们不排除 Raidforums 已经获得 Cracked.to 管理员密码、或向其它网站发起了类似攻击的可能性。   (稿源:cnBeta,封面源自网络。)