自 Google 宣布 OSS-Fuzz 之后的五个月内，这款工具在开源项目中嗅探出超过 1000 个 bug，其中包括 264 个潜在的安全漏洞。谷歌团队非常努力，每天都要处理 10 万亿的测试输入。其中，有 47 个项目早已整合了 Fuzz。Google 表示：“ OSS-Fuzz 已经在几个关键开源项目中找到了多个安全漏洞 ”。 其中，FreeType 2（10 个）、FFmpeg（17 个）、LibreOffice（33 个）、SQLite 3（8 个）、GnuTLS（10 个）、PCRE2（25 个）、gRPC（9 个）、Wireshark（7 个）。此外，OSS-Fuzz 还与另一个独立安全研究工具碰上了同一个 bug，它就是 CVE-2017-2801 。 据该公司所述，当某个项目集成 OSS-Fuzz 之后，后续它会自动抓取问题且几个小时后回溯至上游资源库，从而将用户受影响的可能性尽可能降低。Google 还称，OSS-Fuzz 已经报告超过 300 次超时和内存不足失败，其中有 3/4 已被修复。 稿源：据 cnBeta，封面源自网络

英特尔芯片出现一个远程劫持漏洞，它潜伏了 7 年之久。本月 5 日，一名科技分析师刊文称，漏洞比想象的严重得多，黑客利用漏洞可以获得大量计算机的控制权，不需要输入密码。 英特尔主动管理技术（AMT）功能允许系统管理者通过远程连接执行多种繁重的任务，包括：改变启动计算机代码、接入鼠标键盘和显示器、加载并执行程序、通过远程方式启动设备等。 许多 vPro 处理器都支持 AMT 技术，如果想通过浏览器界面远程使用它必须输入密码，然而，英特尔的验证机制输入任何文本串（或者连文本都不要）都可以绕过。Tenable Network Security 刊发博客文章称，访问认证时系统会用加密哈希值（cryptographic hash）验证身份，然后才授权登录，不过这些哈希值可以是任何东西，甚至连文字串都不需要。Tenable 逆向工程主管卡罗斯·佩雷兹（Carlos Perez）指出，即使输入错误的哈希值也可以获得授权。 还有更糟糕的地方。一般来说，没有获得验证的访问无法登录 PC，因为 AMT 必须直接访问计算机的网络硬件。当 AMT 启用时，所有网络数据包会重新定向，传到英特尔管理引擎（Intel Management Engine），然后由管理引擎传到 AMT。这些数据包完全绕开了操作系统。 Embedi 是一家安全公司，英特尔认为它是首先发现漏洞的公司，Embedi 技术分析师也得出了相同的结论并以邮件形式将分析结果发给记者，未在网上公布。英特尔表示，预计 PC 制造商在本周就会发布补丁。新补丁会以英特尔固件的形式升级，也就是说每一块存在漏洞的芯片都要刷新固件。与此同时，英特尔鼓励客户下载并运行检查工具，诊断计算机是否存在漏洞。如果工具给出正面结果，说明系统暂时是安全的，安装补丁才能真正安全。富士通、惠普、联想等公司也针对特殊机型发出警告。 稿源：cnBeta 节选，封面源自网络

据报道，安全专家于今年 2 月发现多款 iOS 应用存在泄漏登陆凭证和其他私人数据的漏洞，然而时隔三月，包括移动银行应用在内的多款应用程序至今仍未获得修复。 来自 Sudo Security Group 的 Will Strafach 解释道：不少于 76 款应用程序会受到中间人攻击影响，其中包括银行和医疗应用。黑客能够利用这些应用在用户不知情的情况下泄漏用户登陆细节。 稿源：cnBeta，封面源自网络

