外媒 3 月 14 日消息，Sap 本周发布了其 3 月份的一组安全补丁，以解决产品中不同层级的漏洞问题，其中包括一些已经存在了十多年的安全缺陷。 SAP 发布的 27 个安全说明中，有 6 个具有高优先级，19 个被评为中等优先级，并且其中有 4 个是以前发布过的安全说明的更新。 本月处理的最常见的漏洞类型是缺少授权检查（占 6 个），其次是信息披露（5 个），跨站点脚本（4 个）。除此之外，SAP 还解决了 3 个 SQL 注入错误、2 个目录遍历问题、2 个实施漏洞以及拒绝服务、硬编码证书、XML 外部实体、代码注入和点击劫持错误等缺陷。 SAP 本月最厉害的安全说明解决了 SAP 网络图形服务器（IGS）中具有高优先级评级的三个漏洞（CVSS 基础评分：8.8），其中包括：CVE-2004-1308（内存损坏）、CVE-2005-2974（拒绝服务）和 CVE-2005-3350（远程代码执行）。这些漏洞已经存在十多年，影响 libtiff、giflib 、libpng 等处理图像（分别为 TIFF、GIF 和 PNG ）的第三方开源库。 不仅如此，SAP 还处理了两个高风险的信息披露漏洞，分别是影响 SAP HANA 捕获和重放跟踪文件（CVE-2018-2402 – CVSS 基本评分：7.6）、SAP 业务流程自动化( BPA ) (CVE – 20182400 – CVSS 基础评分：7.5 )的漏洞问题。 消息来源：securityweek，编译：榆榆，校审：FOX; 本文由 HackerNews.cc 编译整理，封面来源于网络； 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

RDP 和 WInRM 中使用的 CredSSP 协议（安全加密 Windows 用户远程登录过程）中出现严重漏洞，影响所有版本的 Windows。 远程攻击者额可以利用这个漏洞，使用 RDP 和 WinRM 窃取数据并运行恶意代码。这个漏洞由网络安全公司 Preempt Security 发现，编号为 CVE-2018-0886，是一个逻辑加密漏洞，可被中间人攻击者利用，通过 WiFi 或物理接触网络来窃取 session 认证数据，发起远程进程调用攻击。 如果用户和服务器通过 RDP 和 WinRM 连接协议进行认证，中间人攻击就能执行远程命令，入侵企业网络。而由于 RDP 是远程登录中最常用的应用，几乎所有企业用户都在使用，因此，这个漏洞可造成大范围影响。 目前，微软已经发布相关更新补丁，用户应尽快下载更新，同时可以禁用 RDP 等相关应用端口，尽可能少使用特权账户，多使用非特权账户。 稿源：freebuf，封面源自网络；

外媒 3 月 12 日消息，以色列 Ben-Gurion 大学的研究团队近期详细介绍了一种使用扬声器、耳机可从气隙系统中的计算机中提取数据的新型数据过滤技术 — MOSQUITO，目前来说它是一种 “Jack Retasking” 技术：主要利用特定的音频芯片功能，将输出音频插孔转换成输入插孔，从而将连接的扬声器有效地转换为（非传统）麦克风。 通过实验，研究人员发现，设法感染 air-gapped 计算机的恶意软件可以将本地存储的文件转换成音频信号，并通过连接的扬声器、耳机或耳塞将它们传送到附近的另一台计算机设备。该设备也受到了恶意软件的感染，它使用插孔将连接的扬声器、头戴式耳机、挂式耳机或耳塞转换成临时麦克风，接收调制后音频并转换回数据文件。 除此之外，研究人员还介绍了传输速度会在一定程度上影响 MOSQUITO 攻击。尽管 MOSQUITO 支持非常快的数据传输速度，但当扬声器之间距离增加或音频频率发生变化时，传输速度可能会降低。其他影响数据传输速度的因素还包括音乐和语音等噪声环境，不过研究人员表示通过将数据泄漏频率提高到 18kHz 以上可以缓解这种情况。 MOSQUITO 攻击在实验中已被证实可行，但目前尚未在野外发现实际攻击案例。 相关阅读： 论文《MOSQUITO: Covert Ultrasonic Transmissions between Two Air-Gapped Computers using Speaker-to-SpeakerCommunication》 内含缓解措施和对策。 消息来源：bleepingcomputer，编译：榆榆，校审：FOX; 本文由 HackerNews.cc 编译整理，封面来源于网络； 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

