标签: Google

谷歌发现 G Suite 漏洞:部分密码明文存储长达十四年

北京时间5月22日早间消息,据美国科技媒体The Verge报道,谷歌在博客文章里披露,公司最近发现一个漏洞,导致部分G Suite用户的密码以明文方式存储。 博文中称,该漏洞自2005年以来就存在,但谷歌未能找到任何证据表明,任何人的密码被非法访问过。公司正在重置可能受影响的密码,并已告知各G Suite管理员。 G Suite是Gmail和谷歌其它应用的企业版本。显然,G Suite中出现的这个漏洞源于专为企业涉及的功能。一开始,公司的G Suite应用管理员可以手动设置用户密码——例如,在新员工入职前——如果管理员这样操作了,管理控制台会以明文方式存储这些密码,而非哈希加密存储,之后,谷歌便删除了这个管理员功能。 谷歌的帖子详细地解释了加密哈希的工作原理,似在为了分清楚与这一漏洞有关的细微差别。虽然密码是以明文方式存储,但它们至少是明文存储在谷歌的服务器上,因此比起存储在开放互联网上,这些明文密码还是比较难访问的。虽然谷歌并未明确说明,但谷歌似乎也在努力让人们相信,这次的漏洞与其他遭到泄露的明文密码问题不一样。 另外,谷歌并未说明具体有多少用户受到这一漏洞的影响,只是表示该漏洞影响了“我们部分的企业G Suite用户”——估计是2005年时使用G Suite的那些人。尽管谷歌也没有发现任何人恶意使用这一访问权限的证据,但我们也无法清楚地知道究竟谁访问过这些明文密码。 目前这个漏洞已经修复,同时谷歌在博文最后表达了歉意。(图尔)   (稿源:新浪科技,封面源自网络。)

Google 修补多项 Android 高危漏洞

Google 4 月 1 日发布安全公告,修补了多项 Android 高危漏洞。 包括 Samsung、Pixel 与 LG 等在内的主要安卓厂商已在公告发布至少一个月前就接到问题通报。而在公告发布后的 48 小时内,Google 也会将安全补丁的源代码发布至 Android 开源项目(Android Open Source Project , AOSP)存储库。 其中,存在最高等级风险的是位于媒体框架(media framwork)中的一个严重安全漏洞,它可以使攻击者传送更改后的文件,从而在拥有权限的情况下远程执行任意代码。CVE-2019-2027 和 CVE-2019-2028 都包含在这一媒体框架内。 CVE-2019-2026 所在的 Android 框架中的部分漏洞可以使本地攻击者通过用户交互获得额外权限。其余几项位于运行系统中,其中严重的漏洞可能会使本地恶意应用程序取得权限,执行任意代码。 目前,2019-04-01 或更高版本的安全修补程序级别已解决了相关问题。Google 预计于 4 月 5 日发布第二波安全补丁,以解决所有与之相关的问题。用户可参阅检查并更新 Android 版本,以检查设备的安全补丁级别。     (稿源:开源中国社区,封面源自网络。)

Google Chrome 被发现零日漏洞 可让黑客获取用户数据

谷歌浏览器Chrome中的零日漏洞允许黑客使用浏览器中加载的恶意PDF文档来获取个人数据。由EdgeSpot发现这项安全漏洞,已经在被黑客利用,谷歌官方修复方案只会在4月底发布。 当在专用的PDF阅读器(如AdobeReader)中打开时,PDF文档似乎不会泄漏任何个人信息。恶意代码似乎专门针对Google Chrome浏览器中的漏洞,在浏览器中打开这些恶意PDF,会触发到两个不同之一的出站流量,分别称为burpcollaborator.net和readnotify.com。 黑客通过此种方式可以获得的数据包括设备的IP地址、操作系统和Google Chrome版本,以及本地驱动器上PDF文件的路径等等。有趣的是,大部分安全产品无法实时检测到恶意的PDF文档,只有一些防病毒解决方案在扫描它们时才会触发警告。 目前避免此漏洞侵害的最简单方法是避免在Google Chrome浏览器中打开任何PDF文档,但是如果必须这样做,您应该远离来自不信任来源的文件。此外,在Google Chrome中打开PDF文档时,您可以暂时断开电脑与互联网的连接。     (稿源:cnBeta,封面源自网络。)