雅虎为 Flickr 帐户劫持漏洞猎手 Michael Reizelman 授予 7,000 美元赏金。 Reizelman 是一位颇受欢迎的漏洞猎手，善于挖掘 Badoo、Dropbox、GitHub、Google、Imgur、Slack、Twitter 与 Uber 等多种网络服务漏洞。他在不久前发现，如果将存在于雅虎图像与视频托管服务的三个漏洞配合使用可成功接管 Flickr 帐户。 Reizelman 发现用户每次登录 Flickr.com 帐户都会被重定向至 login.yahoo.com 域进行身份验证。如果用户已登录，就会在后台被重定向至 login.yahoo.com。此外，login.yahoo.com 请求用于获取用户访问令牌。 据悉，Reizelman 最初在 flickr.com 搜索开放式重定向漏洞并加以利用，但以失败告终。随后，他设计出另一种漏洞利用方法，即通过使用 <img> 标签将受攻击者控制的服务器存储图像文件嵌入 Flickr.com 页面。调查表明，黑客在攻击过程中必须诱导用户点击特制链接以获取访问令牌并接管受害者 Flickr 帐户。 Reizelman 于 4 月 2 日发现与报告该漏洞，并因此获取 7,000 美元赏金。据悉，雅虎公司通过 HackerOne 执行漏洞赏金计划。 原作者：Pierluigi Paganini， 译者：青楚，译审：游弋 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

据 Morphisec 专家表示，伊朗 APT  组织 “OilRig” 近期针对以色列展开大规模网络攻击活动。以色列政府于 26 日严批新网络防御法案之后，成功破获一起针对 120 个目标的重大网络攻击案件。外媒随后跟进报道称 ，以色列当局首次谴责了境外组织针对其主要政府机构与官员展开的网络攻击活动。 专家认为，这起网络攻击事件由伊朗政府支持的黑客组织 OilRig APT （又名 Helix Kitten，NewsBeef ）发起。该组织至少于 2015 年以来一直处于活跃状态。 以色列网络防御机构表示，该黑客组织自 4 月 19 日至 24 日期间攻击以色列各界人士约 250 人，其中主要包括政府机构、高科技企业、医疗机构与教育机构。此外，黑客还针对著名的本古里安大学系统进行深入研究，伪造其服务器地址向受害者发送垃圾邮件、传播恶意软件。 调查显示，黑客主要利用 Microsoft RCE 漏洞 （CVE-2017-0199）发起攻击。这一攻击并不需要用户交互，只需诱使用户打开特制的 Word 文件即可执行任意命令、从而控制用户系统。 据悉，OilRig APT 组织于今年年初参与一系列网络攻击活动，其主要针对以色列 IT 供应商、国家邮政服务企业与金融机构。 原作者：Pierluigi Paganini， 译者：青楚，译审：狐狸酱 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

研究人员表示，网络犯罪分子可通过 Apache Struts 2 漏洞传播勒索软件 Cerber、攻击 Windows 系统。 3 月上旬，Apache Struts 2 被曝存在编号为 CVE-2017-5638 的远程代码执行漏洞。然而，就在安全专家发布该漏洞补丁与概念验证（ PoC ）没多久，攻击者便开始利用该漏洞传播恶意软件。多数情况下，攻击者通过后门和分布式拒绝服务（ DDoS ）机器人对 Unix 系统进行攻击，但近期专家们还发现一起针对 Windows 系统的攻击行动。 3 月 20 日至 26 日，F5 Networks 研究人员发现网络犯罪分子利用该漏洞执行 shell 命令，运行 Windows 附带的 BITSAdmin 与其他命令行工具传播勒索软件 Cerber、针对 Windows 服务器展开攻击。SANS 技术研究所的专家也在此期间对该起攻击事件进行了报道。 据悉，该勒索软件针对系统中的重要文件进行加密处理，迫使受害者必须通过缴纳赎金才能获得用于恢复文件的“特制解密软件”。经 F5 Networks 报道，在多次攻击行动中，受害者均被要求发送赎金至同一个比特币地址，该地址中的交易额高达 84 比特币（当前价值近 10 万美元）。 研究人员表示，Apache Struts 2 漏洞为攻击者提供了一个丰富的目标环境，可在扩展业务的同时感染数千台新服务器。将勒索目标设为服务器而非个人的做法更加有利可图，由于这些服务器通常属于资金相对充足、基础设施较为完善的组织机构，相应存储数据对业务发展而言可能至关重要。目前，Apache Struts 2 漏洞已感染大量产品，其中包括思科与 VMware 等品牌。 独立安全研究员 Corben Douglas 于本周三发布报告称，他在漏洞发布 4、5 天后对 AT&T 系统进行测试，结果表明系统易受攻击。此外，他还尝试在 AT＆T 服务器上执行命令，此举可使整个公司受其掌控。 原作者：Eduard Kovacs ， 译者：青楚 ，译审：游弋 本文由 HackerNews.cc 翻译整理，封面来源于网络。转载请注明“转自 HackerNews.cc ” 并附上原文链接。

