在经历了来自科技行业和隐私倡导者长期的抗议和批评之后，8月3日，印度电子和信息技术国务部长Rajeev Chandrasekhar宣布，于2019年颁布的《数据保护法案》已正式撤回。 Chandrasekhar表示，这部法案的一些规定超出了数据保护范围，一些复杂性措施也增加了中小企业的合规负担，比如对跨境数据流动进行严格监管、强制要求共享部分“非个人”数据等。 据悉，印度是受数据泄露影响最严重的国家之一，而且该国的网络犯罪也有显著增加。为了扭转这一局面，莫迪政府一直在寻求强有力的法案支撑。但此次撤回的《数据保护法案》在实施时，就造成莫迪政府与大型科技公司之间的关系变得紧张，科技公司反对法案中的一些条款，包括将施加甚至严格的数据本地化要求、对跨境数据流动进行严格限制等。 隐私倡导者也批评该提案赋予了政府机构向公司索取用户数据的权力，Access Now的亚太区政策顾问Namrata Maheshwari表示，印度未能通过一个联邦隐私和数据保护框架，体现了政府本末倒置的做法——授权增加收集和利用个人数据，而不首先确保人们的信息将是安全和可靠的。 此次法案的撤回被不少人认为是科技公司的胜利，安库拉咨询集团的高级董事总经理Amit Jaju表示，这是一个值得欢迎的消息，因为现有的草案变得不切实际，不符合全球基准。但同时，2022年的印度公司已经成为大规模数据泄露的受害者，在没有数据保护法的情况下，个人数据将几乎得不到任何保护。 至于接下来的措施，莫迪政府表示接下来会推出一个包括隐私在内的科技监管 “综合框架”，有望在2023年初获得批准。 转自 FreeBuf，原文链接：https://www.freebuf.com/news/341137.html 封面来源于网络，如有侵权请联系删除

攻击者从区块链平台Solana窃取了超过500万美元，具体的失窃原因仍在进一步调查中调查中。 总部位于旧金山的去中心化区块链平台Solana，昨天上午在官方Twitter上确认了这一事件，Solana声称此次攻击有7767个钱包受到影响，其中包括了Slope和Phantom用户，并要求受影响的用户填写一份在线调查，以帮助其工程师查清事情的真相。 Solana声称他们的工程师们目前正在与多个安全研究人员和生态系统团队合作，以确定该漏洞的根本原因，现在虽然没有直接证据表明硬件钱包受到了影响。但还是强烈建议用户使用硬件钱包并且不要在硬件钱包上重复使用的种子短语，而应该创建使用独立的种子短语。被排出的钱包应被用户视为受到损害的状态，并要及时放弃。 Solana将自己宣传为 “世界上最快的区块链 “和 “加密货币中增长最快的生态系统”，拥有成千上万的项目，涉及DeFi、NFTs、Web3和其他领域。 Pixel Privacy消费者隐私的Chris Hauk对外界解释道，Solana攻击只是最近一系列对加密货币的攻击中的最新一次。面对这些攻击，用户普遍希望撤销他们钱包上的任何第三方权限，直到Solana和其他被攻击的交易所完全修复产生这些攻击问题的漏洞。投资者也应该把他们的加密货币从热钱包转移到冷钱包。” 这一事件是一连串针对加密货币公司漏洞事件的衍生，其中包括有史以来最大的一次加密货币盗窃案，当时朝鲜黑客从以太坊侧链Ronin Network盗窃了近6.2亿美元，这超过了去年8月在Poly Network发生的6.1亿美元的攻击案。 转自 FreeBuf，原文链接：https://www.freebuf.com/news/341112.html 封面来源于网络，如有侵权请联系删除

