近日，Linux 内核项目负责人 Linus Torvalds 拒绝了 AWS 工程师提交的一个补丁，该补丁的目的是减轻 Intel CPU 遭遇一种新型窥探攻击而导致数据泄露的风险。 这种新型攻击名为“探听辅助 L1 数据采样攻击”，简称 Snoop （CVE-2020-0550）。今年 3 月，来自 AWS 的软件工程师 Pawel Wieczorkiewicz 率先发现了 Intel 处理器的这一漏洞，它可能会泄露 CPU 内部存储器或缓存中的数据，涉及 CPU 包括 Intel 旗下流行的 Xeon 和 Core 系列处理器。Pawel 迅速向 Intel 报告了此问题，随后该漏洞被 Intel 定位为中等严重性漏洞。 新的 Snoop 攻击利用了 Intel CPU 多级缓存、缓存一致性和总线监听等特性，通过位于 CPU 内核中的一级数据缓存（L1D），通过“总线监听”（bus snooping）功能 —— 在 L1D 中修改数据时发生的缓存更新操作，将数据从 CPU 中泄漏出来。 以近代 CPU 的视角来说，计算机通常会采用三级缓存的设计来提高 CPU 的运行效率。三级缓存包括 L1 一级缓存、L2 二级缓存、L3 三级缓存，这些缓存都集成在 CPU 内，它们的作用是作为 CPU 与主内存之间的高速数据缓冲区。其中 L1 最靠近 CPU 核心；L2其次；L3再次。运行速度方面：L1最快、L2次快、L3最慢；容量大小方面：L1最小、L2较大、L3最大。在执行一项任务时，CPU 会先在最快的 L1 中寻找需要的数据，找不到再去找次快的 L2，还找不到再去找 L3，L3 都没有才去内存找。 而一级缓存其实还分为一级数据缓存（Data Cache，D-Cache，L1D）和一级指令缓存(Instruction Cache，I-Cache，L1I)，分别用于存放数据及执行数据的指令解码，两者可同时被CPU 访问，减少了 CPU 多核心、多线程争用缓存造成的冲突，提高了处理器的性能。一般CPU 的 L1I 和 L1D 具备相同的容量，例如 I7-8700K 的 L1 即为 32KB+32KB。Snoop 攻击就是一种窃取 L1D 缓存中数据的攻击手段。 不过 Intel 的用户也不用惊慌，据 Intel 官方解释说，这种新攻击「很难实施」，并且不会泄露大量数据，毕竟 L1D 缓存中的数据非常有限，并且只有在任务运行时调用数据的短暂时间内才会存在。“我们不认为 Snoop 攻击在可信赖的操作系统环境下是一种实用的攻击方法，因为要利用这一漏洞需要同时满足很多苛刻的条件，比如攻击的时间要正好与用户打开程序的时间吻合，且程序调用的数据正好是攻击者想要窃取的数据。” 该漏洞披露之后，另一位来自 AWS 的软件工程师 Balbir Singh 为 Linux 内核提交了一个补丁，该补丁使 Linux 的应用程序能够选择在任务切换时自动刷新 L1D 的缓存，以降低 Linux 系统遭遇 Snoop 攻击的风险。 Singh 在 4 月份曾解释说：“这个补丁可以防止他们的数据在任务结束后被监听或通过旁道泄露。”他原本打算该补丁可以随 Linux 内核的 5.8 版一起发布。“如果硬件支持，该特性将允许基于可选加入的应用程序调用 prctl() 功能来刷新任务关闭后残留在 CPU 中的 L1D 缓存。” 但是，知名技术测试网站 Phoronix 指出，在任务结束后刷新 L1D 缓存会导致 CPU 的性能降低。Linux 内核项目负责人 Linus Torvalds 认为，这将导致使用该补丁的所有 Linux 用户（无论是否采用 Intel CPU）的 CPU 性能降低，严正拒绝了该补丁，同时还一如既往地说起了骚话。 Torvalds 在回复该提交的邮件列表中写道：“因为在我看来，这基本上是将缓存刷新指令导出到用户空间，并为进程提供了一种方式，可以说让与这事情无关的其他人也慢了下来。” “换言之，据我所知，这就是疯狂的 Intel 发布了有缺陷的 CPU，它给虚拟化代码带来了问题（我对此并不太在意），但现在要因为它的问题影响到本来就没有这些问题的 Linux 用户，这是完全没有意义的。” 