标签: 谷歌

Google 修复了 Android 中的 DoS 漏洞(CVE-2019-2232)

Android系统发布了2019年12月的安全更新,此次解决的漏洞中包含一个可能导致DoS攻击的严重漏洞(CVE-2019-2232)。 12月1日的补丁解决了Framework中的六个漏洞,两个媒体框架漏洞,系统中的七个以及Google Play系统更新中的两个漏洞。 CVE-2019-2232 DoS漏洞将会影响Framework组件,以及Android版本8.0、8.1、9和10。 Google发布安全公告称:“黑客可能利用漏洞伪造特殊消息,进而导致永久拒绝服务。”。 Google还解决了Framework中的5个漏洞,三个特权提升漏洞(CVE-2019-9464,CVE-2019-2217,CVE-2019-2218),一个高风险信息泄露(CVE-2019-2220 ),以及一个中等级别的特权提升错误 (CVE-2019-2221)。 系统中修补的漏洞严重性较高,例如远程执行代码,特权提升和五个信息泄露漏洞。 12月5日的补丁各自解决了Framework和System中的一个高危信息泄露漏洞。它还修复了内核中的三个高风险特权提升漏洞以及高通组件中的十二个高危漏洞。 除此之外,Google还解决了Pixel设备上的一系列安全漏洞。     消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

谷歌发布 2019 年 12 月的 Android 安全补丁

谷歌为其最新的 Android 10 移动操作系统系列发布了 2019 年 12 月的 Android 安全补丁,以解决一些最关键的安全漏洞。 由2019年12月1日和2019年12月5日安全补丁程序级别组成,2019年12月的Android安全补丁程序解决了Android组件,Android框架,媒体框架,Android系统,内核组件,以及高通的组件,包括封闭源代码的组件。 据悉,此更新中修复的最关键的安全问题会影响 Framework 组件,并可能允许远程攻击者永久拒绝服务。此外,其还修复了一个漏洞,该漏洞可能允许远程攻击者通过使用特制文件在特权进程的上下文中执行任意代码,并且该漏洞可能使具有特权访问权限的本地攻击者能够访问敏感数据。 与此同时,谷歌还发布了 2019 年 12 月的 Pixel Update 公告,以解决各种针对Pixel设备的安全漏洞和问题,以及 2019 年 12 月的 Android 安全公告中描述的安全漏洞。2019 年 12 月的 Pixel 更新公告包含针对内核组件和 Android 系统中发现的总共 8 个漏洞的修复程序。 目前,2019 年 12 月的 Android 安全公告和 2019 年 12 月的 Pixel 更新公告都将向所有受支持的 Pixel 设备推出,包括 Pixel 2,Pixel 2 XL,Pixel 3,Pixel 3 XL,Pixel 3a,Pixel 3a XL,Pixel 4 和 Pixel 4 XL。而在接下来的几周内,它还将可用于 Essential,Samsung,OnePlus 和更多制造商的其他 Android 设备。   (稿源:开源中国,封面源自网络。)

