HackerNews 编译，转载请注明出处： 固件安全与供应链风险管理公司 Binarly 周二报告称，联想设备受到多个漏洞影响，其中一些漏洞可能允许攻击者在目标系统上部署持久性植入程序。 Binarly 在联想一体台式机中发现了总共六个漏洞，具体存在于系统管理模式（SMM）中，这是一种用于低级系统管理的操作模式。 由于 SMM 在操作系统加载之前启动，并且在重新安装系统后仍然存在，因此对于试图绕过安全启动（旨在确保启动时仅加载可信软件的安全功能）并部署隐蔽恶意软件的威胁行为者来说，它可能是一个理想目标。 这些漏洞已被分配 CVE 标识符，从 CVE-2025-4421 到 CVE-2025-4426。其中四个被评为 “高严重性”，其余则被归类为 “中严重性”。 高严重性漏洞属于内存损坏问题，可能导致在 SMM 中发生权限提升和任意代码执行。中严重性漏洞可能导致信息泄露和安全机制被绕过。 能够接触到目标联想设备的威胁行为者可利用这些漏洞绕过 SPI 闪存保护措施和安全启动，部署能在操作系统重新安装后仍然存在的植入程序，甚至破坏虚拟机监控程序隔离。 Binarly 于 4 月向联想报告了这些漏洞，厂商在 6 月确认了相关发现。目前，联想已提供补丁和缓解措施。 联想和 Binarly 均将于周二发布描述这些漏洞的安全公告。       消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 攻击者可利用近期修复的macOS漏洞绕过“透明化、同意与控制”（TCC）隐私保护机制，窃取包括苹果智能系统缓存数据在内的敏感信息。TCC作为核心安全技术，通过管控应用程序对用户数据的访问权限保障苹果设备隐私安全。 该漏洞编号CVE-2025-31199（由微软研究员Jonathan Bar Or、Alexia Wilson和Christine Fossaceca报告），苹果已在3月发布的macOS Sequoia 15.4更新中通过“改进数据擦除机制”完成修复。 尽管苹果严格限制仅授予全磁盘访问权限的应用程序调用TCC功能，并自动拦截未授权代码执行，但微软安全团队发现攻击者可滥用Spotlight插件的特权访问权限突破限制。今日发布的报告证实：此漏洞（被命名为”Sploitlight”，苹果官方定性为“日志记录问题”）能窃取高价值数据，涵盖苹果智能系统相关信息及关联iCloud账户的其他设备远程数据。 具体可泄露数据类型包括但不限于： 照片视频元数据及精准地理定位信息 人脸识别数据与用户活动记录 相册/共享图库及搜索历史偏好 已删除媒体文件与AI生成内容标签 技术原理溯源 自2020年起，苹果已修复多起TCC绕过漏洞，包括利用时间机器挂载（CVE-2020-9771）、环境变量污染（CVE-2020-9934）及捆绑包逻辑缺陷（CVE-2021-30713）等手法。微软研究人员此前还披露powerdir（CVE-2021-30970）和HM-Surf等漏洞，同样可导致私人数据泄露。 微软特别指出：“虽然与HM-Surf等历史漏洞类似，但Sploitlight因能提取苹果智能系统缓存的高度敏感信息（如精确定位数据、人脸识别记录、用户偏好等）而危害更甚。结合iCloud账户的设备关联特性，攻击者甚至可获取同一账户下其他设备的远程信息，进一步扩大风险范围”。 微软近年macOS高危漏洞发现记录 Shrootless（2021年，CVE-2021-30892）：绕过系统完整性保护（SIP）安装rootkit Migraine（2023年，CVE-2023-32369）与Achilles（2022年，CVE-2022-42821）：突破门禁（Gatekeeper）执行限制部署恶意软件 内核扩展漏洞（2024年，CVE-2024-44243）：加载恶意第三方内核驱动       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 超过10000个使用WordPress的网站因“HT Contact Form”插件（适用于Elementor页面生成器、Gutenberg区块及表单构建）的三个关键安全漏洞面临完全控制风险。 这些漏洞包括任意文件上传、任意文件删除和任意文件移动，允许未经验证的攻击者执行恶意代码、删除关键文件或转移文件位置。Wordfence最新报告指出，三大漏洞均可导致远程代码执行和网站完全沦陷。 