外媒近日消息，安全研究人员发现通过一个认证旁路漏洞能够远程访问超过一百万台光纤路由器。研究表明，该漏洞很容易通过修改浏览器地址栏中的 URL 来利用，可让任何人绕过路由器的登录页面和访问页面，只需在路由器的任何配置页面上的网址末尾添加 “?images /”，就能够完全访问路由器。由于设备诊断页面上的 ping 和 traceroute 命令以 “ root ” 级别运行，因此其他命令也可以在设备上远程运行。 这些路由器是将高速光纤互联网带入人们家庭的核心。根据周一发布的调查结果表明，该漏洞在用于光纤连接的路由器中发现。目前 Shodan 上列出了约 106 万个标记的路由器 ，其中一半易受攻击的路由器位于墨西哥的 Telmex 网络上，其余的则在哈萨克斯坦和越南被发现。 研究人员表示已经联系了建立路由器的韩国技术公司 Dasan Networks，但并没有立即收到回复。此外，他还联系了易受攻击设备数量最多的互联网提供商 Telmex，也没有任何回音。 发现该错误的匿名安全研究人员认为漏洞带来的损害远远大于受影响的路由器。因为由于该设备是一个路由器，这意味着它能控制着自己的网络，并且能够将整个网络（不仅仅是这个设备）作为僵尸网络。他补充道，路由器可能很容易被篡改，修改其 DNS 设置，以重定向用户访问恶意版本的网站，从而窃取用户的凭证。 最近的研究表明，路由器是黑客滥用的主要目标，因为它们是大多数网络的中心点。当受到攻击时，攻击者可以进一步立足于网络。路由器也是一个很容易利用的目标，它们可以轻易地被黑客攻击，被僵尸网络劫持，并且通过互联网流量入侵目标，将它们置于离线状态。这些分布式拒绝服务（DDoS）攻击可以在精确瞄准时摧毁大量网络。 例如本月早些时候，英国和美国当局都警告说，俄罗斯黑客正在使用受损的路由器为未来的攻击奠定基础。 研究人员表示，随着路由器安全性变得越来越好， DDoS 攻击只会越来越强大。 消息来源：ZDNet，编译：榆榆，审核：FOX; 本文由 HackerNews.cc 编译整理，封面来源于网络； 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

亚马逊的 Alexa 是如今大热的一款智能音箱，只需你说出它的唤醒词，比如“Alexa”、“Echo”或 “Computer”，它就能对你的声音指令作出响应。不过，现在这一特性也让人们开始担心自己的隐私。来自安全公司 Checkmarx 的研究人员发现了一种方法，可以让 Alexa 窃听、记录并发送用户的谈话记录。 Checkmarx 的研究人员能够创造出一种看似无害的 Alexa 技能，在大多数技能被关闭以保护人们的隐私之后，这种技能将会持续生效。Checkmarx 的 AmitAshbel 告诉科技网站 CNET 的记者，这个技能可以持续记录谈话。“就我们所知，这个技能没有限制，”他说，“只要你不告诉它停止，它就不会停止。” Checkmarx 说他们在 4 月初通知了亚马逊这个漏洞，亚马逊向 CNET 的记者证实，目前已经解决了这个问题。“客户信任对我们很重要，我们会认真对待安全和隐私问题。”亚马逊的一位发言人在一份声明中说，“我们已经为检测这类技能行为提供了适当的缓解措施，当我们发现这样的漏洞时，我们会拒绝或抑制这些技能。” 稿源：凤凰网科技，封面源自网络网络；