据悉，蔡英文办公室网站和台湾政府运营的几个网站遭到分布式拒绝服务 (DDoS) 攻击。据美国全国广播公司新闻报道，共袭击了四个网站，分别是蔡英文办公室网站、台防部网站、外交部网站和台湾最大的机场台湾桃园国际机场网站。美国东部时间周二下午可以访问台防部网站和外交部的网站，但台湾桃园国际机场的网站仍然没有响应。 对网站的 DDoS 攻击 黑客指挥大量计算机同时访问网站，使网站不堪重负最终导致无法访问。DDoS 类型的攻击难以检测，但需要最少的技能或基础设施来进行攻击。专家说，这些类型的攻击不会造成任何永久性损害。 蔡英文的一位发言人在 Facebook 上表示，蔡英文办公室官网遭受境外分布式拒绝服务攻击(DDoS)，攻击流量为平日的200倍，导致官网一度无法显示。经处置后，已恢复正常运作。监控网站流量的公司 Kentik 的互联网分析主管 Doug Madory 表示，他可以在那些间歇性无法访问的网站上看到“DDoS 攻击的证据”。 当局表示，网站经抢修后已于20分钟内恢复正常运作，强调会持续加强监控，以维护信息通讯安全，以及各关键基础设施稳定运作。然而至晚上9时，有关网站再次无法登入，页面空白仅显示“NOT ALLOW”字眼。 “大到足以有效但不是破纪录，”马多里在一条短信中说。 网络安全公司 Mandiant 情报分析副总裁 John Hultquist 表示：“虽然这些黑客有时会进行 DDoS 攻击，但此类攻击通常也是黑客活动家的名片”。 目前仍不确定是谁发动了袭击。 转自 E安全 ，原文链接：https://mp.weixin.qq.com/s/Cto3gxLoau2g-cYniR2TMA 封面来源于网络，如有侵权请联系删除

有人说，目前的加密技术在未来可能会被量子计算机破解。为了对此做好准备，Cloudflare正在推出一项后量子实验，以增加对两种混合后量子密钥协议（X25519Kyber512Draft00和X25519Kyber768Draft00）的支持，所有网站所有者都可以报名参加。这些密钥协议将与现有的加密方案一起工作，以确保兼容性。 目前在网站上添加这些密钥协议不会有什么作用，因为还没有网络浏览器支持它们。浏览器遇到这些加密方案时将退回到现有的方式，因此自然也不具有抗量子性。Cloudflare表示，互联网将在未来几年内向量子加密技术发展，并希望这个测试版能给其客户一个尝试的先机。 Cloudflare正在使用的后量子密码学被称为Kyber。上个月，美国国家标准与技术研究所（NIST）决定对Kyber进行标准化，最终规范将于2024年出台。通过启动这项试验，Cloudflare希望能推动后量子密码学的采用。 就特点而言，Kyber使用更大的密钥和使用更多的内存。Cloudflare认为，如果Kyber单独使用，对网站的连接可能会更快，但在这次试验中，使用的是混合模式，所以连接速度会慢一些。 如果你想在你的一个域名上进行测试，请查看Cloudflare控制后台的综合步骤来设置它。请注意，Kyber将在未来几个月接受向后兼容的变化，Cloudflare的实施将改变，以与其他早期采用者兼容。此外，如果社区发现任何问题，那么将在Cloudflare的实施中加入解决方法。由于变化的速度很快，Cloudflare不能保证长期稳定或持续支持。 转自 cnBeta ，原文链接：https://www.cnbeta.com/articles/tech/1300849.htm 封面来源于网络，如有侵权请联系删除

近日，思科修复了一组影响小型企业 VPN 路由器的关键漏洞，该组漏洞允许未经身份验证的攻击者在易受攻击设备上执行任意代码或指令。 安全研究人员在基于 Web 管理界面和 Web 过滤器的数据库更新功能中发现了这组安全漏洞（分别追踪为 CVE-2022-20842 、 CVE-2022-20827 ），经过分析后发现，该组漏洞均是由输入验证不足引起的。 这些漏洞影响的路由器主要包括 Small Business RV160、RV260、RV340和 RV345 系列 VPN 路由器（CVE-2022-20842 仅影响最后两个）。 受漏洞影响的路由器系列 攻击者利用漏洞能够执行任意命令 安全研究人员披露，攻击者可以利用 CVE-2022-20842 配合精心制作的 HTTP 输入，在底层操作系统上以“root”身份执行任意代码或重新加载设备，从而导致 DoS 条件。 对于 CVE-2022-20827，攻击者能够利用该漏洞向 Web 过滤器数据库更新功能提交精心设计的输入指令，以“ root”权限在底层操作系统上执行任意命令。 上述漏洞由 IoT Inspector 研究实验室、Chaitin 安全研究实验室和 CLP 团队的安全研究人员发现。目前，思科已经发布了软件更新来解决这两个漏洞，但强调没有解决方法能够消除攻击向量。 其它漏洞也已修复 值得一提的是，思科近日修补了 RV160、RV260、RV340 和 RV345 系列路由器开放即插即用 (PnP) 模块中的高严重性漏洞 (CVE-2022-20841)。如果用户不及时更新补丁，攻击者可以利用该漏洞向未打补丁的设备发送恶意指令，在底层 Linux 操作系统上执行任意操作。 上月，思科还解决了 Cisco Nexus Dashboard 数据中心管理解决方案中的另一组严重安全漏洞，这些漏洞允许未经身份验证的攻击者使用 root 或管理员权限远程执行任意命令和操作。 转自 FreeBuf，原文链接：https://www.freebuf.com/news/341009.html 封面来源于网络，如有侵权请联系删除