外媒 3 月 9 日消息，以色列安全公司 Morphisec 的安全研究人员发现了一种被称为“CIGslip”的隐形攻击技术，攻击者可以利用它来绕过微软代码完整性保护( Code Integrity Guard，CIG)，并将未签名的恶意程序库加载到受保护的进程中。 CIG 是微软在 2015 年推出的安全机制，微软将其作为 Edge 浏览器安全缓解措施的一部分。 研究人员开发了一个利用非 CIG 支持进程的攻击 POC，旨在潜入一个支持 CIG 的目标进程中，达到在任何类型的 DLL 上加载恶意代码的目的。 例如，攻击者能够使用 CIGslip 将恶意软件插入到 Edge 浏览器，并且由于使用了 CIG ，第三方安全厂商很难对 Edge 浏览器进行保护，因为每一个 DLL 想要作用于受 CIG 保护的进程要先取得微软的签名。 Morphisec 声称已向微软报告了这一问题，但据微软公司回应，该技术超出了缓解措施的范围，也超出了漏洞防御和奖励计划范围但表示会对这个漏洞进行修复。 相关链接： “CIGslip”隐形攻击技术相关 POC 消息来源：Security Affairs，编译：榆榆，校审：FOX; 本文由 HackerNews.cc 编译整理，封面来源于网络； 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。  

据外媒 Cnet 报道，卡巴斯基实验室的研究人员上个月发布了关于加油站漏洞的研究报告，指出从美国到印度的 1000 多个加油站可能面临网络攻击。这些问题来自能连接到互联网的加油站控制器，所有者无法更改默认密码，攻击者完全可以访问机器。 上周五，卡巴斯基实验室高级安全研究员 Ido Naor 和以色列安全研究员 Amihai Neiderman 在卡巴斯基在墨西哥坎昆举行的安全分析师峰会期间，就加油站的安全问题展开了全面分析。他们的研究表明，攻击者可以改变汽油价格，窃取记录在控制器上的信用卡信息，获取车牌号码，造成油料泄露，调整温度监控器等等。 Neiderman 解释称：“当我们获取 root 权限时，我们可以做任何我们想做的事情。”Naor 则表示，攻击者甚至不需要到当地加油站附近的任何地方。这些加油站的控制器都能连接到互联网，而且密码安全性较低，因此可以远程完成。 该在线软件来自 Orpak Systems，这家燃料管理公司于去年 5 月被北卡罗来纳州的Gilbarco Veeder-Root 公司收购 。据 Orpak 称，其软件已安装在全球超过 35000个加油站。Orpak 将其指南放在网上，展示了加油站技术的细节，包括如何访问其界面的密码和屏幕截图。这些公司没有回应置评请求。 这些漏洞突出了物联网设备背后的问题，因缺乏安全性而受到广泛批评。由于在线连接了不安全的网络摄像头和 DVR，黑客已经能够发起大规模的网络攻击。Naor 表示，但是在加油站，危险攻击的风险要高得多。在极端情况下，黑客可能会调整油箱内的压力和温度，可能导致爆炸。 Naor 和 Neiderman 表示，他们在 2017 年与供应商联系，但大多被忽视。Neiderman 称，这些漏洞很可能仍然存在。这些机器已经过时，有时甚至超过十年，软件也是如此，他补充道。 稿源：cnBeta.com，封面源自网络