在一番非常 Linus 式的回复下，Linus 对虚拟化的引用其实也是针对 AWS 的，AWS 和其他云服务提供商一样，销售的虚拟 cpu 通常启用了同步多线程（simultaneous multithreading，SMT）功能。Linus 接着指出，“在启用 SMT 的情况下，任务调度是分布式进行的，所以说，在任务结束与新任务开始之间刷新 L1D 缓存是非常愚蠢的。” 值得一提的是，AWS 的首席工程师 Benjamin Herrenschmidt 在与 Red Hat Linux 内核贡献者 Ingo Molnar 的讨论中也为该补丁的争论添加了一些背景。Herrenschmidt 承认这个补丁对 SMT 来说毫无意义，但他敦促 Linux 内核开发人员不要“把婴儿和洗澡水一起扔掉”，并反驳了这个补丁是因为 AWS 想把超线程作为虚拟 cpu 出售的说法。Herrenschmidt 说，“这些补丁并不是要解决运行 SMT 的客户 VM 内部出现的问题，也不是要保护 VM 免受同一系统上其他 VM 的攻击。” 事实上，Linus 已经不是第一次严辞拒绝与 Intel CPU 有关的补丁。2018 年初，为了修补 Spectre 漏洞，Intel 工程师提供了一个间接分支限制推测（indirect branch restricted speculation, IBRS）功能的补丁，Linus 当时就在邮件列表中公开指出 IBRS 会造成系统性能大幅降低。 而就在上个月，Linus 对自己的私人电脑进行了升级，同时公开了自己最新的主力机器配置，他把自己的 CPU 换成了 AMD Ryzen Threadripper ，放弃使用了 15 年的 Intel 处理器。     （稿源：开源中国，封面源自网络。）

某安全研究人员透露，WhatsApp 惊现一个允许在谷歌搜索引擎上暴露用户手机号码的 bug 。虽然不是所有用户的号码都被暴露，但这个问题还是引发了他们的关注。但若用户只与自己认识的 WhatsApp 用户交谈过（未使用过群组邀请链接），便有很大的几率不会受到本次漏洞的影响。   安全研究人员 Athul Jayaram 表示，WhatsApp 高管已经知晓了这个问题，但却对此无动于衷。据悉，该问题与今年早些时候推出的 WhatsApp 二维码功能有关。 WhatsApp 先前发布的群组邀请链接的工作方式，不同于新的二维码功能，但前者显然要更安全一些 —— 因为后者使用了未加密的 http://wa.me/ 短网址系统、且并未在链接中隐藏用户的电话号码。 当用户在新系统上分享二维码时，如果该网址被谷歌爬虫抓取，便极有可能被编入搜索引擎的索引结果中。如果你担心自己的号码也被意外收入，请通过 site:wa.me + 国家 / 地区代码的方式检索核实。 目前，如果通过 site:api.whatsapp.com 的方式检索，谷歌搜索引擎还会返回成千上万的检索结果。但除非 WhatsApp 高层正视该问题，否则此事的负面影响肯定还会持续。     （稿源：cnBeta，封面源自网络。）

一项分析前54个开源项目的研究发现，这些工具中的安全漏洞在2019年翻了一番，从2018年的421个bug到去年的968个。根据RiskSense今天发布的 “开源的黑暗现实 “报告，该公司在2015年至2020年3月期间发现流行的开源项目中报告了2694个bug。 该报告并不包括Linux、WordPress、Drupal等超级流行的免费工具项目，因为这些项目经常受到监控，安全bug也会成为新闻，确保这些安全问题大多能相当快地得到修补。 相反，RiskSense观察了其他流行的开源项目，这些项目并不那么知名，但被技术和软件社区广泛采用。其中包括Jenkins、MongoDB、Elasticsearch、Chef、GitLab、Spark、Puppet等工具。 RiskSense表示，他们在研究过程中发现的一个主要问题是，他们分析的大量安全漏洞在公开披露后许多周后才被报告到国家漏洞数据库（NVD）。该公司表示，这54个项目中发现的bug通常平均需要54天左右时间才会被报告给NVD，其中PostgreSQL的报告延迟时间达到了8个月。由于网络安全和IT软件公司使用NVD数据库来创建和发送安全警报，报告延迟导致使用这些开源项目的公司仍然暴露在攻击面前。 RiskSense表示，自2015年以来，在其分析的所有54个项目中，Jenkins自动化服务器和MySQL数据库服务器的武器化漏洞最多，均为15个。虽然其他开源项目的bug较少，但这些bug有时更容易被武器化，例如Vagrant虚拟化软件和Alfresco内容管理系统当中的bug。 RiskSense认为，现在不仅需要改进开源项目内部处理安全漏洞的方式，而且需要整个行业进行改进，因为 开源项目正在以历史性的速度产生新漏洞。     （稿源：cnBeta，封面源自网络。）

