微软最近发布的 Windows 10 build 15019 附带了一系列已知问题，其中一个问题导致用户无法访问多种 Google 服务（包括 Gmail ）。这个问题只影响 Microsoft Edge 浏览器，Windows Insider 程序负责人 Dona Sarkar 表示，团队已经知道这个bug，并且正在努力解决这个问题，这个修复很可能在本周晚些时候推出。 Dona Sarkar 表示，某些 Windows Insider 内测者可能无法连接到某些 Google 网站，因为 Windows 10 build 15019 实施了一个新的安全模型，以进一步提高用户安全性。该团队正在研究这个问题，在此期间，用户可以从 InPrivate 标签访问这些网站。。 换句话说，如果内测者在连接到 Google，Gmail，Google 地图或任何其他 Google 服务时遇到问题，最简单的方法是切换到 InPrivate 标签或简单地切换到其他浏览器。此问题仅影响微软自己的 Edge 浏览器。另外，Microsoft Edge F12 工具也可能无法正常工作，并且可能崩溃或无法接受输入，因此如果 Edge 是用户的主要浏览器，则在更新到 Build 15019 之前，应该真正考虑这些问题。 稿源：cnBeta；封面：百度搜索  

近日，安全专家 克雷格·阿伦特（@craig_arendt）发现基于 EPub 服务的各大电子阅读器漏洞，能够同时影响亚马逊、苹果、谷歌等厂商。开源的 Java 库 “EpubCheck”被用于将内容转换为通用电子书格式，专家在 EpubCheck 库中发现了 XXE 漏洞可影响主要的 EPub 服务，或可导致信息泄露和拒绝服务。 EPub（Electronic Publication的缩写，意为：电子出版），是一个自由的开放标准，其文字内容可以根据阅读设备的特性，以最适于阅读的方式显示。（百度百科） 此次漏洞会影响支持 EPub 的服务和阅读器，如： EpubCheck <= 4.0.1 （验证 EPub 的工具） Adobe Digital Editions <= 4.5.2 （电子书阅读器） 亚马逊 KDP （Kindle 在线出版服务） Apple Transporter 以及 Google电子书上传服务等 研究人员着重测试过 “EpubCheck” ，发现了 XML 外部实体注入（XXE）问题。“验证工具（EpubCheck）易受 XXE 攻击，因此任何依赖此版本工具来检查图书有效性的应用程序都容易受到这种类型的攻击。”阿伦特解释称，亚马逊的 Kindle 文件上传服务存在一个 XXE 漏洞，或可被攻击者利用来窃取书籍和资料；类似的漏洞也影响 Apple Transporter 服务，攻击者能将恶意制作的图书发送到 App Store，在 EPub 解析过程中可能导致用户信息泄露；Google Play 图书服务虽不受 XXE 漏洞的影响，但专家发现了触发 XML 实体扩展漏洞的可能性，攻击者能够利用漏洞通过爆炸式增长的数据解析请求来导致拒绝服务。 目前，以上所有供应商都已对易受攻击的 EPub 漏洞进行了修复。 稿源：HackerNews.cc 翻译/整理，封面来源：百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接，违者必究。

23 日，Google Project Zero 安全专家 Tavis Ormandy 对外表示，Cisco WebEx 浏览器插件中存在一个严重的远程代码执行漏洞，或可诱发大规模攻击事件。 专家发现攻击者可使用包含 magic （魔术）字符串的任意 URL 触发漏洞，从而达到在 WebEx 用户系统上执行任意代码的目的。思科曾试图通过限制 https:// * .webex.com 和 https:// * .webex.com 域来解决这一问题，但并未达到效果。研究员强调，由于 magic 模式内嵌于 <iframe> 标签中，即使没有 XSS 攻击者仍可执行任意代码。 Mozilla 方面对思科的修复方式并不满意，同时指出 webex.com 没有严格遵循 Web安全协议（HSTS）和内容安全策略（CSP）。目前谷歌和 Mozilla 表示已暂时从应用商店中删除了 WebEx 插件，直至 Cisco 发布正确的解决方案为止。考虑到 Google Chrome 的 WebEx 插件至少有 2000 万活跃用户，这一漏洞的爆发恐将造成重大影响。 安全专家 Ormandy 已对外发布 PoC 进行漏洞演示，只需用户电脑上装有 WebEx 插件即可成功复现漏洞。演示链接：https://lock.cmpxchg8b.com/ieXohz9t/ 稿源：HackerNews.cc 翻译/整理，封面来源：百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接，违者必究。