微软对外披露 Google 工程师发现的 IE 漏洞 攻击者可以控制受影响系统

Google 工程师发现 IE 中存在一个漏洞,攻击者可以通过漏洞完全控制受害操作系统。 据分析,这是一个脚本引擎内存损坏漏洞,影响所有受支持 Windows 上的 IE,包括 Windows 10 1809。该漏洞由 Google 威胁分析组的 Clement Lecigne 发现并报告给微软。微软表示,在被公开披露之前,该漏洞已经被利用。目前漏洞已经被收录为 CVE-2018-8653。 “脚本引擎处理 IE 内存对象的方式中存在一个远程执行代码漏洞,该漏洞让攻击者可以在当前用户的上下文中执行任意代码破坏内存。成功利用此漏洞的攻击者可以获得与当前用户相同的用户权限”,微软解释:“如果当前用户使用管理用户权限登录,则成功利用此漏洞的攻击者可以控制受影响的系统。然后攻击者可以安装程序,查看、更改或删除数据,或创建具有完全用户权限的新帐户。” 微软已经使用最新的 Windows 10 累积更新修复了该漏洞,并且还针对 Windows 7 和 Windows 8.1 发布了安全补丁 KB4483187。   稿源:开源中国,封面源自网络;

5200 万用户数据泄露 谷歌将提前 4 个月关闭 Google+

新浪科技讯 北京时间12月11日早间消息,谷歌周一表示,将于明年4月关闭Google+社交媒体服务,比原计划提前4个月。此前,该公司今年第二次发现Google+的软件漏洞,新漏洞导致合作伙伴应用能访问用户的个人数据。 不过谷歌在博客中表示,没有发现任何证据表明,其他应用使用该漏洞访问了这些数据,包括用户的姓名、电子邮件地址、性别和年龄。谷歌表示,在上月引入的6天时间内,该漏洞影响了5250万个Google+帐号,其中包括一些企业客户的帐号。 本周,谷歌CEO桑达尔·皮猜(Sundar Pichai)将在美国国会众议院司法委员会就谷歌的数据收集行为作证。美国两党议员正呼吁制定新的隐私保护立法,以更好地控制谷歌、Facebook和其他大型科技公司。 今年10月,谷歌表示,将于2019年8月关闭Google+的消费级版本,因为维护该服务带来了太大的挑战。当时该公司表示,来自50万用户的个人信息数据可能被一个已经存在两年多的漏洞泄露给合作伙伴应用。 谷歌表示,在获得用户授权情况下从Google+获取数据,用于服务个性化的应用将会在90天内失去数据访问权限。与此同时,为企业客户开发Google+仍将是该公司的一大关注点。   稿源:新浪科技,封面源自网络;

Play 商店存恶意应用达11个月 直到近日才被谷歌移除

新浪科技讯 11月14日下午消息,据中国台湾地区iThome.com.tw报道,安全企业ESET的研究人员Lukas Stefanko本周揭露了一个在Google Play上安然存在11个月,直到近日才被Google移除。该恶意应用伪装成电话录音程序Simple Call Recorder,而在暗地里下载其它的恶意应用,直到近日才被Google移除。 在去年11月底登上Google Play的Simple Call Recorder约有5000次的安装次数,具备完整的电话录音功能,但主要目的却是要求使用者下载及安装一个伪装成Flash Player的更新应用,只是该更新应用实质上为恶意应用。 Stefanko进一步分析后发现,Simple Call Recorder的电话录音功能与Auto Phone Call Recorder及Auto save call两款程序的代码完全相同,只是夹带了恶意功能,这两款应用都在2016年就上架Google Play。他猜测,黑客是从其它来源取得了这些应用的源代码,窃取了电话录音的功能,重新嵌入恶意程序后再上传至Google Play。 Google Play的政策明文规定禁止移动应用从Play 商店以外的地方下载可执行的程序,但内含flashplayer_update.apk的Simple Call Recorder却照样通过Google审查,而且还安然无恙地待了11个月,直到近日才被Google移除。   稿源:新浪科技,封面源自网络;