  根据麻省理工学院和密歇根大学的计算机科学家周日发表的一篇研究论文，一种名为OmniBallot的在线选票传递和投票服务在几个层面上存在安全漏洞。《纽约时报》首次报道的这篇论文称，软件制造商Democracy Live让选票容易被操纵，收集敏感的选民信息，并且在选票在互联网上传播时无法控制标记的选票。因此，该文件总结道该公司无法证实中途是否被操纵。 调查结果不包括具体的软件漏洞，而是得出结论，交付选票和接收回票的过程可能太容易被操纵。一个漏洞来源来自于该软件对第三方软件和服务的依赖，包括亚马逊、谷歌和Cloudflare等公司的软件和服务，而Democracy Live并不控制这些软件和服务。 “我们发现，OmniBallot使用了一种简单化的互联网投票方式，很容易被选民设备上的恶意软件以及内部人员或其他攻击者操纵投票，这些攻击者可以入侵Democracy Live、亚马逊、谷歌或Cloudflare，”研究人员在论文中说。 此外，研究人员并没有找到隐私政策，解释Democracy Live如何保护用户的身份、选票和可以在线识别用户身份的技术数据。 针对该报告，Democracy Live告诉CNET，其计划在其投票门户上提供隐私政策，供选民查看。Democracy Live还将在其系统未来的所有部署中提供投票验证工具。该公司还表示，虽然研究人员表示，不应该让选民选择以电子方式返回已标记的选票，但大多数州都要求像Democracy Live这样的供应商提供这一选项。该公司表示，OmniBallot电子退票系统比使用电子邮件附件或传真系统退票更安全，这些都是选民获得的其他选择。 最后，Democracy Live强调，其技术是为残障人士设计的，对他们来说，持有、阅读和标记纸质邮寄选票可能不是一个选择。“没有任何技术是‘防弹的’，”Democracy Live首席执行官Bryan Finney告诉《纽约时报》。“但我们需要能够让被剥夺权利的人获得选举权。” 这项研究凸显了围绕网络投票的问题，网络安全专家和美国国土安全部表示，网络投票存在着被黑客攻击和操纵的高风险。该研究结果也是在对邮寄投票以及处理选举的最佳方式，同时最大限度地减少COVID-19的传播进行激烈辩论的时候出现的。 最近美国有三个州表示将使用OmniBallot。研究人员能够在7个州和另外11个州内的98个较小的地方找到投票服务的网址，其中包括华盛顿州的一个县级保护区，此前有报道称他们使用了在线投票系统来提高选民投票率。 研究人员发现，OmniBallot在选民的网络浏览器上工作。选民验证身份后，会收到一份PDF格式的选票。根据他们的位置，选民可以打印空白选票，以电子方式标记选票，然后打印出来传真或邮寄，或者标记选票，然后在线提交。     （稿源：cnBeta，封面源自网络。）

早在今年4月份左右,Zoom被爆出漏洞,在Dark Web和黑客论坛上,超过50万个Zoom帐户可供出售,1块钱可以买7000个。在某些情况下，是免费赠送的。这些凭据是通过凭据注入攻击收集的，其中黑客尝试使用在较早的数据泄露中泄露的帐户尝试登录Zoom。然后将成功的登录名编译成列表，然后出售给其他黑客。 网络安全情报公司Cyble 告诉BleepingComputer，大约2020年4月1日，他们开始在黑客论坛上看到免费的Zoom帐户发布，以在黑客社区中获得越来越高的声誉。 这些帐户通过文本共享站点共享，黑客在该站点上发布电子邮件地址和密码组合的列表。 在以下示例中，免费放出了与佛蒙特大学，科罗拉多大学，达特茅斯，拉斐特，佛罗里达大学等学院相关的290个帐户。 BleepingComputer已联系了这些列表中显示的随机电子邮件地址，并确认某些凭据是正确的。 一位暴露的用户告诉BleepingComputer，列出的密码是旧密码，这表明其中一些凭证可能来自较旧的凭证注入攻击。 