苹果昨天发布了新版本的 iOS 和 macOS Sierra 系统，修复了移动端和桌面操作系统中的一些代码执行漏洞、改进系统安全性和稳定性。 其中最重要的是，在新版本 iOS 10.2.1 和 macOS Sierra 10.12.3 中修复了两个内核漏洞 CVE-2017-2370 和 CVE-2017-2360 。这两个漏洞是由谷歌 Project Zero 团队的研究员 Ian Beer 发现，分别为缓冲区溢出漏洞和 use-after-free 漏洞，允许恶意应用程序以内核最高权限执行代码。 此外，iOS 和 macOS Sierra 还修复了一个 libarchive 缓冲区溢出漏洞（ CVE-2016-8687 ），允许攻击者打开恶意归档文件、任意代码执行。苹果还修复了 11 个 WebKit 和 Safari 浏览器漏洞。 稿源：HackerNews.cc 翻译整理，封面来源：百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接，违者必究。

据 Shodan 22 日一份数据报告显示，目前全球仍有超过 199,500 网站仍未修复 “心脏出血” OpenSSL 漏洞，或是源于许多组织没有正确修复漏洞所致。 2014 年 4 月 7 日，开源安全组件 OpenSSL 爆出高危漏洞（CVE-2014-0160），漏洞成因是 OpenSSLHeartbeat 模块存在一个 Bug，使攻击者可以构造一个特殊的数据包获得存在该漏洞的服务器长达 64KB 的内存数据，而这段数据中可能包含用户的用户名、密码、密钥等敏感信息，因此该漏洞获得了一个名副其实的名字“心脏出血（OpenSSLHeartbleed）”漏洞。 作为互联网史上最大漏洞之一，“心脏出血”漏洞影响了全球多达三分之二服务器的安全性，据 ZoomEye 2014 年监测结果显示全球约有 2,443,550 个 IP 受此漏洞影响。ZoomEye 团队在“心脏出血”漏洞爆发一周年之际，对全网 IP 进行了回归性普查发现，虽然受影响 IP 已经降低到了 1 年前的 14.6%，但还有较大量（377,221）的 IP 漏洞并未修复。 然而 Shadow 最新报告却表明，距漏洞爆发至今已过去两年零九个月，仍有几十万网站漏洞未被修复。 超过 199,500 网站易受攻击 Shodan 首席执行官 John Matherly 表示，由于未正确修复“心脏出血”漏洞，全球还有超过 199,500 个网站容易受到黑客攻击。报告指出目前受影响最大的国家仍是美国（41,332），其次是韩国（15,380）、中国（14,116）、德国（14,072）以及法国、俄罗斯等。可以想象若是近二十万网站漏洞都被利用，势必会造成更大规模的数据泄露事件。 如何正确修复心脏出血漏洞 修复“心脏出血”漏洞至少需要三个步骤： ① 及时更新：更新 OpenSSL 至最新版本，目前大部分机构都已完成了这一步； ② 创建新密钥：防止攻击者已通过漏洞窃取服务器密钥，或是进一步窃取机密数据； ③ 补发安全证书：防止攻击者继续利用漏洞损害公司或客户权益。 稿源：HackerNews.cc 翻译/整理，封面来源：百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接，违者必究。

据外媒报道，本周四美国陆军宣布漏洞赏金计划“ Hack the Army ”结果，该计划为期三周并于去年 12 月 21 日结束。 2016 年 11 月 11 日，在得克萨斯州的一个新闻发布会上，军方称继“ Hack the Pentagon ”（入侵五角大楼）漏洞赏金项目成功之后，美国陆军也将推出漏洞赏金项目“ Hack the Army ”（入侵军队）。该项目将继续由漏洞赏金平台 HackerOne 负责进行，军方希望借助黑客社区邀请符合条件的黑客来发现、修复未知的安全漏洞，以便在未来几周内增强网络的安全性。 美军称这次漏洞赏金计划取得了圆满成功，项目共收到了 400 多个漏洞报告，其中 118 是有效可复现的。美国陆军共向参与者支付了 100,000 美元的漏洞赏金。该项目共有 371 人 被邀请参加，其中 17 人来自军队， 8 人来自政府雇员。 美军还分享了一个高危漏洞的详情，研究人员发现了 goarmy.com 网站上存在两个漏洞，攻击者可以利用这两个漏洞通过开放的代理服务无需身份验证，即可访问国防部内部网站。 稿源：HackerNews.cc 翻译整理，封面来源：百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接，违者必究。