最严重的漏洞（CVE-2025-7340，CVSS严重性评分9.8）因插件的temp_file_upload()函数缺乏验证机制，使攻击者能够上传任意类型文件（包括可执行的PHP脚本）。这些文件被存储在公开目录，可直接访问执行。 第二项漏洞（CVE-2025-7341）通过temp_file_delete()函数实现任意文件删除。攻击者通过删除wp-config.php文件可使网站进入设置模式，若指向新数据库则获取完全控制权。 第三项漏洞（CVE-2025-7360）涉及handle_files_upload()函数的任意文件移动功能。该函数未能正确过滤文件名，使攻击者能移动关键文件，达到与文件删除相同的破坏效果。 站点所有者应对措施 研究人员vgo0和Phat RiO通过漏洞奖励计划向Wordfence披露漏洞。Wordfence于7月8日联系插件开发商HasTech IT后，修复补丁已于五天后（7月13日）发布。 Wordfence声明：“鉴于漏洞的严重性，我们强烈建议WordPress用户立即检查并更新至HT Contact Form插件的最新修复版本。”同时建议用户： 保持插件与主题更新 及时安装供应商补丁 采用具备文件上传和目录遍历防护的安全方案 “若您身边有人使用此插件，请务必分享此安全通告，这些漏洞构成重大威胁。”         消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现，霍尼韦尔旗下Tridium公司开发的Niagara框架存在十余个安全漏洞。在特定配置下，处于同一网络的攻击者可利用这些漏洞攻陷系统。 Nozomi Networks Labs在上周发布的报告中指出：“如果Niagara系统配置错误，导致特定网络设备的加密功能被禁用，则这些漏洞均可被完全利用。若组合使用，处于同一网络（例如中间人位置）的攻击者将能攻陷整个Niagara系统。” Niagara Framework由霍尼韦尔的独立业务实体Tridium开发。它是一个厂商中立的平台，用于管理和控制来自不同制造商的各种设备（如暖通空调（HVAC）、照明、能源管理和安防系统），使其在楼宇管理、工业自动化和智能基础设施环境中成为极具价值的解决方案。它由两个关键组件构成： 站点 (Station)：负责与联网设备及系统通信并实施控制。 平台 (Platform)：提供创建、管理和运行站点所必需的底层软件环境服务。 Nozomi Networks发现的这些漏洞，可在Niagara系统配置不当导致网络设备加密功能关闭时被利用，为攻击者打开横向移动和更广泛运营中断的大门，影响安全性、生产力和服务连续性。 已发现的最严重问题包括： CVE-2025-3936 (CVSS 评分：9.8) – 关键资源的权限分配不当 CVE-2025-3937 (CVSS 评分：9.8) – 使用计算强度不足的密码哈希值 CVE-2025-3938 (CVSS 评分：9.8) – 缺少加密步骤 CVE-2025-3941 (CVSS 评分：9.8) – Windows: DATA 备用数据流处理不当 CVE-2025-3944 (CVSS 评分：9.8) – 关键资源的权限分配不当 CVE-2025-3945 (CVSS 评分：9.8) – 命令中参数分隔符过滤不当 CVE-2025-3943 (CVSS 评分：7.3) – 在敏感查询字符串中使用GET请求方法 Nozomi Networks表示，他们能够构造一个结合CVE-2025-3943和CVE-2025-3944的漏洞利用链。该利用链可使同一网络上具有访问权限的相邻攻击者入侵基于Niagara的目标设备，最终实现root级远程代码执行。 具体而言，在系统日志服务（Syslog）启用的情况下，攻击者可利用CVE-2025-3943漏洞拦截反跨站请求伪造（CSRF）刷新令牌——包含该令牌的日志可能通过未加密通道传输。 获取令牌后，攻击者可触发CSRF攻击，诱骗管理员访问特制链接，导致所有传入HTTP请求和响应的内容被完整记录。攻击者随后提取管理员的JSESSIONID会话令牌，并利用该令牌以完全提升的权限连接到Niagara站点，创建一个新的后门管理员用户以实现持久访问。 在攻击的下一阶段，攻击者滥用管理权限，下载与设备TLS证书关联的私钥，并利用站点和平台共享相同证书及密钥基础设施这一事实，实施中间人（AitM）攻击。