批量出售帐户 在看到卖家在黑客论坛上发布帐户后，Cyble伸出手来大量购买大量帐户，以便可以将潜在的漏洞用于警告客户。 Cyble能够以每个帐户0.0020美元的价格购买不到5美分的Zoom凭证（大约530,000个）。 购买的帐户包括受害者的电子邮件地址，密码，个人会议URL及其HostKey。 Cyble告诉BleepingComputer，这些帐户包括大通，花旗银行，教育机构等知名公司的帐户。 对于属于Cyble客户的帐户，情报公司能够确认它们是有效的帐户凭据。 Zoom在给BleepingComputer的声明中说，他们已经雇用了情报公司来帮助查找这些密码转储，以便他们可以重置受影响的用户的密码。 “为消费者服务的网络服务通常会受到此类活动的攻击，这通常涉及不良行为者测试来自其他平台的大量已被破坏的凭据，以查看用户是否在其他地方重用了它们。这种攻击通常不会会影响使用他们自己的单点登录系统的大型企业客户，我们已经聘请了多家情报公司来查找这些密码转储以及用于创建密码转储的工具，并且该公司已关闭了数千个试图欺骗网站的网站用户下载恶意软件或放弃其凭据。我们将继续进行调查，以锁定我们发现遭到入侵的帐户，要求用户将其密码更改为更安全的方式，并正在寻求实施其他技术解决方案以支持我们的努力。” 更改Zoom密码（如果在其他地方使用） 由于所有公司都受到凭据注入攻击的影响，因此对于注册帐户的每个站点，您必须使用唯一的密码。 通过这些攻击，利用暴露在过去数据泄露中的帐户，然后在线销售，每个站点使用唯一的密码可以防止一个站点的数据泄露影响另一个站点数据。 您还可以通过“ 我已被拥有”和Cyble的AmIBreached数据泄露通知服务检查您的电子邮件地址是否因数据泄露而泄漏。 两种服务都将列出包含您的电子邮件地址的数据泄露事件，并进一步确认您的凭据已被公开。     （稿源：TechWeb，封面源自网络。）

几天前，一些用户抱怨三星 Android 移动设备遭遇了一个奇怪的 bug，导致手机可能在更换了不受支持的壁纸后陷入循环启动。原因是这些图片的直方图数值（>255）高于 Android 移动操作系统所支持的 sRGB 色域空间，且所有运行最新版谷歌 Android OS 的设备都会受到影响。 庆幸的是，在收到 bug 反馈之后，包括三星在内的第三方开发者和原始设备（OEM）制造商都在积极着手修复。 SamMobile 援引消息人士的话称，该公司已做好通过 OTA 更新来修复此 bug 的准备。 对于 Galaxy 设备用户来说，三星建议暂时不要从网络上下载任意壁纸图像，直到该问题彻底得到修复。 当然，最终还是得看谷歌官方的 Android 开源项目社区能够从根源上治好这个病根，不然同样的问题依然会上演“你方唱罢我登场”的剧情。   （稿源：cnBeta，封面源自网络。）

据《连线》(Wired)杂志报道，去年年底，互联网基础设施公司Cloudflare的安全工程师David Haynes发现自己正盯着一张奇怪的图像。“那纯粹是胡言乱语，”他说。“一大堆灰黑色的像素，由机器制造出来的。”他拒绝分享图片，称这将是一个安全风险。Haynes的谨慎是可以理解的。这张图片是由一个名为Mayhem的工具创建的，该工具可以探测软件以发现未知的安全漏洞，由卡内基梅隆大学的衍生创企ForAllSecure制作。 Haynes一直在Cloudflare软件上进行测试，该软件可以调整图片的大小以加快网站的速度，并向它提供了几张照片样本。Mayhem将它们变异成了一些不正常的的图片，通过触发一个不被注意到的bug，使照片处理软件崩溃，这个漏洞可能会给付费给Cloudflare以保持网站正常运行的客户带来问题。 此后，Cloudflare将Mayhem作为其安全工具的标准配置。美国空军、海军和陆军也使用了它。上个月，五角大楼授予ForAllSecure一份4500万美元的合同，让Mayhem在整个美军中推广使用。该部门有大量的Bug可供查找。2018年的一份政府报告发现，国防部在2012年至2017年期间测试的几乎所有武器系统都存在严重的软件漏洞。 Mayhem还不够精密，不足以完全取代人类漏洞查找员的工作，他们利用软件设计知识、代码阅读技巧、创造力和直觉来寻找漏洞。