谷歌兄弟公司 Chronicle 并入谷歌云 没能颠覆网络安全行业

网易科技讯 11月8日消息,据国外媒体报道,2018年初,谷歌母公司Alphabet宣布新成立的子公司Chronicle,旨在为用户开发数字化“免疫系统”,实现网络安全的革命性突破。但是作为谷歌兄弟公司之一的Chronicle,其初衷使命并未完成,并且已经走向死亡。 Chronicle成立时作出的承诺令人兴奋,声称Chronicle将利用机器学习和Alphabet的安全遥测数据,对恶意软件和互联网基础设施状态进行近乎完全的掌握,并且能够利用Chronicle来帮助公司的安全团队,发现可能威胁公司网络的入侵。更为重要的是,据Chronicle首席执行官斯蒂芬·吉列特(Stephen Gillett)称,Chronicle将与谷歌保持独立。 “我们希望让安全团队工作速度和影响提高10倍,让他们在捕捉和分析安全信号时,能够更容易、更快、更符合成本效益。而在此前,这项工作太难、太昂贵了。”吉列特在宣布Chronicle成立时的博文中表示,“我们知道这项任务需要数年的时间,但我们将致力于完成这项任务。” 当时还不清楚Chronicle会是什么样子。但业内观察人士兴奋地认为,在这个充斥着杀毒和防火墙等相对古老技术的网络安全行业,Chronicle将带来革命性的突破。 然而,Chronicle成立仅一年半之后,Chronicle就被并入谷歌的云部门。一些员工觉得Chronicle被抛弃了,Chronicle最初的愿景被束之高阁。据网站Motherboard报道,Chronicle首席执行官和首席安全官(CSO)已经离开,首席技术官也将于本月晚些时候离开,其他员工也将退出。 “Chronicle已经死了,”Chronicle一位现员工向Motherboard表示,“吉列特和谷歌杀了它。”(天门山)   (稿源:网易科技,封面源自网络。)

谷歌安全研究员发现 Libarchive 漏洞 影响Linux、FreeBSD和BSD

Debian,Ubuntu,Gentoo,Arch Linux,FreeBSD和NetBSD 使用的压缩库有一个漏洞,该漏洞可能使黑客能够在用户计算机上执行代码。 macOS和Windows操作系统不受该漏洞影响。 CVE-2019-18408 该漏洞影响了Libarchive(一个用于读取和创建压缩文件的库)。它是一个功能强大的多合一工具包,用于处理存档文件,该工具包还捆绑了其他Linux / BSD实用程序(例如tar,cpio和cat),使其成为各种操作的理想选择,也是其在操作中被广泛采用的原因系统。 上周,Linux和FreeBSD在发布更新(其中包含Libarchive补丁)之后公开了该漏洞的具体信息。 该漏洞的代号为CVE-2019-18408,攻击者可以通过文件在用户系统上执行代码。谷歌安全研究人员使用两个名为ClusterFuzz和OSS-Fuzz的自动代码测试工具识别了该漏洞,并且漏洞在Libarchive 3.4.0版本中得到了修复。   可能会更糟 使用Libarchive的操作系统和程序非常之多,这也给黑客提供了很多机会。 受影响的包括台式机和服务器操作系统,程序包管理器,安全实用程序,文件浏览器和多媒体处理工具。比如 pkgutils,Pacman,CMake,Nautilus,KDE的方舟和Samba。 尽管受影响的操作系统已推出更新,但其他应用程序中Libarchive的补丁程序状态目前未知。 值得庆幸的是,Windows和macOS这两种当今最受欢迎的操作系统均未受到影响。   消息来源:ZDNet, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Chrome 用户请尽快更新:谷歌发现两个严重的零日漏洞

强烈建议:Chrome用户请尽快升级浏览器!在谷歌今天发布的紧急补丁程序中修复了两个严重的零日漏洞,而其中一个已经被黑客利用。Chrome安全小组表示,这两个漏洞均为use-after-free形式,允许黑客在受感染设备上执行任意代码。其中一个漏洞存在于浏览器的音频组件中,而另一个存在于PDFium库中。Windows、macOS和GNU/Linux三大平台版本均受影响。 互联网安全中心警告说:“在Google Chrome中发现了多个漏洞”,并表示CVE-2019-13720和CVE-2019-13721的严重等级都很高。在后续警告中写道:“这两个漏洞允许攻击者在浏览器中执行任意代码、获取敏感信息,绕过安全限制并执行未经授权的操作或导致拒绝服务情况”。 Google Chrome小组在博客中说,稳定版已经升级至78.0.3904.87,修复了这两个问题: 此更新包括2个安全修复程序。下面,我们重点介绍由外部研究人员提供的修复程序。请参阅Chrome安全性页面以获取更多信息。 [$7500] [1013868]高CVE-2019-13721:PDFium组件中的Use-after-free。由 banananapenguin在2019-10-12报道。 [$TBD] [1019226]高CVE-2019-13720:音频组件中的Use-after-free。卡巴斯基实验室的Anton Ivanov和Alexey Kulaev于2019-10-29报道 谷歌承认已经有黑客利用CVE-2019-13720漏洞向Chrome用户发起攻击。目前尚无法披露有关安全漏洞的详细信息。   (稿源:cnBeta,封面源自网络。)

