标签: Google

Google 修复了 Android 中的 DoS 漏洞(CVE-2019-2232)

Android系统发布了2019年12月的安全更新,此次解决的漏洞中包含一个可能导致DoS攻击的严重漏洞(CVE-2019-2232)。 12月1日的补丁解决了Framework中的六个漏洞,两个媒体框架漏洞,系统中的七个以及Google Play系统更新中的两个漏洞。 CVE-2019-2232 DoS漏洞将会影响Framework组件,以及Android版本8.0、8.1、9和10。 Google发布安全公告称:“黑客可能利用漏洞伪造特殊消息,进而导致永久拒绝服务。”。 Google还解决了Framework中的5个漏洞,三个特权提升漏洞(CVE-2019-9464,CVE-2019-2217,CVE-2019-2218),一个高风险信息泄露(CVE-2019-2220 ),以及一个中等级别的特权提升错误 (CVE-2019-2221)。 系统中修补的漏洞严重性较高,例如远程执行代码,特权提升和五个信息泄露漏洞。 12月5日的补丁各自解决了Framework和System中的一个高危信息泄露漏洞。它还修复了内核中的三个高风险特权提升漏洞以及高通组件中的十二个高危漏洞。 除此之外,Google还解决了Pixel设备上的一系列安全漏洞。     消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

谷歌发布 2019 年 12 月的 Android 安全补丁

谷歌为其最新的 Android 10 移动操作系统系列发布了 2019 年 12 月的 Android 安全补丁,以解决一些最关键的安全漏洞。 由2019年12月1日和2019年12月5日安全补丁程序级别组成,2019年12月的Android安全补丁程序解决了Android组件,Android框架,媒体框架,Android系统,内核组件,以及高通的组件,包括封闭源代码的组件。 据悉,此更新中修复的最关键的安全问题会影响 Framework 组件,并可能允许远程攻击者永久拒绝服务。此外,其还修复了一个漏洞,该漏洞可能允许远程攻击者通过使用特制文件在特权进程的上下文中执行任意代码,并且该漏洞可能使具有特权访问权限的本地攻击者能够访问敏感数据。 与此同时,谷歌还发布了 2019 年 12 月的 Pixel Update 公告,以解决各种针对Pixel设备的安全漏洞和问题,以及 2019 年 12 月的 Android 安全公告中描述的安全漏洞。2019 年 12 月的 Pixel 更新公告包含针对内核组件和 Android 系统中发现的总共 8 个漏洞的修复程序。 目前,2019 年 12 月的 Android 安全公告和 2019 年 12 月的 Pixel 更新公告都将向所有受支持的 Pixel 设备推出,包括 Pixel 2,Pixel 2 XL,Pixel 3,Pixel 3 XL,Pixel 3a,Pixel 3a XL,Pixel 4 和 Pixel 4 XL。而在接下来的几周内,它还将可用于 Essential,Samsung,OnePlus 和更多制造商的其他 Android 设备。   (稿源:开源中国,封面源自网络。)

2019 年 Q3 逾 12000 名谷歌用户受政府黑客攻击

据谷歌威胁分析小组(TAG)报道显示:超过90%的目标用户受到“钓鱼邮件”的攻击。这些数据源于 TAG 追踪黑客组织而得出的结论,这些黑客组织通过向立场不同的政客、记者、人权学家发送邮件,来进行情报收集、知识产权窃取、破坏性网络攻击以及传播虚假信息等一系列行为。 谷歌公司表示,2019年7月至9月间发送的高风险用户安全警告与2018年和2017年同期相比浮动范围均在10%以内。 我们鼓励记者、人权学家和政客等高风险用户加入我们的高级保护计划(APP),该计划通过硬件安全密钥,可为防范网络钓鱼和帐户劫持提供最有力的保护。该程序是专门为高风险账户设计的,”谷歌说。 据谷歌共享的地图显示,钓鱼攻击警告虽然已被发送到149个国家受影响的用户手中,但美国、巴基斯坦、韩国和越南是仍受攻击最严重的国家。 自2012年来,一旦发现有黑客通过网络钓鱼、恶意软件等形式攻击用户时,谷歌便会向用户发出安全警报。 就在去年,谷歌开始向 G Suite 管理员提供安全警报,以便他们能更好向用户保护采取行动。 针对安全警报问题,谷歌公司建议当目标用户收到邮件时,不必惊慌,这并不一定意味着你的谷歌账户已经被泄露,这意味着黑客试图通过一些恶意手段访问你的谷歌账户,你应及时采取一些措施如保持其应用程序和软件的最新状态并启用两步验证保护个人账户信息。     消息来源:TheHackerNews, 译者:dengdeng,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

