标签: XSS

趋势科技电子邮件加密网关曝多项安全漏洞,可获得 root 权限执行任意代码

外媒 2 月 25 日消息,Core Security 发现趋势科技基于 Linux 的电子邮件加密网关的 Web 控制台中存在多个安全漏洞( CVE-2018-6219 ~ CVE-2018-6230),其中一些被评为严重等级的漏洞能够允许未经身份验证的远程攻击者以root权限执行任意命令。目前受影响的软件包是趋势科技电子邮件加密网关 5.5 (Build 1111.00)及更早版本。 在这些漏洞中,最严重的是 CVE-2018-6223,可能会被本地或远程攻击者利用来获得目标设备的 root 权限,以便于执行任意命令。目前来说,该漏洞与设备注册时缺少身份验证有关。 具体细节为:管理员在部署过程中需要通过注册端点配置运行电子邮件加密网关的虚拟设备, 于是攻击者可以利用该漏洞在没有身份验证的情况下访问端点,以设置管理员凭据并对配置进行其他更改,比如管理员用户名和密码等。 据悉,Core Security 还发现了两个严重的跨站脚本攻击(XSS)漏洞,一个可导致命令执行的任意文件写入问题,另一个则导致命令执行的任意日志文件位置以及未验证的软件更新。除此之外,趋势科技的电子邮件加密网关也包括了 SQL 和 XML 外部实体(XXE)注入等漏洞。 目前趋势科技确认,由于实施修复程序的困难,中等严重性 CSRF 问题和低严重性 SQL 注入漏洞尚未得到修补。 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

2017 年 WordPress 插件和主题漏洞的统计数据

外媒 1 月 23 日消息,安全研究人员近期公布了 2017 年 WordPress 插件和主题漏洞的统计数据,这些数据来源于 ThreatPress 最新的 WordPress 漏洞数据库。据悉,目前 ThreatPress 正在监视大量的数据源,以便实时向数据库中添加新的漏洞。 2017 年整体统计数据 2017 年 ThreatPress 在其数据库中添加了 221 个漏洞,总数较之前减少了 69 %。数据显示, 跨站脚本(XSS)与 2016 年一样,仍然位列榜首。研究人员猜测是因为许多开发人员不重视转义数据输出,才导致了越来越多的 WordPress 插件和主题受到跨站点脚本(XSS)漏洞的攻击。此外, SQL 注入漏洞在 2017 年也大幅上升。 令人惊讶的是,目前有许多网站受到 WordPress 插件中的漏洞威胁,据初步统计,安装插件的网站总数已达 17,101,300 + ,其中: ○ 易受攻击的插件 – 202 ○ 易受攻击的主题 – 5 ○ 受 WordPress.org 存储库漏洞影响的插件 – 153 ○ 受漏洞影响的 非 WordPress.org 存储库插件 – 24 WordPress 的三大漏洞 ○ 跨站点脚本( XSS ) ○ SQL 注入( SQLi ) ○ 损坏的访问控制 按漏洞类型分类的插件 TOP 5 统计 ○ XSS(跨站脚本) – 71 ○ SQL注入 – 40 ○ 不受限制的访问 – 20 ○ 跨站请求伪造(CSRF) – 12 ○ 多重攻击(Multi) – 10 在 2017 年受到漏洞影响的最受欢迎的 5 个插件 ○ Yoast SEO(最流行的 SEO 插件) – 5,000,000  –>  受 XSS(跨站脚本)影响 ○ WooCommerce(最流行的电子商务插件) – 3,000,000  –>  受 XSS(跨站脚本)影响 ○ Smush 图像压缩和优化 – 1,000,000  –> 受 目录遍历 影响 ○ Duplicator – 1,000,000   –>  受 XSS(跨站脚本)影响 ○ Loginizer – 600,000  –> 受 SQL 注入影响 滞后的安全更新 ○ WordPress 在 2017 年发布了 8 个安全更新。 ○ 安全漏洞数据库中的漏洞总数为 3321 。 ○ 第一个漏洞发现于 2005-02-20 。 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