Google Play 商店发现能够自行隐藏图标的恶意广告应用

总部位于澳大利亚的SophosLabs研究人员最近发现了15个应用程序,这些应用程序除了在Android设备上积极展示广告外似乎没有其他作用。这些程序的名称和产品描述,从QR阅读器到图像编辑应用程序不等。使这些应用程序更加隐蔽的是,它们隐藏了自己的应用图标,使它们更难从手机中删除。其中一些程序甚至在设置中使用不同的名称和图标来伪装自己。 Sophos给出了一个名为Flash On Calls&Messages(free.calls.messages)的应用程序示例。启动后,它会显示一条消息,指出“此应用程序与您的设备不兼容!”,然后它将应用程序商店打开到Google Maps页面,以诱骗用户以为Google Maps是问题所在。之后,它会隐藏其图标,以便无法在启动器中看到它。 更糟糕的是,这些应用进一步尝试通过在Android设置中使用其他名称和图标来避免将其删除。 15个程序中有9个采用这种策略以避免被发现。伪装的应用程序将使用更新,备份,时区服务甚至Google Play商店之类的名称来模仿无害的程序甚至基本功能。 首席研究员安德鲁·勃兰特(Andrew Brandt)概述了如何查找和删除烦人的恶意软件:“如果您怀疑最近安装的应用程序将其图标隐藏,请点击“设置”,然后点击“应用程序和通知”。最近打开的应用程序显示在此页面顶部的列表中。如果这些应用程序中的任何一个使用通用的Android图标,并且具有通用的名称,如“备份”,“更新”,“时区服务”),请点击该通用图标,然后点击“强制停止”,然后点击“卸载”。一个真实的系统应用程序将具有一个名为“禁用”的按钮,而不是“卸载”,您无需费心禁用它。” 发现的15个恶意应用已从Google Play中删除。但是,Play市场统计数据显示,它们已经被下载并安装在全球超过130万台设备上。   (稿源:cnBeta,封面源自网络。)

谷歌发布全新数据库 以帮助检测深度假冒视频音频

许多人担心全新深层伪造技术出现,让人很难分辨音频、视频和图像真假。现在,谷歌希望更轻松帮助人们地知道这些东西是真实的还是伪造的,并为检测音频、视频和图像真伪做出贡献。谷歌表示,尽管许多假冒视频和图像本来是幽默的,但它们有可能对个人和社会造成危害。 谷歌认为这些问题非常严重,并已经发布了一个合成语音数据集,支持开发相关软件,以检测音频真假。谷歌表示,150多家研究机构和行业组织下载了该数据集。同样的数据集现在也可以供公众使用。 本周,谷歌与Jigsaw合作推出了一个全新可视化深度虚假数据集。新的数据集已被集成到相关基准测试软件当中,这将将有助于识别伪造的视频。现在用户可以在FaceForensics Github页面上下载这个数据集。 谷歌表示,该领域进展迅速,随着DeepFake技术发展,它将被添加到数据集中。谷歌还承诺将继续与该领域的合作伙伴合作。谷歌坚信支持一个蓬勃发展的研究社区,将减轻滥用合成媒体造成的潜在危害。   (稿源:cnBeta,封面源自网络。)

谷歌赢得具有里程碑意义的诉讼 不必在全球范围内执行“被遗忘权”