控制平台后，攻击者利用CVE-2025-3944漏洞即可在目标设备上实现root级远程代码执行，完成全面接管。经过负责任的披露流程，这些问题已在Niagara Framework 和 Enterprise Security 的4.14.2u2、4.15.u1或4.10u.11版本中得到修复。 “由于Niagara通常连接关键系统，有时还桥接着物联网（IoT）技术和信息技术（IT）网络，它可能成为一个高价值目标，”该公司表示，“鉴于Niagara驱动的系统可控制关键功能，如果实例未按照Tridium的加固指南和最佳实践进行配置，这些漏洞可能对运营弹性和安全性构成高风险。” 此次漏洞披露之际，PROFINET协议的开源实现库P-Net C也被发现存在多个内存破坏漏洞。若成功利用，这些漏洞可让具有目标设备网络访问权限的未认证攻击者触发拒绝服务（DoS）条件。 “从实际角度看，利用CVE-2025-32399漏洞，攻击者可强制运行P-Net库的CPU陷入无限循环，消耗100%的CPU资源，” Nozomi Networks解释道，“另一个漏洞CVE-2025-32405则允许攻击者在连接缓冲区边界之外进行写入，破坏内存并使设备完全无法使用。” 这些漏洞已在2025年4月底发布的该库1.0.2版本中修复。 近几个月来，罗克韦尔自动化（Rockwell Automation）的PowerMonitor 1000、博世力士乐（Bosch Rexroth）的ctrlX CORE控制器以及稻叶电机产业（Inaba Denki Sangyo）的IB-MCT001摄像头也被发现存在多个安全缺陷，可能导致任意命令执行、设备被接管、拒绝服务（DoS）、信息窃取，甚至能远程访问监控实时画面。 美国网络安全和基础设施安全局（CISA）在关于IB-MCT001漏洞的公告中指出：“成功利用这些漏洞可能使攻击者获取该产品的登录密码、获得未授权访问、篡改产品数据，和/或修改产品设置。”       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 德国工业自动化解决方案提供商Helmholz生产的路由器近期被发现并修补了多个潜在严重漏洞。上周，德国CERT@VDE发布公告，披露了Helmholz旗下REX 100路由器中存在的八个漏洞，这些漏洞使组织能够远程访问和管理工业网络，安全风险由此曝光。 Helmholz路由器通过遍布60个国家的合作伙伴网络在全球销售，覆盖北美、欧洲和亚洲等地区。根据CERT@VDE公告，其中三个漏洞被评定为“高危”级别，均允许拥有高权限的攻击者通过特制请求执行任意操作系统命令。其余问题归类为“中危”，可被用于SQL注入、XSS攻击及拒绝服务攻击（包括未认证的DoS）。 供应商已发布REX 100路由器固件版本2.3.3修复这些漏洞，此前所有固件版本均受影响。这些漏洞是由工业网络安全公司CyberDanube在奥地利一所大学组织的实验室演习中发现。尽管官方CVSS评分不高，但该公司认为部分漏洞实际危害严重。 CyberDanube指出，虽然多数漏洞需认证才能利用，但设备存在默认凭证，可能被攻击者绕过此限制。部分漏洞可让攻击者以root权限在目标设备上执行任意代码，导致服务中断、通信拦截或转向攻击网络内其他系统。 另一个潜在风险在于该工业路由器永久连接至供应商的云端环境——用户通过Web界面管理和配置工业网络设备的基础。若攻击者发现该云系统漏洞，可能入侵其他客户设备，造成“灾难性”后果。CyberDanube已发布包含技术细节和漏洞利用代码（PoC）的独立公告。       消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 思科（Cisco）警告称，其身份服务引擎（Identity Services Engine, ISE）中近期修复的三个严重远程代码执行（RCE）漏洞现遭积极利用。 尽管该供应商未具体说明漏洞如何被利用以及攻击是否成功，但尽快应用安全更新变得至关重要。 “2025年7月，思科产品安全事件响应团队（PSIRT）获悉这些漏洞中的一部分在野外遭到尝试性利用，”更新后的公告中写道。 “思科继续强烈建议客户升级至已修复的软件版本以修补这些漏洞。” 思科身份服务引擎（ISE）是一个使大型组织能够控制网络访问并执行安全策略的平台。 这些最高严重性的漏洞最初由供应商于2025年6月25日（CVE-2025-20281 和 CVE-2025-20282）和2025年7月16日（CVE-2025-20337）披露。 