近日，Drupal 发布了新版本的软件，以修补另一个影响其 Drupal 7 和 8 核心的严重远程代码执行（RCE）漏洞（CVE-2018-7602），这是过去 30 天以来 Drupal 被发现的第三个严重漏洞。 Drupal 是一个流行的开源内容管理系统（CMS）软件，为数百万个网站提供支持。但不幸的是，自从披露了一个高度关键的远程代码执行漏洞以来，其 CMS 一直处于被攻击状态。 这个新的漏洞是在探索先前暴露的 RCE 漏洞（名为 drupalddon2 (CVE-2018-7600)）时被发现的。攻击者开发利用 Drupalgeddon2 漏洞将加密货币矿工、后门程序和其他恶意软件注入网站。据悉， drupalddon2 已在 3 月 28 日被修复。 除了这两个缺陷之外，该团队上周还修补了一个中等严重的跨站脚本（XSS）漏洞。该漏洞可能导致远程攻击者发起高级攻击，例如 cookie 盗窃、键盘记录、网络钓鱼和身份盗用等。 根据该团队发布的新报告，新的远程代码执行漏洞（CVE-2018-7602）可能会允许攻击者完全接管易受攻击的网站。由于之前披露的漏洞引起了很多关注，Drupal 敦促所有网站管理员尽快安装新的安全补丁。 如果您正在运行 7.x，请升级到 Drupal 7.59。 如果您正在运行 8.5.x，请升级到 Drupal 8.5.3。 如果您正在运行不再支持的 8.4.x 版本，则需要先将网站更新到 8.4.8 版本，然后尽快安装最新的 8.5.3 版本。 还应该注意的是，只有当您的站点已经为 Drupalgeddon2 漏洞应用了补丁时，新补丁才会生效。 有关该漏洞的技术细节被命名为 Drupalgeddon3，但并未对外公布。Drupal 发言人表示虽然该新漏洞较之前的更加复杂，但目前尚未发现有关该漏洞的任何攻击行为 。 SeeBug 漏洞库： Drupal core Remote Code Execution(CVE-2018-7602) Drupal core Remote Code Execution(CVE-2018-7600) (Drupalgeddon2) 创宇盾 无需升级即可防御利用此漏洞进行的渗透攻击。 Drupal 安全公告： 《Drupal core – Highly critical – Remote Code Execution – SA-CORE-2018-004》 消息来源：securityweek，编译：榆榆，审核：FOX; 本文由 HackerNews.cc 编译整理，封面来源于网络； 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

发售首年就大获成功的任天堂新主机 Switch 采用了 NVIDIA Tegra X1 芯片，这为 Switch 迅速被破解埋下了隐患。女性黑客 Kate Temkin 宣布她利用 NVIDIA Tegra X1 芯片中的漏洞破解了 Switch 主机，而且这一漏洞存在于芯片的 Bootrom 中，设备出厂后无法通过补丁封堵。不仅仅是任天堂，所有使用该芯片的设备都将受到影响。目前 Kate Temkin 在缓冲期后正式公布了可以适用于任意系统版本的 Fusée Gelée 破解手段。 Fusée Gelée 破解利用了 Nvidia Tegra X1 芯片（版本 210）的 USB 恢复模式漏洞，该漏洞能够绕过保护芯片关键部分 bootROM，通过发送超长的控制请求导致内存溢出，从而获得直接内存访问，接下来就可以运行任意代码。破解可以利用一枚曲别针或者名为 Switchx Pro 的配件，只需要短接右手柄插槽的两个触点。 另一支团队 fail0verflow 团队也公布了另一种硬件破解手段 ShofEL2，并且演示了在 Switch 主机上运行自制 Linux 系统的概念证明。 消息来源：cnBeta，封面源自网络；