外媒 3 月 8 日消息，思科最近发布的一组安全更新中包括两个重要漏洞的修复方案 — 硬编码密码漏洞（CVE-2018-0141）和 Java 反序列化漏洞（CVE-2018-0147）。 硬编码密码漏洞（CVE-2018-0141）是由于系统上的硬编码帐户密码造成的，可被本地攻击者利用来获得对易受攻击设备的完全控制权。目前该漏洞仅影响思科 Prime Collaboration Provisioning（PCP）软件的 11.6 版本。虽然目前没有解决 PCP 软件漏洞的确切方法，但思科已经发布了补丁程序，并建议用户尽快升级到 PCP 12.1 版本，以避免出现安全问题。 影响思科安全访问控制系统（ACS）的 Java 反序列化漏洞，是由于受影响软件对用户提供的内容进行不安全的反序列化造成，可能允许未经身份验证的远程攻击者在受影响设备上执行任意命令。据悉，该漏洞已获得 9.8 的 CSS 评分 ，被归为高危漏洞一类。目前思科已经发布了软件更新来修复这个缺陷。 消息来源：Security Affairs，编译：榆榆，校审：FOX; 本文由 HackerNews.cc 编译整理，封面来源于网络； 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

上个月的时候，谷歌 Project Zero 团队曝光了与微软 Edge 浏览器和 Windows 10 操作系统相关的最新漏洞，引发了业内许多安全研究人员的注意。祸不单行的是，意大利帕多瓦大学的研究人员们，刚又曝光了严重影响 Windows 8.1 和 Windows 10 安全的“控制流防护”（CFG）设计漏洞。据悉，微软在 Windows 8.1 Update 3 中率先引入了内核级的 CFG 功能，并且一路延续至 Windows 10 操作系统。 微软将 CFG 描述为“一个高度优化的、可应对内存泄露漏洞的安全特性平台”。其旨在代码中增加间接的调用和跳转，从而阻止攻击者在任意地址执行代码。 遗憾的是，帕多瓦大学的安全研究人员，已经在其中发现了一个“使 CFG 向后兼容以提升性能”的设计缺陷。研究员之一的 Andrea Biondo 表示： 只有当被允许的目标与 16 字节对齐时，控制流的限制才是精准的。若不是，就会有一个围绕目标的 16 字节非精准地址。 通过将未对齐的目标组合在公共库中、结合编译器生成的函数布局的可预测性，我们就可以绕过控制流防护（CFG）。 研究人员将在本月召开的黑帽亚洲大会上披露漏洞的详情，期间他们还会演示绕过 64 位 Windows 10 中的 Microsoft Edge 浏览器的 CFG bypss 概念验证代码，以证明该漏洞在真实场景中的运用。 报告称，这一漏洞让超过 5 亿台计算机面临安全威胁。更糟糕的是，由于 BATE 没有特别指定，这进一步放大了它的危害性。如果受害进程加载了某些公共库，漏洞就可轻易地被利用。 安全研究人员表示，他们已经向微软通报了此事，当前该公司正在着手修复，预计会随即将发布的 Windows 10 Redstone 4 更新一同到来。 稿源：cnBeta，封面源自网络；