谷歌增加 Android 安全奖励计划奖金 最高将达 150 万美元

据外媒Neowin报道,谷歌的Android安全奖励计划(Android Security Rewards Program)自2015年开始实施,并已向发现移动操作系统漏洞的安全研究人员支付了数百万美元。如今,该公司正在扩大研究人员可获得的奖励,最引人注目的是一项新的奖励,其价值可能高达150万美元。 当然,这种奖励是针对特别具有挑战性的漏洞利用。谷歌表示将向研究人员支付100万美元,他们可以执行“具有持久性的全链远程代码执行漏洞,从而破坏Pixel设备上的Titan M安全元件”。Titan M芯片是在Pixel 3上首次引入的,根据来自Gartner的数据,该设备被认为具有比其他任何经过测试的设备更高的安全性。如果在Android的“特定开发人员预览版”上执行此漏洞,则赏金可以增加50%,这将使总奖励达到150万美元。 谷歌表示,在过去的12个月中,其总共支付了约150万美元的奖励,其中包括多项奖金。在此期间,最高的奖金达161337美元,参与研究的100多名研究人员的平均奖金是每个发现3800美元。 除了这一非常高的奖励等级之外,谷歌还推出了其他新等级,这些等级的奖励比以往更高。这些漏洞包括涉及数据泄露和锁屏绕过的漏洞利用,奖励最高可达到50万美元。   (稿源:cnBeta,封面源自网络)

谷歌安全研究员发现 Libarchive 漏洞 影响Linux、FreeBSD和BSD

Debian,Ubuntu,Gentoo,Arch Linux,FreeBSD和NetBSD 使用的压缩库有一个漏洞,该漏洞可能使黑客能够在用户计算机上执行代码。 macOS和Windows操作系统不受该漏洞影响。 CVE-2019-18408 该漏洞影响了Libarchive(一个用于读取和创建压缩文件的库)。它是一个功能强大的多合一工具包,用于处理存档文件,该工具包还捆绑了其他Linux / BSD实用程序(例如tar,cpio和cat),使其成为各种操作的理想选择,也是其在操作中被广泛采用的原因系统。 上周,Linux和FreeBSD在发布更新(其中包含Libarchive补丁)之后公开了该漏洞的具体信息。 该漏洞的代号为CVE-2019-18408,攻击者可以通过文件在用户系统上执行代码。谷歌安全研究人员使用两个名为ClusterFuzz和OSS-Fuzz的自动代码测试工具识别了该漏洞,并且漏洞在Libarchive 3.4.0版本中得到了修复。   可能会更糟 使用Libarchive的操作系统和程序非常之多,这也给黑客提供了很多机会。 受影响的包括台式机和服务器操作系统,程序包管理器,安全实用程序,文件浏览器和多媒体处理工具。比如 pkgutils,Pacman,CMake,Nautilus,KDE的方舟和Samba。 尽管受影响的操作系统已推出更新,但其他应用程序中Libarchive的补丁程序状态目前未知。 值得庆幸的是,Windows和macOS这两种当今最受欢迎的操作系统均未受到影响。   消息来源:ZDNet, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Chrome 用户请尽快更新:谷歌发现两个严重的零日漏洞