以下是这些漏洞的简要描述： CVE-2025-20281：思科身份服务引擎（ISE）及ISE被动身份连接器（ISE-PIC）中存在严重的未认证远程代码执行漏洞。攻击者可发送特制的API请求，无需认证即可在底层操作系统上以root权限执行任意命令。已在ISE 3.3 Patch 7 和 3.4 Patch 2 中修复。 CVE-2025-20282：思科ISE及ISE-PIC 3.4版本中存在严重的未认证任意文件上传与执行漏洞。文件验证缺失允许攻击者将恶意文件上传至特权目录并以root权限执行。已在ISE 3.4 Patch 2 中修复。 CVE-2025-20337：影响思科ISE及ISE-PIC的严重未认证远程代码执行漏洞。攻击者可利用输入验证不足的缺陷，通过特制API请求获取root权限，无需凭证。已在ISE 3.3 Patch 7 和 3.4 Patch 2 中修复。 这三个漏洞均被评为最高严重性（CVSS评分：10.0），且无需认证即可远程利用，这使其成为黑客寻求侵入企业网络的宝贵目标。 思科此前曾因漏洞发现时间不同，为这三个漏洞分别发布了两次单独的热修复补丁。为一次性缓解所有漏洞，建议管理员采取以下措施： ISE 3.3 用户必须升级至 Patch 7 ISE 3.4 用户必须升级至 Patch 2 使用 ISE 3.2 或更早版本的用户不受影响，无需采取任何措施。 这三个漏洞没有可行的缓解措施（Workaround），因此应用更新是唯一推荐的解决途径。       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 欧洲中部大型医疗网络运营商AMEOS集团宣布遭遇安全漏洞，可能导致客户、员工及合作伙伴信息泄露。 该组织在其网站上发表声明（根据《通用数据保护条例》(GDPR) 第34条要求，发生数据泄露时必须发布公开通知）。 AMEOS是一家总部位于苏黎世的医疗保健提供商，在瑞士、德国和奥地利拥有100多家医院、诊所、康复中心和护理院，员工达18,000人。 它是更广泛的DACH（德国、奥地利、瑞士德语区）地区最大的私立医院集团之一，拥有超过10,000张床位，年收入超过14亿美元。 AMEOS表示，尽管已采取“广泛的安全措施”，但外部行为者未经授权访问了其IT系统并获取了敏感信息。 公告中写道：“患者、员工和合作伙伴的数据——以及与您或您公司相关的联系信息——可能因未授权访问而受到影响。不能排除这些数据可能在互联网上被滥用，损害受影响方的利益，或提供给第三方。” 作为应对，AMEOS已关闭所有IT系统并终止所有外部和内部网络连接。此外，它加强了现有措施，并聘请了外部IT和取证专家协助响应工作。 已相应通知了相关国家的数据保护机构，并向警方提起了刑事申诉。 建议曾在AMEOS机构接受过护理的人员警惕网络钓鱼和诈骗企图。 该医疗保健提供商表示，迄今为止，没有迹象表明被访问的数据已在网上传播。 调查仍在进行中，AMEOS承诺将在获得新信息后提供更新。 该组织声明：“目前，我们没有具体证据表明您的个人数据确实发生了泄露。正在进行的审查和调查措施完成后，我们将通过本页面立即通知您。” 截至本文撰写时，尚无主要勒索软件组织宣称对AMEOS的攻击负责。该组织未说明攻击是否涉及数据加密，因此事件类型和肇事者尚不清楚。       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软周日发布了针对SharePoint中一个正被恶意利用的安全漏洞的补丁，并同时公布了另一个漏洞的细节，该漏洞已通过“更强大的防护措施”得到解决。 微软承认，“目前发现攻击者正利用7月安全更新中未完全修复的漏洞，针对本地部署的SharePoint Server客户发起攻击”。 被利用的漏洞编号为CVE-2025-53770（CVSS评分：9.8），属于高危远程代码执行漏洞。该漏洞源于本地部署的Microsoft SharePoint Server在处理不可信数据时存在反序列化缺陷。 新披露的漏洞是一个SharePoint欺骗漏洞（CVE-2025-53771，CVSS评分：6.3）。一位匿名安全研究员因发现并报告该漏洞获得了微软官方致谢。 微软在2025年7月20日发布的安全公告中指出：“Microsoft Office SharePoint存在路径遍历漏洞，由于对受限目录的路径名限制不当，导致授权攻击者可通过网络实施欺骗攻击。” 