用户从今天开始可以直接在 Google 产品中轻松控制个人隐私数据

谷歌产品管理,隐私和数据保护办公室主任Eric Miraglia发布了一篇博文,其中谈到了用户可以直接在Google产品中轻松控制数据。Eric Miraglia表示,谷歌一直致力于让用户更轻松地理解和控制数据,以便用户可以选择适合自己的隐私功能。   今年早些时候,谷歌推出了新的Google帐户体验,将用户的隐私和安全放在首位和中心位置,谷歌通过和更清晰的语言更新了谷歌的隐私政策,以更好地描述谷歌收集的信息,收集信息的原因以及用户如何控制它。   今天开始,谷歌会让用户更轻松地直接在每天使用的Google产品中控制数据。从搜索开始,用户现在可以查看和删除最近的搜索活动,快速访问Google帐户中最相关的隐私控制,并详细了解搜索如何处理用户的数据。 使用Google产品时,用户会生成有关用户的活动数据。对于搜索,此数据包括用户搜索的字词,与之交互的链接以及搜索时当前位置等其他信息。在今天之前,如果用户在Google上搜索并想要查看或管理这些数据,那么最好的方法就是访问用户的Google帐户。现在,谷歌将这些控件带给用户,从搜索中直接查看,用户可以查看或删除用户的搜索活动,并快速返回查找用户要搜索的内容。 谷歌还让用户快速访问Google帐户中用户搜索时最相关的隐私控制。例如,要控制用户在搜索时看到的广告,谷歌会授予用户访问广告设置的权限。此外,用户还可以访问自己的活动控件,以确定Google为用户的帐户保存哪些信息,并将其用于更快,更智能,更实用的搜索和其他Google服务。 谷歌今天在桌面和移动网络上为Google搜索推出这项改进,并在未来几周内将这个改进带给iOS和Android的Google应用。明年,谷歌将把它扩展到地图,然后是许多其他Google产品。直接从用户每天使用的Google产品访问相关且可操作的隐私控制,只是谷歌不断努力构建适合每个人隐私控制的一种方式。   稿源:cnBeta,封面源自网络;

Alphabet 被投资者起诉 隐瞒 Google+ 隐私漏洞

新浪科技讯 北京时间10月17日晚间消息,谷歌母公司Alphabet日前因隐瞒Google+安全漏洞而被投资者告上法庭。同时,Alphabet CEO拉里·佩奇(Larry Page)和谷歌CEO桑达尔·皮查伊(Sundar Pichai)也成为被告。 原告在起诉书中称,Google+所曝出的安全漏洞影响用户的个人数据,尤其是将用户没有设置为公开的数据暴露在风险之中,但Alphabet高管却反复作出虚假和有误导性的声明。 该案件已交由加州北区地方法院审理。除了Alphabet,原告还将Alphabet CEO佩奇、谷歌CEO皮查伊和谷歌CFO鲁斯·波拉特(Ruth Porat)列为被告。如今,法院已向上述三位高管发出传票,他们有21天的响应时间。 谷歌上周一在公司博客中宣布,将关闭旗下社交网站Google+消费者版本。原因是,Google+在长达两年多时间里存在一个软件漏洞,导致最多50万名用户的数据可能曝露给了外部开发者。 据《华尔街日报》援引谷歌内部人士的话称,Google+的该漏洞使得外部开发人员可以在2015年至2018年3月间访问用户的Google+个人信息,包括用户姓名、电子邮件地址、出生日期、性别、个人资料照片、居住地、职业和婚姻状况等。 谷歌称,公司今年3月就已发现这个漏洞,并推出补丁加以修复。谷歌表示,没有证据表明用户数据被滥用,也并无证据表明任何开发者明知或利用了这个漏洞。 据《华尔街日报》报道,谷歌选择不对外公开该漏洞,部分原因是担心被监管审查。但事实上,谷歌似乎并未躲过此劫。到目前为止,至少有美国的两个州、以及欧盟的两个成员国对谷歌Google+泄露用户信息事件展开了调查。 根据谷歌的计划,Google+将于2019年8月关闭。业内人士称,此举是谷歌针对该漏洞所采取的一个安全措施,但同时也表明,Google+也是一款比较失败的产品,并未吸引太多的用户使用,其使用量远低于Facebook和Twitter。   稿源:新浪科技,封面源自网络;