强烈建议:Chrome用户请尽快升级浏览器!在谷歌今天发布的紧急补丁程序中修复了两个严重的零日漏洞,而其中一个已经被黑客利用。Chrome安全小组表示,这两个漏洞均为use-after-free形式,允许黑客在受感染设备上执行任意代码。其中一个漏洞存在于浏览器的音频组件中,而另一个存在于PDFium库中。Windows、macOS和GNU/Linux三大平台版本均受影响。 互联网安全中心警告说:“在Google Chrome中发现了多个漏洞”,并表示CVE-2019-13720和CVE-2019-13721的严重等级都很高。在后续警告中写道:“这两个漏洞允许攻击者在浏览器中执行任意代码、获取敏感信息,绕过安全限制并执行未经授权的操作或导致拒绝服务情况”。 Google Chrome小组在博客中说,稳定版已经升级至78.0.3904.87,修复了这两个问题: 此更新包括2个安全修复程序。下面,我们重点介绍由外部研究人员提供的修复程序。请参阅Chrome安全性页面以获取更多信息。 [$7500] [1013868]高CVE-2019-13721:PDFium组件中的Use-after-free。由 banananapenguin在2019-10-12报道。 [$TBD] [1019226]高CVE-2019-13720:音频组件中的Use-after-free。卡巴斯基实验室的Anton Ivanov和Alexey Kulaev于2019-10-29报道 谷歌承认已经有黑客利用CVE-2019-13720漏洞向Chrome用户发起攻击。目前尚无法披露有关安全漏洞的详细信息。   (稿源:cnBeta,封面源自网络。)

谷歌发布全新数据库 以帮助检测深度假冒视频音频

许多人担心全新深层伪造技术出现,让人很难分辨音频、视频和图像真假。现在,谷歌希望更轻松帮助人们地知道这些东西是真实的还是伪造的,并为检测音频、视频和图像真伪做出贡献。谷歌表示,尽管许多假冒视频和图像本来是幽默的,但它们有可能对个人和社会造成危害。 谷歌认为这些问题非常严重,并已经发布了一个合成语音数据集,支持开发相关软件,以检测音频真假。谷歌表示,150多家研究机构和行业组织下载了该数据集。同样的数据集现在也可以供公众使用。 本周,谷歌与Jigsaw合作推出了一个全新可视化深度虚假数据集。新的数据集已被集成到相关基准测试软件当中,这将将有助于识别伪造的视频。现在用户可以在FaceForensics Github页面上下载这个数据集。 谷歌表示,该领域进展迅速,随着DeepFake技术发展,它将被添加到数据集中。谷歌还承诺将继续与该领域的合作伙伴合作。谷歌坚信支持一个蓬勃发展的研究社区,将减轻滥用合成媒体造成的潜在危害。   (稿源:cnBeta,封面源自网络。)

谷歌再次面临欧盟隐私裁决 或将在全球范围删除链接

北京时间9月23日下午消息,据彭博社报道,五年前,一项“被遗忘权”裁决强制谷歌应要求删除个人信息。五年之后,谷歌将再次面临欧盟最高法院即将作出的另一项重大隐私权决定。 欧盟法院将在周二对这家美国巨头与法国数据保护监管机构CNIL的后续纠纷作出裁决,裁定该“被遗忘权”是否应该在全球范围内适用,以及界定隐私与言论自由之间的边界。 法国当局要求谷歌根据要求,在全球范围内删除该搜索引擎平台上的链接,如果这些链接指向包含过时或虚假信息并有可能不公平地损害个人声誉的网站。法官或许还将阐明哪些链接可以在线保留,以维护公共利益。对于法国当局的要求,谷歌正尽全力反抗。 从谷歌的角度而言,互联网的命运危在旦夕。2014年的裁决已经迫使谷歌在欧洲呈现与世界其他地区不同的搜索结果。法国的CNIL则表示,谷歌应该在全球范围内清楚这些搜索结果。而谷歌在此案中的支持者(包括新闻自由团体)提醒道,这样的要求恐怕会给专制政权行便利,允许他们通过决定哪些内容可以公开而达到审查整个互联网的目的。 伦敦林克莱特斯律师事务所的律师理查德·坎伯利(Richard Cumbley)认为:“这个案子突显了国家法律与互联网之间的持续冲突。”全球范围内的遗忘权若裁决通过,“将与美国的言论自由概念产生严重冲突,而其他国家可能也会试图并在全球范围内控制搜索结果,减少谷歌搜索引擎恐带来的潜在麻烦。” 欧盟法院的裁决很难预测。法院的最初决定否决了谷歌提出的辩护,即该搜索引擎只是一个提供信息的中立渠道,这样的结果令谷歌颇感震惊。裁决实际上也将判断权留给了谷歌,让谷歌来决定某个被要求删除的链接是否包含某些“不再相关的”内容。 自2014之后,谷歌已经被迫评估了近85万条单独的链接删除请求,涉及的网站多达330万个。谷歌的工作人员实则承担起半监管的角色,以在哪些信息应该公开和哪些应该删除之间努力取得平衡。 现在,法院必须阐明谷歌应删除链接的范围。谷歌是否应该在单个国家或整个欧洲删除链接?是否必须从本地网站如法国的谷歌(google.fr)搜索结果中删除链接,还是必须从全球域名(google.com)的搜索结果中删除链接?——以及,这些内容若可以从法国、欧洲或其他地方访问,谷歌又该怎么做? 自2016年以来,公司已经采用所谓的“地理封锁”功能来过滤呈现给欧洲用户的所有谷歌网站上的搜索结果,这样欧洲的用户就不会看到他们国家某个人希望限制的信息。 欧盟法院还必须考虑,谷歌是否可以拒绝删除某些符合公共利益的信息。欧盟法院将就删除与公职人员的个人关系有关的链接和一篇提及山达基教会公关经理姓名的文章链接而产生的争议,向法国法院提供建议。 伦敦和巴黎的法官对抑制有损个人声誉的信息的努力表示支持。去年,伦敦一法院通知谷歌删除关于商人刑事定罪的新闻报道,以符合制造帮助人们放下过去犯罪行为的英国法律。巴黎法官也曾要求谷歌减少有关某一位前首席财务官因内幕交易行为而被罚款的报道的曝光度。 谷歌和法国隐私监管机构CNIL均尚未立即回复评论请求。 谷歌作为欧洲的一个领先搜索引擎,其重要性已经引起欧盟重视,并宣称谷歌主导了欧洲市场。同时,谷歌也对欧盟法院提出的数十亿欧元的反垄断罚款提出抗辩。   (稿源:,稿件以及封面源自网络。)