外媒 3 月 7 日消息， 安全公司 Devcore 于近期发布公告称邮件传输代理 （MTA） Exim 中存在一个严重的远程执行代码漏洞（ CVE-2018-6789），影响了一半以上的在线电子邮件服务器。 资料显示：Exim 是一个MTA（Mail Transfer Agent，邮件传输代理）服务器软件，该软件基于 GPL 协议开发，是一款开源软件，主要运行于类 UNIX 系统，通常该软件会与 Dovecot 或 Courier 等软件搭配使用。 截至 2017 年 3 月，运行 Exim 的互联网电子邮件服务器总数估计已超过 56 万，相当于所有在线邮件（MX）服务器的 56％ 。 Devcore 介绍，该漏洞是一个 base64 解码功能中的溢出漏洞，在第一版 Exim 中就已经存在，并且其他所有版本也受到它的影响。根据研究，该漏洞可以被用来获得远程代码执行的预授权，因此目前至少会有 40 万台电子邮件服务器处于风险之中。 此外，据搜索引擎 Shodan 称，在线曝光的 Exim 服务器数量已超过 400 万，其中大部分是在美国。 为了解决这个漏洞。Exim 团队于 2 月 10 日发布了 Exim 4.90.1 版本，并敦促其用户尽快安装更新。 相关内容： CVE-2018-6789 漏洞细节 消息来源：Security Affairs，编译：榆榆，校审：FOX; 本文由 HackerNews.cc 编译整理，封面来源于网络； 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

外媒 3 月 7 日消息，网络安全公司 Corero 表示他们发现了一种能够抵消 Memcached DDoS 攻击的 “ kill switch ” —— 主要依赖于将命令发送回攻击服务器来抑制 DDoS 攻击，使含有漏洞的服务器缓存失效，以致攻击者种植的任何潜在的恶意 playload 都将变得毫无用处。另外，Corero 指出，该漏洞可能比最初认为的更为深远：除了 DDoS 反射放大攻击之外，由于 Memcached 服务器不需要身份验证，该漏洞也可被用来从本地网络或主机中窃取或修改数据，其中包括机密数据库记录、网站客户信息、电子邮件、API 数据、Hadoop 信息等。 根据 Corero 的说法，他们已经在服务器上测试这一对抗方案，结果证明 “ kill switch ”充分有效，并且不会造成附带损害。 其实 Memcached 服务器安全性欠佳并不是一个新问题，因为包括 Gevers 在内的许多安全专家在这方面早已发出警告，然而问题至今为止可能仍被忽略，随着基于 Memcached DDoS 攻击的 PoC 代码的在线发布，漏洞修复已经迫在眉睫。 消息来源：Securityweek，编译：榆榆，校审：FOX; 本文由 HackerNews.cc 编译整理，封面来源于网络； 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

据外媒 3 月 5 日报道，lgtm.com 的安全研究人员发现 Pivotal 公司 Spring Data REST 中存在一个严重漏洞，能够允许远程攻击者在目标设备（该设备运行着使用 Spring Data REST 组件的应用程序）上执行任意命令。 研究人员认为该漏洞与 Apache Struts 中导致 Equifax 数据泄露的漏洞比较相似，并将其追踪为 CVE- 2017-8046。 根据 Semmle / lgtm 发布的安全公告显示，该漏洞与 Spring 表达语言（SpEL）在 Data REST 组件中的使用方式有关，而且缺少对用户输入的验证也是允许攻击者在运行由 Spring Data REST 构建的应用程序设备上执行任意命令的很大一部分因素。 目前该漏洞很容易被利用，因为 Spring Data REST 的 RESTful API 通常可公开访问，所以其中存在的缺陷可能会更轻易地让黑客控制服务器和访问敏感信息。 受影响的 Spring 产品和组件： Spring Data REST 组件，2.5.12,2.6.7,3.0RC3 之前的版本 Maven构件：spring-data-rest-core，spring-data-rest-webmvc，spring-data-rest-distribution，spring-data-rest-hal-browser Spring Boot，2.0.0M4 之前的版本 当使用包含的 Spring Data REST 组件时：spring-boot-starter-data-rest Spring Data，Kay-RC3 之前的版本 据了解，Pivotal 已针对该漏洞发布了安全补丁，并敦促其用户更新他们的应用程序。 相关报告： 《 CVE-2017-8046: RCE in PATCH requests in Spring Data REST 》 消息来源：Security Affairs，编译：榆榆，校审：FOX; 本文由 HackerNews.cc 编译整理，封面来源于网络； 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。