康师傅产品瓶盖编码泄露，黑产套现抽奖活动，大量乐视会员兑换码奖品被低价出售。 记者调查发现，康师傅、乐视联合举办“开盖赢好礼 天天开新机”活动，活动期间，康师傅的促销装产品瓶盖处均有 13 位编码，该编码可以在康师傅活动界面参与抽奖，奖品包括乐视电视、乐次元影视会员体验包。然而，不计其数的瓶盖编码泄露后，有人开始编写软件自动生成瓶盖编码并参与抽奖，目前已经抽出来至少 10 万个乐视会员的兑换码。 乐视会员的兑换码因此泄露，并被黑产从业者在几个平台、QQ 群中倒卖，购买之后可以在乐视官网输入兑换码激活，获得一个月的乐视会员”。乐视影视包月会员的官方售价为 15 元，而乐视兑换码在黑市的售价最开始为 3 元/个，“但随着泄露数量越来越大，黑市竞争越来越激烈，目前该兑换码的批发价已经降至 8 毛钱/个。” 目前，康师傅、乐视尚未对此事作出回应，部分在卡奥网出售乐视会员的链接已经删除，但仍有链接继续销售。 稿源：cnbeta，有删改，封面来源：百度搜索

安全人员在三星智能摄像头当中发现一个新的安全漏洞，攻击者借此可以获得 root 权限，并且远程运行命令。三星智能摄像头从本质上讲是一个 IP 摄像头，它允许用户从任何地点使用三星自家的服务连接并查看实时视频或记录事件，提供了无缝的婴儿或宠物监控、企业和家庭的安全监控。 exploitee.rs 网站公布了三星智能摄像头当中存在的一个漏洞，可以允许攻击者使用三星上次为智能摄像头修复漏洞而无意留下的一个 web 服务器，获得对设备的 root 访问权限。具体而言，三星试图通过去除本地网络接口，并迫使用户访问 SmartCloud 网站来修复设备的安全漏洞，但在同一时间，该公司还继续让服务器功能在本地运行。而事实证明，一个可能的漏洞使攻击者通过推送定制固件文件连接到这个 Web 界面。 该 IWATCH install.php 漏洞可以通过制定专门的文件名，然后存储在 PHP 系统调用 tar 命令加以利用。由于 Web 服务器作为 root 运行，文件名由用户提供，输入时没有安全处理，黑客可以内注入自己的命令来实现 root 远程命令执行。 目前，三星尚未出台新的漏洞补丁来修复智能摄像头存在的这个漏洞。 稿源：cnBeta.com；封面：cnBeta

微软最近释出的Windows 10 测试版 Insider build 15002 为  Windows Subsystem for Linux (WSL) 带来了大量变化，微软无疑是想要打造一个Linux 发行版的 Windows 替代。但 Windows 成为一个可靠的 Linux 生产环境还有一段距离，因为 Build 15002 引入了一个严重bug：导致 Ctrl-C 快捷键在 Bash 会话里无法工作。对于使用 Bash 的专业人士来说，这就相当于驾驶一辆没有后刹车的汽车。 最新版本的 Bash in Window 支持内核内存过量使用和网络栈选项，增强了WSL 与 Windows 的整合。对于新的 bug，微软表示将会在下一版本中修复。 稿源：cnbeta.com；封面：cnBeta

Facebook 旗下的移动消息应用 WhatsApp 启用了端对端加密，此前官方声称没有人能拦截 WhatsApp 消息，即使它自己也不能。但最新研究显示，WhatsApp 实现端对端加密的方式让它实际上能阅读加密消息。 WhatsApp 的端对端加密是基于 Signal 协议，通过生成独一无二的密钥加密消息。然而 WhatsApp 能强行为离线用户——在发送者和接收者未察觉的情况下——生成新的密钥，用新密钥重新加密消息，发送任何没被标记接收到的消息。这种重新加密和重新发送的方法事实上能让 WhatsApp 拦截和阅读用户的消息。这一后门是加州伯克利的安全研究员 Tobias Boelter 发现的。Signal 协议不存在该后门。 稿源：solidot奇客，有删改；封面：百度搜索