但ForAllSecure联合创始人兼CEO David Brumley表示，该工具可以帮助人类专家完成更多的工作。世界上的软件有更多的安全漏洞，专家们没有时间去发现，而每分钟都有更多的漏洞出现。“安全并不在于是否安全或不安全，而在于你的行动速度有多快。”Brumley说。 Mayhem起源于2016年在拉斯维加斯一家赌场举行的一场不寻常的黑客大赛。数以百计的人到场观看由五角大楼的研究机构Darpa主办的网络大挑战赛。但舞台上没有一个人，只有七台电脑服务器。每台服务器上都有一个机器人，它试图发现并利用其他服务器的漏洞，同时也发现并修补自己的漏洞。8个小时后，由Brumley所带领的卡内基梅隆大学安全实验室团队制作的 “Mayhem “获得了200万美元的最高奖项。 目前仍是卡内基梅隆大学教授的Brumley说，这段经历让他相信，他的实验室创造的东西在现实世界中可以派上用场。他抛开了团队的机器人的进攻能力，认为防御更重要，并着手将其商业化。“网络安全挑战赛( Cyber Grand Challenge)表明，完全自主安全是可能的。”他说。“计算机可以做得相当不错。” 以色列等国政府都提出了合同，但ForAllSecure与美国政府签约。它得到了国防创新部门的合同，这是五角大楼的一个小组，试图将新技术快速引入美军。ForAllSecure受到了挑战，通过寻找美军使用的军用变体商用客机的控制软件中的漏洞来证明Mayhem的能力。在几分钟内，这个自动黑客就发现了一个漏洞，该漏洞随后被飞机制造商验证并修复了。 Mayhem发现的其他漏洞还包括今年早些时候在数百万台网络设备中使用的OpenWRT软件中发现的一个漏洞。去年秋天，该公司的两名实习生从Netflix的漏洞赏金计划中获得了一笔奖金，因为他们利用Mayhem发现了软件中的一个漏洞，该软件可以让人们将视频从手机发送到电视上。 Brumley表示，汽车和航空航天公司对这个工具的兴趣特别浓厚。汽车和飞机对软件的依赖性越来越强，而这些软件需要多年的可靠运行，而且很少更新。 Mayhem只针对基于Linux操作系统的程序，发现漏洞的方式有两种，一种是随机的，另一种更有针对性。第一种称为模糊测试，它涉及到用随机生成的输入（如命令或照片）轰炸目标软件，并观察是否有触发可利用的漏洞。第二种被称为符号执行，涉及到创建一个目标软件的简化数学表示。可以对这个被简化的替身进行分析，以确定真实目标中的潜在弱点。 近几年来，模糊测试工具在计算机安全领域的应用越来越广泛。去年，谷歌发布了一个模糊测试工具，并表示已经在其Chrome浏览器中发现了16000多个Bug。但Cloudflare公司的Haynes表示，该技术在行业内仍未得到普遍使用，因为模糊测试工具通常需要对每个目标程序进行太多仔细的调整。他说，ForAllSecure精心打造的Mayhem更具适应性，让Cloudflare可以更常规地使用模糊测试。Haynes说，符号执行可以找到更复杂的Bug，之前主要是在研究实验室中使用。 亚利桑那州立大学教授Ruoyu Wang希望Mayhem只是计算机安全领域更自动化的未来的开始，但他说，这将需要bug查找机器人与人类进行更多的合作。 Mayhem表明，自动化可以做有用的工作，Wang说，但现有的自动寻找漏洞的机器人在复杂的互联网服务或软件包中不能起到多大的作用。最好的软件还远远不能像人类那样聪明到理解程序的意图和功能。Mayhem比任何人类更快地尝试很多不同的东西的能力都无法替代。“很多自动查找漏洞的难点问题，现在还远远没有解决。”Wang说。 Wang曾是一个名为Mechanical Phish的团队的一员，该团队在2016年Darpa锦标赛上获得了第三名。他现在正在从事该机构的一个名为CHESS的新研究项目，试图制造出更强大的Bug查找软件。“现在，最先进的自动化不知道什么时候会遇到障碍，”Wang说。“它应该意识到这一点，并向人类咨询。”   （稿源：cnBeta，封面源自网络。）