希捷 GoFlex 家庭存储设备的 SaaS web 服务受 XSS 和 MitM(中间人)攻击威胁

外媒 1 月 23 日消息,安全专家发现超过 3.3 万 个希捷 GoFlex 家庭网络存储 ( NAS ) 设备容易暴露于公网,或引来跨站脚本(XSS)和中间人(MitM)攻击。虽然目前希捷已经修补了 Personal Cloud 和 GoFlex 产品中的 XSS 漏洞,但不幸的是,仍有一些问题尚未解决。 安全专家 Sood 介绍,GoFlex 家庭 NAS 设备在 seagateshare.com 上运行了一个可访问的 Web 服务,允许用户远程管理设备及其内容,并且可以通过设备名称和登录凭证来访问存储。而 GoFlex 固件则运行着一个 HTTP 服务器,要求用户在路由器上启用端口转发,以便连接到 web 服务。 跨站脚本(XSS)和中间人(MitM)攻击 安全专家 Sood 注意到虽然 HTTP 服务器支持过时的协议 SSLv2 和 SSLv3,  而 Web 服务 seagateshare.com 支持 SSLv3。 不过这两种协议都能将用户暴露给 MiTM 攻击(包括  DROWN  和  POODLE 攻击)。 此外,Sood 还在 seagateshare.com 网站上发现了一个 XSS,攻击者可以利用该 XSS 在用户的浏览会话中执行恶意代码,欺骗受害者点击特制链接。 目前希捷只修复了 XSS 漏洞,似乎并没有计划修复与 SSLv2 和 SSLv3 相关的一些问题。 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

谷歌 PHP API客户端存有XSS漏洞,可使黑客开展网络钓鱼攻击

据外媒 12 日报道,安全公司 DefenseCode 研究人员发现谷歌 PHP API 客户端存在两个 XSS 漏洞,可能导致用户遭受网络钓鱼攻击。 XSS(跨站脚本攻击):攻击者在 Web 页面插入恶意 Script 代码,致使用户浏览页面时自动执行代码,从而达到恶意攻击用户的目的。 调查显示,XSS 漏洞存在于 $_SERVER[‘PHP_SELF’] 函数之中,允许攻击者发送网络钓鱼邮件。倘若用户接收邮件并 “点击链接 ” ,那么攻击者即可假冒目标用户肆意发送恶意 JavaScript 并拥有无限访问网站权限。 目前,谷歌表示该库仅是 “ 测试版本 ” ,而关于如何使用 API 与 OAuth2 协议将谷歌数据应用于其他项目的可信 Stackoverflow 论坛与教程已在线公布很长时间。所以,用户不必太过担心,谷歌承诺尽快修复补丁,以保证用户系统的安全。 原作者:Richard Chirgwin,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

任何使用 jQuery Mobile 并开放重定向的网站都易受到 XSS 攻击

任何使用 jQuery Mobile 并且具有开放重定向功能的网站都易受到 跨站点脚本( XSS )攻击,消息显示 jQuery Mobile 开发团队暂不决定修复该漏洞。 Query 基金会的 jQuery Mobile 项目是一个基于 HTML5 的框架,用于创建移动 web 应用程序,适用于所有流行的智能手机和平板电脑。该项目已被超过 15 万个活跃网站使用。 Google 安全工程师 Eduardo Vela 发现 jQuery Mobile 将获取 location.hash 文件中的任何 URL 并将其放在 innerHTML 中,这种行为将被攻击者在特定条件下利用发动 XSS 攻击。漏洞利用详情可查看国内漏洞情报平台 Seebug 。 据专家介绍,由于许多组织都不将开放式重定向作为安全漏洞,所以许多网站都容易受到这种攻击,如谷歌,YouTube,Facebook,百度和雅虎。坏消息是,jQuery Mobile 开发团队暂不会修复该漏洞,修复该漏洞将对现有应用程序造成潜在影响。 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

雅虎邮件服务存漏洞,允许黑客访问目标用户任意邮箱

芬兰安全专家 JoukoPynnönen 发现雅虎邮件服务存在漏洞,允许黑客读取受害者的电子邮件消息。 研究员称这是一个基于 DOM 的持久型 XSS (跨站点脚本)漏洞,攻击者可以利用漏洞向任何用户发送被嵌入恶意代码的电子邮件。 这种攻击只需要用户查看电子邮件,当用户打开邮件后,恶意代码会就会自动执行,无需点击链接或打开附件等交互行为,让人防不胜防。 恶意代码会将受害人的收件箱信息转发到外部网站,此外,攻击者也会在邮件签名处隐藏恶意代码并借助受害人发送邮件继续传播。 问题的根源在于,雅虎未能正确过滤嵌入在 HTML 邮件中的恶意代码。他注意到并非所有的 HTML 属性都能正确验证,其中一些使用 JavaScript 存储应用程序特定的数据。攻击者利用 AJAX 能读取到用户信箱中的内容并发送至攻击者服务器。 上周雅虎修复了邮箱安全漏洞,并提供给研究员 JoukoPynnönen 10000 美元漏洞赏金。 稿源:本站翻译整理,封面来源:百度搜索