据英国广播公司(BBC)报道,欧洲最高法院已裁定谷歌不必在全球范围内执行“被遗忘权”。这意味着该公司仅在收到适当的请求后才需要从其在欧洲的搜索结果中删除链接,而无需在其他地方删除该链接。 该裁决源于谷歌与法国数据保护监管机构“法国国家信息与自由委员会(CNIL)”之间的纠纷。 2015年,CNIL命令该公司在全球范围内删除该搜索引擎平台上的链接,如果这些链接指向包含破坏性或虚假信息。2016年,谷歌推出了“地理封锁”功能,该功能可阻止欧洲用户看到遭限制的链接。 但是谷歌拒绝在全球范围内执行“被遗忘权”,该公司对CNIL试图施加的10万欧元罚款提出质疑。 “目前,根据欧盟法律,对于允许数据主体取消引用的搜索引擎运营商没有义务……对其所有版本的搜索引擎进行这种取消引用,”欧洲法院在裁决中说道。 谷歌曾辩称,如果这项裁决要在欧洲以外实施,则专制政府可能会掩盖这项侵犯人权的行为。该公司在欧洲法院裁决后发表声明说:“自2014年以来,我们一直努力在欧洲执行被遗忘权,并在人们的信息获取权与隐私权之间取得合理的平衡。很高兴看到法院同意我们的论点。” 该技术公司得到了微软、维基媒体基金会,非营利的新闻自由记者委员会以及英国言论自由运动组织 Article 19等组织的支持。 欧洲法院顾问Maciej Szpunar还得出结论,在今年早些时候向法院提出的不具约束力的建议中,被遗忘权仅限于欧洲。 自2014年5月欧洲法院首次确定欧洲公民在某些情况下可以迫使搜索公司从使用其姓名的查询中删除包含有关他们的敏感信息的网页时,谷歌便开始执行被遗忘权。 谷歌表示,自那时以来,该已经收到了超过84.5万个请求,总共删除了330万个网址,其中大约45%的链接最终被删除。这包括从其欧洲网站(例如Google.fr,Google.co.uk和Google.de)中删除结果,以及在其检测到正在搜索的情况下,从其其他网站(例如Google.com)中限制结果。但是,这意味着,如果用户使用虚拟专用网络(VPN)或其他工具掩盖其位置,则仍然可以绕开该操作。     (稿源:cnBeta,封面源自网络。) 相关阅读:谷歌再次面临欧盟隐私裁决 或将在全球范围删除链接