Android 出现了一个颇有美感的新 Bug。推特网友 Ice Universe 爆料称，当安卓手机用户将一张夕阳风光图片在安卓设备上作为壁纸使用时，会导致手机系统崩溃，屏幕出现无限闪烁。 受影响的设备主要包括三星、一加 和 Google Pixel 等智能手机。此外，该图像还导致了 Android 模拟器崩溃。 这张图片在社交媒体平台上广为流传，尽管已有示警，但还是有些用户无视警告将其设置为了壁纸。而该图像导致 Android 智能手机出现故障的原因则在于，它的颜色编码配置文件不正确，超出了 Android 的处理范围。 如果你已不幸中招，可以执行以下操作解决此故障： 尝试通过同时按下电源和增大音量按钮以安全模式启动智能手机。 如果你使用的是自定义 ROM，或者是卡在启动循环中的 rooted Android 设备，请将墙纸数据重置为默认值。 通过 bootloader 将设备恢复出厂设置，不过值得注意的是，在此过程中，所有数据都会丢失。 事实上，这也不是最近出现的唯一一个怪异 bug。上个月，还曾出现了一个仅仅是使用泰卢固语编写的一条短信，就导致了 iOS 设备崩溃的 bug。     （稿源：开源中国，封面源自网络。）

今天苹果发布了 iOS/iPadOS 13.5.1 以及 watchOS 6.2.6系统更新，对两周前发布的 iOS/iPadOS 13.5进行了安全修复。在安全更新日志中明确提及了 unc0ver 越狱使用的漏洞，因此想要越狱的用户尽量不要升级。 iOS/iPadOS 13.5.1本次更新的安装包容量为77.5MB，主要还是安全方面的改进，不过引入的新功能之一就是Apple Pay支持中国香港地区的八达通了。 此外watchOS 6.2.6更新容量为54.4MB，同样是重要的安全性更新，推荐用户尽快安装升级。从iOS 13.5.1、iPadOS 13.5.1和watchOS 6.3.6更新的补丁说明中可以看出，内容主要由安全更新组成。从版本号的增量也可以看出，它们的更新范围不大，功能和特性变化的可能性不大。     （稿源：cnBeta，封面源自网络。）

近日，苹果最近向印度漏洞研究人员Bhavuk Jain支付了100,000美元赏金，奖励其发现影响“ 使用Apple登录 ”系统的严重漏洞。该漏洞是Bhavuk上个月向苹果安全团队报告，目前苹果现在已修复此漏洞。这个已修补的漏洞，可以使远程攻击者绕过身份验证，接管使用“使用Apple登录”选项注册的第三方服务和应用程序上的帐户。 去年，苹果公司在WWDC会议启动了“苹果ID ”登录第三方的保护隐私机制，该机制允许用户使用苹果ID注册第三方应用程序帐户，并且无需透露实际电子邮件地址。 Bhavuk Jain 在向媒体表示，他发现的漏洞存在于Apple在启动过程中，与苹果服务器认证过程中。 对于那些不了解实际情况的用户，在服务器上通过“使用Apple登录”进行用户身份验证时，可以生成JSON Web令牌（JWT），其中就包含第三方应用程序发来确认登录用户身份的机密信息。 Bhavuk发现，尽管Apple会要求用户在发起请求之前，登录Apple帐户，但是并没有验证是否是同一个人在身份验证服务器请求JSON Web令牌（JWT）。 所以，该机制中缺少的验证问题，可能允许攻击者获取属于受害者的单独Apple ID，从而诱骗Apple服务器生成有效的JWT，最终导致受害者的身份信息被其他人从第三方获取。 Bhavuk表示：“我发现可以向JWT请求来自Apple的任何电子邮件ID，并且使用Apple公钥验证获取的令牌签名后，就可以登录。这意味攻击者可以通过链接获取任何Email ID 并通过访问权限伪造JWT，进而访问受害者帐户。” 即使在第三方服务中隐藏电子邮件ID，该漏洞仍然有效，并且黑客可以利用该漏洞利用受害者的Apple ID来注册新帐户。 Bhavuk还补充说：“此漏洞的影响非常严重，因为它可能导致整个帐户被黑客接管。” 现在许多开发人员已将Sign In与Apple集成在一起，因为这种方式可以帮助其他社交工具减少获客成本。开发人员表示，尽管该漏洞存在于Apple代码端，但是用户“使用Apple登录”的服务和应用程序中并不受到影响，而且苹果公司现在已修复此漏洞。在发放奖金之后，苹果公司正在公司的服务器进行调查，从而确定过去因为该漏洞被影响和破坏的帐户。 需要注意的是，除了这次漏洞，本月早些时候德国达姆施塔特大学的研究人员检查了 MagicPairing 协议中，还发现了iOS、macOS 和它们之间的十个公开漏洞，这些漏洞至今尚未得到解决。     （稿源：雷锋网，封面源自网络。）