近日，思科发布了一组安全补丁来解决安全声明标记语言（SAML）中的 CVE-2018-0229 漏洞。该漏洞可能允许未经身份验证的远程攻击者通过运行 ASA 或 FTD 软件的受影响设备建立经过验证的 AnyConnect 会话。 CVE-2018-0229 漏洞影响以下思科解决方案： AnyConnect 桌面移动客户端的单点登录身份验证; 自适应安全设备（ASA）软件; Firepower威胁防御（FTD）软件。 思科表示，存在这个缺陷是因为 ASA 或 FTD 软件没有实现任何机制来检测认证请求是否直接来自 AnyConnect 客户端，以至于攻击者可以通过欺骗受害者点击专门制作的链接并使用公司的身份提供商（IdP）进行身份验证来利用 CVE-2018-0229 漏洞。在这种情境下，攻击者可以劫持一个有效的身份验证令牌，并使用它来通过运行 ASA 或 FTD 软件的受影响设备建立并建立 AnyConnect 会话。 CVE-2018-0229 漏洞影响思科 AnyConnect 安全移动客户端，以及针对以下在思科产品上运行的AnyConnect 远程访问 VPN 的、基于 SAML 2.0 的 SSO 配置的 「ASA 软件和 FTD 软件」： 3000 系列工业安全设备（ISA） ASA 5500 系列自适应安全设备 ASA 5500-X 系列下一代防火墙 用于 Cisco Catalyst 6500 系列交换机和 Cisco 7600 系列路由器的 ASA 服务模块 自适应安全虚拟设备（ASAv） Firepower 2100 系列安全设备 Firepower 4100 系列安全设备 Firepower 9300 ASA 安全模块 FTD 虚拟（FTDv） 目前思科确认，只有运行版本 9.7.1 及更高版本的 ASA 软件、运行版本 6.2.1 及更高版本的 FTD 软件、AnyConnect 4.4.00243 及更高版本易受攻击。 消息来源：Security Affairs，编译：榆榆，审核：FOX; 本文由 HackerNews.cc 编译整理，封面来源于网络； 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

Google Project Zero 研究人员近期公开了 Windows 10 的一个 0-day 漏洞，可被攻击者利用，在用户模式代码完整性（UMCI）的设备保护环境中绕过 Windows Lockdown 机制，攻击目标计算机并执行任意代码。 根据发布的漏洞利用 POC，这个漏洞代码主要包括两个文件：用于设置注册表的 .INF 以及使用 DotNetToJScript 免费工具创建的 .SCT（可用于将不可信的 .NET 程序集加载到内存中以显示消息框）。 研究人员表示，这个 0-day 漏洞之所以被公开，是因为微软没有按照谷歌披露政策，在 90 天响应期内修复漏洞。目前，启用 UMCI 的 Windows 10 所有版本都有可能受到影响。 稿源：freebuf，封面源自网络；

据外媒报道，思科近日发布了一个关键补丁来修复其 WebEx 软件中的一个严重漏洞（CVE-2018-0112），该漏洞可能被远程攻击者利用，通过武器化的 Flash 文件在目标机器上执行任意代码。目前 WebEx Business Suite 或 WebEx Meetings 的客户端和服务器版本受到该漏洞的影响，思科敦促其用户更新其软件以解决问题。 该漏洞是由于 Cisco WebEx 客户端的输入验证不足造成的。攻击者可以通过客户端的文件共享功能向与会者提供一个恶意 Flash（.swf）文件，从而利用此漏洞。目前该漏洞已获得 9.0 的 CVSS 评分，思科将其评为“严重”。 思科已经发布了修复该漏洞的软件更新，并确认尚无任何利用该漏洞的攻击案例。此外，思科补充说目前没有解决该问题的解决方法，因此建议用户将 WebEx Business Suite 软件更新至 T32.10 和 T31.23.2 版本， WebEx Meetings 客户端软件更新至 T32.10，Meetings Server 更新至 2.8 MR2。 消息来源：Security Affairs，编译：榆榆，审核：FOX; 本文由 HackerNews.cc 编译整理，封面来源于网络； 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