微软还指出，CVE-2025-53770和CVE-2025-53771与另外两个SharePoint漏洞（CVE-2025-49704和CVE-2025-49706）存在关联，这些漏洞可被串联利用形成远程代码执行攻击链。该攻击链被称为ToolShell，已在微软2025年7月“补丁星期二”更新中得到修复。 微软表示：“针对CVE-2025-53770的更新比CVE-2025-49704的修复措施更完善”，“针对CVE-2025-53771的更新也比CVE-2025-49706的防护能力更强”。 值得注意的是，微软此前曾将CVE-2025-53770归类为CVE-2025-49706的变体漏洞。对此，微软发言人向媒体解释：“公司优先保障更新推送，同时会及时纠正内容不准确之处。”微软强调当前发布的信息准确无误，表述差异不影响对客户的安全指导。 这两个漏洞仅影响本地部署的SharePoint服务器，不涉及Microsoft 365中的SharePoint Online。目前已修复的版本包括： Microsoft SharePoint Server 2019（16.0.10417.20027） Microsoft SharePoint Enterprise Server 2016（16.0.5508.1000） Microsoft SharePoint Server Subscription Edition Microsoft SharePoint Server 2019 Core Microsoft SharePoint Server 2016（待确认） 为防范潜在攻击，建议用户采取以下措施： 使用受支持的本地SharePoint版本（SharePoint Server 2016、2019及Subscription Edition） 立即安装最新安全更新 开启反恶意软件扫描接口（AMSI）并启用全模式防护，同时配置Defender Antivirus等杀毒软件 部署Microsoft Defender for Endpoint或同类威胁防护解决方案 轮换SharePoint Server的ASP.NET机器密钥 微软特别提醒：“安装上述安全更新或启用AMSI后，必须轮换SharePoint服务器的ASP.NET机器密钥，并重启所有SharePoint服务器的IIS服务。若无法启用AMSI，安装更新后也需立即轮换密钥。” 有安全公司向媒体透露，已有至少54家机构遭受攻击，包括银行、高校及政府部门。据该公司称，攻击活动始于7月18日左右。 美国网络安全和基础设施安全局（CISA）已将CVE-2025-53770纳入已知被利用漏洞目录，要求联邦民用行政机构在2025年7月21日前完成修复。 帕洛阿尔托网络公司（Palo Alto Networks）旗下Unit 42团队也在追踪这起“高影响、持续性威胁事件”，指出政府、教育机构、医疗机构（含医院）及大型企业面临直接风险。 Unit 42首席技术官兼威胁情报负责人Michael Sikorski表示： “攻击者正绕过MFA和SSO等身份验证机制获取特权访问权限。入侵后会窃取敏感数据、植入持久化后门并盗取加密密钥。攻击者已利用该漏洞建立攻击据点。” “本地SharePoint服务器若暴露在公网环境，应假定已遭入侵。仅靠补丁无法彻底清除威胁。更危险的是SharePoint与微软生态的深度整合，Office、Teams、OneDrive和Outlook等服务存储的敏感信息都会成为攻击目标，一次入侵可能导致整个网络沦陷。” 该安全厂商将此次事件列为高严重度、高紧急度威胁，敦促本地SharePoint用户立即安装补丁、轮换加密凭证并启动事件响应流程。Sikorski补充道：“临时应急方案可先断开SharePoint服务器的公网连接直至补丁部署完成。错误的安全认知可能导致威胁持续扩散。” （事件仍在发展中，请关注后续更新。）       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软于周六向 SharePoint Server 客户发出紧急警告，称攻击者正在利用该软件产品中的一个零日漏洞（CVE-2025-53770，CVSS 评分为 9.8）。 目前尚无针对该漏洞（被命名为“ToolShell”）的补丁，微软称其为 CVE-2025-49706 的变种。