参议员要求谷歌解释:为何推迟公布 Google+ 漏洞

网易科技讯 10月12日消息,据美国媒体报道,周四美国参议院三位有影响力的共和党参议员提出,谷歌应该解释为何推迟公布Google+社交网络的漏洞。本周谷歌突然宣布关闭消费者版Google+并收紧数据共享政策,因为该网络存在的漏洞使至少50万用户私人资料曝光于数百个外部开发者。 参议院商务委员会主席约翰·图恩和另外两位参议员杰瑞·莫兰和罗杰·维克发出信函,要求谷歌解释推迟披露此问题的原因。信中称:“谷歌如果要保持或重获用户对其服务的信任,就必须在公众和立法者面前准备的更充分些。”对此,谷歌未立即发表评论。信函询问是否以前向哪个政府机构如FTC透露过漏洞,是否有“未公开披露的类似事件”。 谷歌CEO桑德·皮查伊上月同意今年11月在众议院作证,图恩表示,参议院也要求皮查伊作证。周三这些参议员写信给FTC要求对Google+进行调查。三位参议员称,他们对谷歌首席隐私官凯特·恩莱特未披露此问题“特别失望”。他们要求谷歌提交备忘录,没有及早披露问题可能“立即引起监管兴趣”,“几乎可以确定”皮查伊必须到国会作证。   稿源:网易科技,封面源自网络;

Google+安全漏洞引欧洲关注 德国爱尔兰介入调查

网易科技讯 10月10日消息,据彭博社报道,搜索巨头谷歌旗下同名社交网络Google+“软件故障”被曝光后,引发欧洲隐私保护机构关注。德国汉堡的数据保护专员约翰内斯·卡斯帕(Johannes Caspar)宣布,该机构已经开始调查此事,这个漏洞可能导致多达50万用户的个人数据被泄露。 卡斯帕是欧洲最直言不讳的隐私保护官员之一。但他表示,目前对此案还没有任何见解,也没有从谷歌得到任何信息。爱尔兰隐私管理局表示,它将从谷歌获取有关这些问题的信息。将来,该机构可能成为这家科技巨头在欧洲的主要监管者。 《华尔街日报》首先报道了Google+漏洞问题。据称,虽然谷歌早在今年3月份就发现了这一漏洞,但它没有选择公开,主要是因为担心这会引来监管机构的审查,尤其是在Facebook因隐私问题受到批评之后。 在《华尔街日报》的报道发布几分钟后,谷歌在其博客上发表声明称,内部委员会决定不披露这一潜在漏洞,因为没有证据表明这些数据(包括姓名、电子邮件地址、年龄和职业)有任何被滥用迹象。该公司还称,这个漏洞在当时立即得到了修复。 这一消息加剧了谷歌在美国和欧盟的困境。过去两个月,美国两党政治家都加大了对谷歌的攻击力度,共和党人指责谷歌对他们抱有偏见,民主党人则质疑谷歌是否已经变得过于强大。 在欧洲,谷歌也面临着隐私保护和竞争监管机构的审查。欧盟7月对谷歌处以43亿欧元(约合49亿美元)的创纪录反垄断罚款,并命令其改变在Android移动设备上安装搜索和浏览器应用的方式。 谷歌驻布鲁塞尔发言人艾尔·瓦尔尼(Al Verney)没有立即回应置评请求。 在谷歌丑闻爆发之前,社交媒体巨头Facebook在过去一年内发生了多起数据泄露事件。本月,Facebook成为欧盟加强隐私保护规定的首个重大测试案例,这可能导致该公司被处相当于其每年销售额4%的罚款。 爱尔兰数据监管机构也对Facebook的一个安全漏洞展开了调查,该漏洞影响了多达5000万个账户。此事发生在5月25日,也就是欧盟新规生效之后,因此适用于新规。 由于谷歌的数据丑闻发生在3月份,因此不符合欧盟新规范畴。而按照旧有规则,即使是最严重的违规,罚款数额也相对较小。 当地时间周二,欧盟28个隐私监管机构的联合组织表示,它尚未接到有关这一数据泄露的正式通知,但它似乎确实比新法案生效更早发生。 欧盟司法专员维拉·朱罗娃(Vera Jourova)表示,这“再次提醒了我们,为什么欧盟推进现代数据保护规则是正确的。许多大型科技公司似乎并不希望进行公平竞争。”   稿源:网易科技,封面源自网络;