据外媒 19 日报道，罗克韦尔自动化发布警告成称由于 Cisco IOS 中的安全漏洞，其 Allen-Bradley Stratix 和 ArmorStratix 工业交换机可能会遭受黑客攻击。根据罗克韦尔自动化公司的说法，最近在思科 IOS 中发现的八个漏洞影响了其在许多领域中使用的产品，其中包括关键制造以及能源等方面。 漏洞列表包括不正确的输入验证、资源管理错误、7PK 错误、在内存缓冲区范围内对操作的不当限制。以及使用外部控制的格式字符串。根据美国 ICS-CERT 发布的安全公告，这些漏洞可能会导致由于内存耗尽、模块重启、信息破坏、信息泄露等问题。 目前受影响的型号是运行固件版本 15.2（6）E0a 或者更低版本的 Stratix 5400、5410、5700、8000 和 ArmorStratix 5700 交换机。 最严重的漏洞是 Cisco CVE-2018-0171 智能安装，这是一个影响 Cisco IOS 软件和 Cisco IOS XE 软件的智能安装功能的缺陷，未经身份验证的远程攻击者可能利用该安全漏洞来重新加载易受攻击的设备或者在受影响的设备上执行任意代码。 几周前，黑客团队“JHT” 利用 Cisco CVE-2018-0171 漏洞发起了一项针对俄罗斯和伊朗网络基础设施的网络攻击活动。 目前罗克韦尔发布了固件版本 15.2（6）E1 来解决其交换机中的漏洞。除升级软件版本外，罗克韦尔自动化还提供了缓解措施，思科在官网发布了新的 Snort 规则， 以帮助解决以下漏洞： CVE-2018-0171 – Snort Rule 46096和46097 CVE-2018-0156 – Snort Rule 41725 CVE-2018-0174 – Snort Rule 46120 CVE-2018-0172 – Snort Rule 46104 CVE-2018-0173 – Snort Rule 46119 CVE-2018-0158 – Snort Rule 46110 消息来源：Security Affairs，编译：榆榆，审核：FOX; 本文由 HackerNews.cc 编译整理，封面来源于网络； 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

安全公司 VPN Mentor 的专家发现了一个影响大多数 LG NAS 设备的预认证 RCE（远程代码注入）漏洞，攻击者可利用该漏洞获取设备的最高权限。 LG 尚未针对该漏洞发布安全更新，如果你是 LG NAS 设备的用户，应避免在公网上暴露设备，并尽快使用仅允许来自授权 IP 连接的防火墙进行保护。此外，VPN Mentor 的专家还建议，用户应定期检查设备上的所有注册用户，加强排查可疑活动。 稿源：freebuf，封面源自网络；