谷歌再次面临欧盟隐私裁决 或将在全球范围删除链接

北京时间9月23日下午消息,据彭博社报道,五年前,一项“被遗忘权”裁决强制谷歌应要求删除个人信息。五年之后,谷歌将再次面临欧盟最高法院即将作出的另一项重大隐私权决定。 欧盟法院将在周二对这家美国巨头与法国数据保护监管机构CNIL的后续纠纷作出裁决,裁定该“被遗忘权”是否应该在全球范围内适用,以及界定隐私与言论自由之间的边界。 法国当局要求谷歌根据要求,在全球范围内删除该搜索引擎平台上的链接,如果这些链接指向包含过时或虚假信息并有可能不公平地损害个人声誉的网站。法官或许还将阐明哪些链接可以在线保留,以维护公共利益。对于法国当局的要求,谷歌正尽全力反抗。 从谷歌的角度而言,互联网的命运危在旦夕。2014年的裁决已经迫使谷歌在欧洲呈现与世界其他地区不同的搜索结果。法国的CNIL则表示,谷歌应该在全球范围内清楚这些搜索结果。而谷歌在此案中的支持者(包括新闻自由团体)提醒道,这样的要求恐怕会给专制政权行便利,允许他们通过决定哪些内容可以公开而达到审查整个互联网的目的。 伦敦林克莱特斯律师事务所的律师理查德·坎伯利(Richard Cumbley)认为:“这个案子突显了国家法律与互联网之间的持续冲突。”全球范围内的遗忘权若裁决通过,“将与美国的言论自由概念产生严重冲突,而其他国家可能也会试图并在全球范围内控制搜索结果,减少谷歌搜索引擎恐带来的潜在麻烦。” 欧盟法院的裁决很难预测。法院的最初决定否决了谷歌提出的辩护,即该搜索引擎只是一个提供信息的中立渠道,这样的结果令谷歌颇感震惊。裁决实际上也将判断权留给了谷歌,让谷歌来决定某个被要求删除的链接是否包含某些“不再相关的”内容。 自2014之后,谷歌已经被迫评估了近85万条单独的链接删除请求,涉及的网站多达330万个。谷歌的工作人员实则承担起半监管的角色,以在哪些信息应该公开和哪些应该删除之间努力取得平衡。 现在,法院必须阐明谷歌应删除链接的范围。谷歌是否应该在单个国家或整个欧洲删除链接?是否必须从本地网站如法国的谷歌(google.fr)搜索结果中删除链接,还是必须从全球域名(google.com)的搜索结果中删除链接?——以及,这些内容若可以从法国、欧洲或其他地方访问,谷歌又该怎么做? 自2016年以来,公司已经采用所谓的“地理封锁”功能来过滤呈现给欧洲用户的所有谷歌网站上的搜索结果,这样欧洲的用户就不会看到他们国家某个人希望限制的信息。 欧盟法院还必须考虑,谷歌是否可以拒绝删除某些符合公共利益的信息。欧盟法院将就删除与公职人员的个人关系有关的链接和一篇提及山达基教会公关经理姓名的文章链接而产生的争议,向法国法院提供建议。 伦敦和巴黎的法官对抑制有损个人声誉的信息的努力表示支持。去年,伦敦一法院通知谷歌删除关于商人刑事定罪的新闻报道,以符合制造帮助人们放下过去犯罪行为的英国法律。巴黎法官也曾要求谷歌减少有关某一位前首席财务官因内幕交易行为而被罚款的报道的曝光度。 谷歌和法国隐私监管机构CNIL均尚未立即回复评论请求。 谷歌作为欧洲的一个领先搜索引擎,其重要性已经引起欧盟重视,并宣称谷歌主导了欧洲市场。同时,谷歌也对欧盟法院提出的数十亿欧元的反垄断罚款提出抗辩。   (稿源:,稿件以及封面源自网络。)

当心 Google Alert 链接 可能涉及恶意软件和诈骗

黑客正在利用 Gogle Alert 的订阅功能向用户推送诈骗信息和恶意软件。   Google Alert 垃圾邮件 为了使恶意链接被 Google Alert 推送,黑客会创建含有热门词语的垃圾邮件页面,并将其纳入 Google 搜索索引。 黑客知道用户迫切希望使用解密器,所以他们伪造了诈骗网站,其中包含与特定解密器相关的关键字,使得关注该关键字的用户会收到他们伪造的网站链接。 我们可以在下面看到这些网页之一,他们假装讨论STOP DJvu Ransomware 的 Kaspersky 解密器,当用户直接导航到页面的URL 时,他们看到的就是下面的网页。 创建垃圾邮件界面以推销解密程序 当黑客创建这些页面并将其放入 Google 索引后,任何想要获得勒索软件,解密程序或 STOP 勒索软件通知的人都会被推送这个页面。 勒索软件解密器的推送 当用户通过 Google Alert 或 Google 搜索引擎点击该链接时,网页会被重定向到一个恶意网站。 重定向到虚假的“技术支持”界面 黑客并非只围绕技术来设计网页,还有例如电视,衣服,电影等主题。这些主题通常通过假日购物,优惠券,免费观看电影等方式吸引用户。 在上面的示例中,所有突出显示的链接都会重定向到诈骗网站。   消息来源:BleepingComputer, 译者:xyj,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接