Hackernews 编译，转载请注明出处： Google修补了Android操作系统中的一个关键漏洞，跟踪为CVE-2022-20345，可利用该漏洞通过蓝牙实现远程代码执行。 Google没有透露有关该漏洞的其他细节。 “本节中最严重的漏洞可能导致通过蓝牙远程执行代码，而不需要额外的执行权限。”Google发布的安全公告中写道。 Google通过发布安全补丁级别“2022-08-01”和“2022.08-05”解决了这个问题。 CVE-2022-20345漏洞是Google本月唯一被评为“严重”的漏洞。其他所有漏洞都被评为“高危”。这些漏洞影响了框架、媒体框架、系统、内核、想象技术、联发科技、Unisoc和高通组件。 Google还修补了Google Pixel设备中的数十个安全漏洞，包括四个关键的远程代码执行漏洞，跟踪如下： CVE REFERENCES TYPE SEVERITY COMPONENT CVE-2022-20237 A-229621649 * RCE Critical Modem CVE-2022-20400 A-225178325* RCE Critical Modem CVE-2022-20402 A-218701042 * RCE Critical Modem CVE-2022-20403 A-207975764 * RCE Critical Modem   消息来源：securityaffairs，译者：Shirley； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc ” 并附上原文

据Kotaku报道，近日，NBA洛杉矶湖人队老板珍妮·巴斯的推特账户被黑客盗取，并在其推特账号上发布有关于PS5的骗局广告。黑客在盗取珍妮·巴斯的账户后，用其账号发文称，作为全球知名球队的拥有者，她将为了慈善事业，把自己手中的三台PS5进行义卖。 珍妮·巴斯在推特上有43万的粉丝，有些人发现了这条推文端倪，其并未明确的说明合作慈善机构的具体信息，提供的汇款账户也存在异常。珍妮·巴斯在发现账户被盗后，通过湖人队的官方账号说明了此事。目前她已经重新登陆账号，并删除了这条诈骗推文。 转自 cnBeta ，原文链接：https://www.cnbeta.com/articles/tech/1300329.htm 封面来源于网络，如有侵权请联系删除

Hackernews 编译，转载请注明出处： 安全研究人员发现了一个名为ParseThru的新漏洞，该漏洞会影响基于Golang的应用程序，这些应用程序可能会被滥用以未经授权访问基于云的应用程序。 以色列网络安全公司Oxeye在与The Hacker News分享的一份报告中表示：“由于使用了该语言内置的不安全URL解析方法，新发现的漏洞允许黑客在某些情况下绕过验证。” 这个问题的核心在于，与引入Golang的URL解析逻辑(在“net/url”库中实现)的更改导致的不一致有关。 虽然1.17之前的编程语言版本将分号视为有效的查询分隔符（例如，example.com？a=1;b=2&c=3），但此行为已被修改为在找到包含分号的查询字符串时引发错误。 现在，带有非百分比编码分号的设置将被拒绝，在请求URL中遇到警告时，net/http服务器将向‘Server.ErrorLog’记录警告。 当构建在版本1.17或更高版本上的基于Golang的公共API与运行早期版本的后端服务进行通信时，就会出现问题，从而导致黑客可以走私包含查询参数的请求，否则这些请求将被拒绝。 简而言之，这个想法是发送在查询字符串中包含分号的特制请求，面向Golang API的用户会忽略该请求，但内部服务会处理它。 Oxeye表示，它在Harbor、Traefik和Skipper等开源项目中发现了几个ParseThru实例，这使得绕过现有的验证并执行未经授权的操作成为可能。在向各供应商披露后，这些问题已得到解决。 这不是URL解析第一次引起安全问题。今年1月初，Claroty和Snyk披露了用C、JavaScript、PHP、Python和Ruby语言编写的第三方库中多达八个漏洞，这些漏洞源于URL解析中的混乱。   消息来源：TheHackerNews，译者：Shirley； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc ” 并附上原文  