思科 Talos 的安全研究专家发现工业路由器 Moxa EDR-810 中存在 17 个安全漏洞，其中包括许多影响 Web 服务器功能的严重命令注入漏洞和导致服务器崩溃的拒绝服务 (DOS )漏洞。目前发现的漏洞已在 Moxa EDR-810 V4.1 build 17030317 中得到确认，但其早期版本的产品也可能受到了影响。 （CVE-2017-12120）Moxa EDR-810 Web 服务器 ping 命令注入漏洞 CVE-2017-12120 是 Moxa EDR-810 的 Web 服务器功能中存在的可利用的命令注入漏洞，允许攻击者通过发送特定的 HTTP POST 请求来升级特权，从而在目标 Moxa EDR-810 设备上访问 root shell 。攻击者可以将操作系统命令注入到 “/ goform / net_WebPingGetValue”uri 中的 ifs = parm 中，以触发此漏洞并控制目标设备。 （CVE-2017-12121）Moxa EDR-810 Web RSA 密钥生成命令注入漏洞 该漏洞与 CVE-2017-12120 类似，也允许攻击者通过发送特定的 HTTP POST 请求来升级特权，从而在目标 Moxa EDR-810 设备上访问 root shell 。 （CVE-2017-14435至14437）Moxa EDR-810 Web 服务器 strcmp 多个拒绝服务漏洞 CVE-2017-14435 至 14437 描述了 Moxa EDR-810 的 Web 服务器功能中存在的三种单独的可利用的拒绝服务漏洞。通过利用特制的 HTTP URI 造成空指针取消引用，从而导致拒绝服务。攻击者可以发送 GET 请求到“/MOXA_LOG.ini，/MOXA_CFG.ini或/MOXA_CFG2.ini”，而不是使用 cookie 头来触发此漏洞。 （CVE-2017-12123）Moxa EDR-810 明文传输密码漏洞 CVE-2017-12123 是一种可利用的明文传输密码漏洞，它存在于 Moxa EDR-810 的 web 服务器和 telnet 功能中。攻击者可以检查网络流量以检索设备的管理密码，然后，使用凭据登录设备 web 管理控制台作为设备管理员。 （CVE-2017-12124）Moxa EDR-810 Web 服务器 URI 拒绝服务漏洞 CVE-2017-12124 是 Moxa EDR-810 的 Web 服务器功能中存在的可利用的拒绝服务漏洞。访问特制的 HTTP URI 会造成空指针取消引用，从而导致 Web 服务器崩溃。攻击者可以发送制作的 URI 来触发此漏洞。 （CVE-2017-12125）Moxa EDR-810 Web 服务器证书签名请求命令注入漏洞 CVE-2017-12125 是 Moxa EDR-810 的 Web 服务器功能中存在的可利用的命令注入漏洞，允许攻击者通过发送特定的 HTTP POST 请求来升级特权，从而在目标 Moxa EDR-810 设备上获得 root shell 。攻击者可以将 OS 命令注入“/ goform / net_WebCSRGen”uri 中的 CN = parm 以触发此漏洞。 （CVE-2017-12126）Moxa EDR-810 Web 服务器跨站点请求伪造漏洞 CVE-2017-12126 是 Moxa EDR-810 的 Web 服务器功能中存在的可利用的跨站点请求伪造（CSRF）漏洞。利用特制的 HTTP 请求可能会触发 CSFR 漏洞，从而允许攻击者更改设备配置。攻击者可以创建恶意 HTML 代码来触发此漏洞，并诱使用户执行恶意代码。 （CVE-2017-12127）Moxa EDR-810 明文密码存储漏洞 CVE-2017-12127 是 Moxa EDR-810 的操作系统功能中存在的密码存储漏洞。设备以明文形式将凭据存储在 /magicP/cfg4.0/cfg_file/USER_ACCOUNT.CFG 中。该文件镜像 / etc / shadow 的内容，但所有密码均以明文形式存储。 （CVE-2017-12128）Moxa EDR-810 服务器代理信息泄露漏洞 CVE-2017-12128 是 Moxa EDR-810 的服务器代理功能中存在的可利用信息泄露漏洞。攻击者可以通过发送特制的 TCP 数据包来触发此漏洞，从而导致设备泄漏数据。 （CVE-2017-12129）Moxa EDR-810 Web 服务器对密码漏洞进行弱加密 CVE-2017-12129 是 Moxa EDR-810 的 Web 服务器功能中存在的可用于密码漏洞的弱加密技术。初次登录后，每个经过身份验证的请求都会发送一个带有密码 MD5 散列的 HTTP 数据包，这个散列能够被破解，显示设备的密码。 （CVE-2017-14432 至 14434）Moxa EDR-810 Web 服务器 OpenVPN 配置多个命令注入漏洞 CVE-2017-14432 至 14434 描述了 Moxa EDR-810 的 Web 服务器功能中存在的多个可利用的命令注入漏洞。一个特制的 HTTP POST 请求可能会导致特权升级，从而导致攻击者有权访问 root shell。攻击者可以将 OS 命令注入到“/ goform / net_Web_get_value”uri 中的各种参数中以触发此漏洞。 （CVE-2017-14438和14439）Moxa EDR-810 服务代理多次拒绝服务 CVE-2017-14438 和 14439 描述了 Moxa EDR-810 的 Service Agent 功能中存在的两个可利用的拒绝服务漏洞，通过利用一个特制的数据包可能会导致拒绝服务。攻击者可以发送一个大数据包到 tcp 端口 4000 或 4001 来触发此漏洞。 消息来源：Talos，编译：榆榆，审核：FOX; 本文由 HackerNews.cc 编译整理，封面来源于网络； 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。