Joomla 高危漏洞：允许远程攻击者创建高特权帐户、接管 CMS
Joomla CMS 项目组昨日发布 3.6.4 版本补丁修复两个”高危“漏洞：① CVE-2016-8870 允许攻击者在禁止注册的网站上创建账户；② CVE-2016-8869 则允许攻击者提升权限成为高特权账户。利用两者配合就能顺利接管 Joomla CMS 的安装。 10 月 18 日安全工程师 Demis Palma 发现了 CVE-2016-8870 漏洞，Joomla 安全团队（JSST）成员 Davide Tampellini 在三天后进一步发现了 CVE-2016-8869 漏洞。官方意识到漏洞危害后迅速发布公告并开始修复漏洞，为防黑客利用漏洞入侵脆弱的网站，工程师 Tampellini 和 JSST 团队拒绝透露漏洞详细信息。安全人员的担忧不无道理，2015 年 12 月中旬曾出现的 0-day 漏洞 CVE-2015-8562 由于细节过度曝光，两周内几乎每天发生 16600 起黑客试图接管 Joomla CMS 的攻击事件。 监控显示目前互联网中并未出现利用 CVE-2016-8870 和 CVE-2016-8869 漏洞的攻击代码，官方建议用户们尽快从官方或 Github 上下载 Joomla CMS 最新版本。 稿源：本站翻译整理，封面来源：百度搜索
简单方法一分钟绕过 PayPal 双重验证、登录账号
据外媒报道，英国安全研究员 Henry Hoggard 发现了一种绕过 PayPal 双重身份验证（ 2FA ）机制的简单方法，允许攻击者在不到一分钟内接管 PayPal 帐户。研究者是在没有电话信号的酒店中，手机无法接收2FA验证码短信的情景下发现了这种方法。在这种情境下，用户可通过点击“尝试其他方式”链接，回答预设安全问题登录。攻击者可以运行代理服务器拦截并保存 PayPal 服务器请求，攻击者只需从 HTTP 请求中删除“ securityQuestion0 ”和“ securityQuestion1 ”参数，即可完成数据篡改并欺骗 PayPal 授予登录账号。 Hoggard 在 10 月 3 日向 PayPal 报告了这个问题，10 月 21 日 PayPal 修复该身份验证漏洞。 稿源：本站翻译整理，封面来源：百度搜索
Valve Source 引擎存漏洞，可入侵电脑执行任意代码、开启摄像头
美国知名 CTF 战队 Shellphish 成员 Amat Cama 在 GeekPwn2016 黑客大赛公布用于众多流行游戏的 Valve Source 游戏引擎存在漏洞，攻击者利用漏洞可以入侵玩家电脑。漏洞可能影响数以千万计的游戏玩家。 Source 引擎由 Valve 软件公司开发，广泛应用于多款主流游戏，如 CS、反恐精英、绝地要塞等。Amat 找到了 Source 游戏引擎可以任意代码执行的漏洞，破解过程中，Amat Cama 邀请了一位正在现场进行直播的美女游戏主播上台参与互动。就在美女主播开始操作游戏后不久，Amat 就在不接触对方设备，不知道对方账号信息的情况下，侵入了正在游戏的电脑，还通过电脑摄像头监控了美女主播的实时视频。 据悉，为了让全球的黑客粉丝可以实时观看现场动态， GeekPwn 上海站开启了全球直播模式。 稿源：中国科学网，封面来源：百度搜索
思科 Anyconnect VPN 移动客户端提权漏洞，允许攻击者获得系统权限、执行任意文件
思科 AnyConnect 安全移动客户端 4.2.05015 及 4.3.02039 之前版本，由于错误地处理路径名导致本地用户可通过一个精心设计的 INF 文件获得特权。该漏洞允许经过身份验证的本地攻击者，以相当于 Microsoft Windows 操作系统系统账户的权限，安装和执行任意可执行文件。 稿源：securiteam.com，封面来源：百度搜索
思科会议服务器客户端身份验证绕过漏洞，允许攻击者冒充合法用户
周三思科对企业视频会议产品发布了一个更新，修复会议服务器客户端身份验证绕过漏洞（CVE-2016-6445）。该漏洞是由于可扩展消息与存在协议（XMPP）服务不正确地处理过时的身份验证方案，允许未经身份验证的远程攻击者伪装成合法用户访问系统。 Cisco Meeting Server 2.0.6 之前版本启用 XMPP 服务的将受到影响。 Acano Server prior to 1.8.18 之前版本及启用 XMPP 服务的 1.9.6 之前版本也将受到影响。 稿源：本站翻译整理，封面来源：百度搜索
监控设备制造商 AVTECH 不断忽略漏洞警告长达一年终曝光，影响 13 万多设备
台湾升泰科技公司 AVTECH 是全球领先的 CCTV 制造商之一，近日，匈牙利安全公司 Search-Lab 发表了一份 公告 详细的披露了 AVTECH 监控产品存在的 14 个漏洞。事实上早在 2015 年 10 月 19 日安全公司就尝试与 AVTECH 联系通报发现的漏洞，但没有收到回应，此后又进行了 3 次联系但都没有收到回应，最终 2016 年 10 月 11 日安全公司决定公开发现的问题。根据撒旦搜索引擎搜索结果，有超过 130，000 个 AVTECH 设备被暴露在互联网。鉴于 AVTECH 迟迟未能提供固件更新、修复漏洞，研究人员发出公开警告，希望借此督促系统管理员更改默认密码、厂家及时发布更新。 稿源：本站翻译整理，封面来源：百度搜索