当心 Google Alert 链接 可能涉及恶意软件和诈骗

黑客正在利用 Gogle Alert 的订阅功能向用户推送诈骗信息和恶意软件。   Google Alert 垃圾邮件 为了使恶意链接被 Google Alert 推送,黑客会创建含有热门词语的垃圾邮件页面,并将其纳入 Google 搜索索引。 黑客知道用户迫切希望使用解密器,所以他们伪造了诈骗网站,其中包含与特定解密器相关的关键字,使得关注该关键字的用户会收到他们伪造的网站链接。 我们可以在下面看到这些网页之一,他们假装讨论STOP DJvu Ransomware 的 Kaspersky 解密器,当用户直接导航到页面的URL 时,他们看到的就是下面的网页。 创建垃圾邮件界面以推销解密程序 当黑客创建这些页面并将其放入 Google 索引后,任何想要获得勒索软件,解密程序或 STOP 勒索软件通知的人都会被推送这个页面。 勒索软件解密器的推送 当用户通过 Google Alert 或 Google 搜索引擎点击该链接时,网页会被重定向到一个恶意网站。 重定向到虚假的“技术支持”界面 黑客并非只围绕技术来设计网页,还有例如电视,衣服,电影等主题。这些主题通常通过假日购物,优惠券,免费观看电影等方式吸引用户。 在上面的示例中,所有突出显示的链接都会重定向到诈骗网站。   消息来源:BleepingComputer, 译者:xyj,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

谷歌从其商店中删除了 2 个自拍相机应用程序 内含恶意广告软件

谷歌从其Play商店中删除了包含恶意广告软件的2款应用程序。两者都是自拍相机应用程序,下载量总计超过150万。之前,移动安全公司Wandera研究人员在Google商店中发现了这两个应用。第一款应用是Sun Pro Beauty Camera,下载量超过一百万次,第2款应用是Funny Sweet Beauty Selfie Camera,下载量超过50万次。 这些应用被发现提供侵入性的应用外广告,这不仅对用户造成烦恼,而且可能会损坏设备,耗尽电池,在某些情况下,还会感染恶意软件。移动安全公司Wandera研究人员表示,广告软件使作者能够从受影响的设备中获利,虽然这种情况通常被认为是滋扰而不是严重威胁,但这些特定的应用内建了比一般广告软件更先进的功能。 另外,这些应用还会请求不同寻常的权限,包括能够在无需用户确认情况下,随时录制音频,允许该应用在手机启动后激活,以及允许它们在另一个应用上显示内容。移动安全公司Wandera指出,这些应用功能类似于Google上个月删除的85个受广告软件感染的应用,它们显示了无法跳过,难以关闭的全屏广告。   (稿源:cnBeta,封面源自网络。)