Hackernews 编译，转载请注明出处： 虚拟化服务提供商VMware周二发布了更新，以解决影响多个产品的10个安全漏洞，这些漏洞可能被未经身份验证的攻击者滥用以执行恶意操作。 从CVE-2022-31656到CVE-202-31665（CVSS评分：4.7-9.8）跟踪的漏洞会影响VMware Workspace ONE Access、Workspace ONE Access Connector、Identity Manager、Identity Manager Connector、vRealize Automation、Cloud Foundation和vRealize Suite Lifecycle Manager。 其中最严重的漏洞是CVE-2022-31656 (CVSS评分：9.8)，这是一个影响本地域用户的身份验证绕过漏洞，具有网络访问权限的黑客可以利用该漏洞来获得管理访问权限。 VMware还解决了与JDBC和SQL注入相关的三个远程代码执行漏洞（CVE-2022-31658、CVE-022-31659和CVE-202-31665），这些漏洞可能被具有管理员和网络访问权限的对手武器化。 在其他地方，它还修复了一个反映的跨站点脚本（XSS）漏洞（CVE-2022-31663），该漏洞是用户清理不当的结果，可能会导致恶意JavaScript代码的激活。 其他补丁包括三个本地权限升级漏洞(CVE-2022-31660、CVE-2022-31661和CVE-2022-31664)，它们允许具有本地访问权限的参与者将权限升级为“root”，URL注入漏洞(CVE-2022-31657)和路径遍历漏洞(CVE-2022-31662)。 虽然成功利用CVE-2022-31657可以将经过身份验证的用户重定向到任意域，但CVE-202-31662可能会让攻击者以未经授权的方式读取文件。 VMware表示，它不知道有人在野外利用这些漏洞，但敦促使用易受攻击产品的客户立即应用补丁以缓解潜在威胁。   消息来源：TheHackerNews，译者：Shirley； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc ” 并附上原文

据网上流传的消息，加密货币Solana(代币：SOL)钱包出现未知的高危安全漏洞，黑客通过漏洞获取到用户钱包的私钥或者助记词，然后直接将钱包资产清空。 目前具体问题还不清楚，但如果用户使用SOL代币钱包请立即将所有资产转移到中心化的交易所进行过渡，防止资产被盗。 当前被盗的钱包数量还在增长、用户损失的资金量也在继续飙升，目前已经被盗的加密货币预估超过了1000万美元，涉及的SOL钱包包括Phantom和Slope等，这俩都是热钱包。 如果用户有硬件钱包的话也可以将资产转入到硬件钱包，这样安全性应该也可以提升不少。 区块链安全公司派盾发布的消息是上述钱包可能由于供应链问题，Phantom钱包则表示不相信这是他们特有的问题，但无论如何用户被盗的资金也不会找回来，钱包方面是不可能因为这类黑客攻击而赔偿用户的。 另外有专注于区块链诈骗的追踪者从钱包方面获取到部分蛛丝马迹，黑客将被盗资产转入的主钱包似乎是7个月前通过币安资助的。即这个钱包在之前有过交易记录，黑客通过币安交易所提币到这个钱包，这和交易所倒是没什么关系，但币安应该可以通过提币者信息来追踪黑客。 币安创始人赵长鹏也对该问题发布警告提醒用户尽快转移资产，不过目前还是没有确定黑客身份以及漏洞情况。 对Solana这个加密货币蓝点网此前就表示用户应该远离，之前Solana试图通过投票强行接管巨鲸账号，尽管后来投票被撤销但这种行为已经违背去中心化理念。 另外Solana这个加密货币存在非常明显的高度控盘问题，不排除是其团队和早期投资者高度控盘割韭菜。上述情况与此次安全问题虽然没有关联但也值得用户警惕，如果你在上次投票过后就跑路了那至少此次不会被这个黑客攻击事件所影响。 转自 cnBeta ，原文链接：https://www.cnbeta.com/articles/tech/1300213.htm 封面来源于网络，如有侵权请联系删除