这家总部位于华盛顿州雷德蒙德的科技巨头表示，安全更新正在开发中，并提供了缓解措施和检测指导。安全团队应立即采取行动，在此期间实施缓解措施。 谷歌发言人告诉 SecurityWeek：“谷歌威胁情报小组观察到威胁行为者利用此漏洞安装 Webshell，并从受害者服务器窃取加密密钥。这会导致持续的、未经身份验证的访问，并对受影响的组织构成重大风险。” 安全公司 Eye Security 表示，他们发现“数十个系统遭到主动入侵”，入侵可能发生在 7 月 18 日 18:00 左右（中欧时间）和 7 月 19 日 07:30 左右（中欧时间）的攻击中。 Palo Alto Networks Unit42 团队周六表示，他们也观察到影响 Microsoft SharePoint 的漏洞 CVE-2025-49704 和 CVE-2025-49706 正被积极利用。 微软在其安全公告中解释道：“为保护本地 SharePoint Server 环境，建议客户在 SharePoint 中配置 AMSI 集成，并在所有 SharePoint 服务器上部署 Defender AV。这将阻止未经身份验证的攻击者利用此漏洞。” Mandiant Consulting – Google Cloud 首席技术官查尔斯·卡玛卡尔评论道：“各组织需要立即实施缓解措施（并在补丁可用时应用），假设系统已遭入侵，调查在补丁/缓解措施应用之前系统是否已被入侵，并采取补救措施。”       消息来源： securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 入侵企业网络的黑客可以将管理员的生物识别数据替换为自己的面部信息，从而解锁敏感的Windows系统。研究人员警告称，面部识别模板所受到的安全保护，比它们要解锁的系统更为薄弱。 ERNW研究人员声称，Windows Hello企业版（该系统通过面部识别或其他生物特征验证用户身份）存在固有的架构缺陷。黑客能够操纵并替换Windows中存储的生物识别模板，随后用自己的面部解锁本应由这些模板保护的系统与数据。 攻击者需先获得已入侵到组织内部网络（通常连接到公司域）计算机的访问权限，同时还需将自身权限提升至本地管理员级别。满足这些条件后，攻击者即可篡改Windows Hello用于用户登录时识别人脸的生物识别模板。 黑客可借此阻止合法用户访问系统，或进行“换脸”操作——用自己的面部登录IT人员甚至域管理员的账户。 研究人员在insinuator.net的博客文章中解释：“此架构存在一些挑战。首先，生物特征识别与身份验证之间仅有松散的耦合关系。此外，系统在任何环节均未引入外部熵来生成加密密钥。” 尽管Windows对生物识别模板进行了加密，但解密所需的所有信息都存储在计算机本地。研究人员声称：“拥有管理员权限的攻击者可解密此文件头，访问其中存储的所有信息，并加以篡改。” 这也意味着，能物理接触机器的攻击者可能解锁敏感数据（如电子邮件、文件和内部系统）。黑客可滥用此权限在网络中横向移动，攻击其他计算机。 该威胁并非理论假设：研究人员已发布概念验证，仅依赖Windows内置工具即可实现攻击，以此证明攻击的简易性。“两名用户已注册Windows Hello企业版。其中至少一名是域用户，另一名是本地管理员，”报告描述道，“我们的概念验证程序交换了各自WINBIO_IDENTITY结构中的安全标识符。现在，本地管理员的面部可解锁域用户账户，反之亦然。” 研究人员已向微软报告此漏洞，但他们预计这家科技巨头不会修复问题，因为“过去类似问题均未解决”，且修复“需要对系统架构进行大规模重构”。 为何攻击者能解锁Windows生物识别模板并实施“换脸”？ Windows将生物识别数据存储在包含三部分的数据库中：通过CryptProtectData加密的文件头（内含生物识别模板密钥）、未加密的文件头版本信息，以及加密的模板本体。 虽然CryptProtectData使用用户密码生成密钥，但Windows生物识别服务以系统账户NT AUTHORITY\SYSTEM运行，这意味着派生密钥所需数据均存储于系统本地。拥有管理员权限的攻击者可解密数据库，访问并篡改其中所有信息。 研究人员指出，防范此类“换脸”攻击的唯一解决方案是“将用户的生物特征用作熵源”，但这需要对系统进行彻底重构。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文