据 Check Point 报道，世界上最著名的计算机蠕虫之一的 SQL Slammer 沉寂 13 年后，似乎又重新开始活动了。该蠕虫于 2003 年 1 月 25 日首次出现，曾在 10 分钟之内感染了约 7.5 万台计算机。 SQL Slammer 也被称为“蓝宝石”( Sapphire )，它利用 SQL Server 2000 的解析端口 1434 的缓冲区溢出漏洞对其服务进行攻击。它的目标并非终端计算机用户，而是服务器。它是一个单包的、长度为 376 字节的蠕虫病毒，随机产生 IP 地址并向其扩散。庞大的数据流量令全球的路由器不堪重负，如此循环往复，更高的请求被发往更多的路由器，导致它们一个个被关闭。（百科） 十多年后，Slammer 似乎要重出江湖。据 Check Point ThreatCloud 收集的全球数据显示，2016 年 11 月 28 日至 2016 年 12 月 4 日之间次类型攻击数量大幅增加，SQL Slammer 蠕虫成为此时间范围内最具威胁的恶意软件之一。 Check Point 检测到攻击尝试的目标多达 172 个国家，其中 26％ 的攻击是针对美国网络，这表明这是一起大范围的攻击而不是有目标的针对性攻击。 攻击尝试的 IP 地址多来源于中国、越南、墨西哥和乌克兰。 虽然微软早已发布该漏洞的补丁，但是仍有很多服务器迟迟不愿及时打上补丁，这让蠕虫有了死灰复燃的可能性。就像微软去年发现，震惊一时的震网（ Stuxnet ）蠕虫所利用的漏洞 CVE-2010-2568 仍未被某些服务器打上补丁。 本文由 HackerNews.cc 翻译整理，封面来源：百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

苹果昨天发布了新版本的 iOS 和 macOS Sierra 系统，修复了移动端和桌面操作系统中的一些代码执行漏洞、改进系统安全性和稳定性。 其中最重要的是，在新版本 iOS 10.2.1 和 macOS Sierra 10.12.3 中修复了两个内核漏洞 CVE-2017-2370 和 CVE-2017-2360 。这两个漏洞是由谷歌 Project Zero 团队的研究员 Ian Beer 发现，分别为缓冲区溢出漏洞和 use-after-free 漏洞，允许恶意应用程序以内核最高权限执行代码。 此外，iOS 和 macOS Sierra 还修复了一个 libarchive 缓冲区溢出漏洞（ CVE-2016-8687 ），允许攻击者打开恶意归档文件、任意代码执行。苹果还修复了 11 个 WebKit 和 Safari 浏览器漏洞。 稿源：HackerNews.cc 翻译整理，封面来源：百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接，违者必究。

手游《部落冲突：皇室战争》的开发商 Supercell 称官方社区论坛遭黑客入侵，约 110 万账户信息泄露。 本周三，Supercell 公司发表声明，官方社区使用的论坛软件 vbulletin 存在漏洞，允许第三方黑客非法访问论坛用户信息，包括电子邮件、哈希密码和 IP 地址，本次数据泄露不涉及用户的游戏数据。黑客入侵发生在去年 9 月，约 110 万用户受到影响。目前漏洞已经修复，为安全起见 Supercell 以邮件形式提醒论坛用户及时更改密码，避免遭黑客撞库入侵其他账号而泄露更多个人信息。 稿源：HackerNews.cc 翻译整理，封面来源：百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接，违者必究。

安全公司 Heimdal Security 的专家称，新恶意广告活动利用 “RIG 漏洞利用工具”针对浏览器旧版本软件漏洞传播勒索软件 Cerber ，此过程无需用户任何点击。 攻击者首先会在利用网站漏洞注入恶意脚本，当受害者浏览合法网站时，无需点击任何链接网站会自动跳转至攻击者的网站，并利用 RIG Exploit kit 扫描设备是否存在旧版本的应用程序：Flash Player,、Silverlight、IE、Edge ，之后利用软件漏洞安装勒索软件 Cerber 。 RIG 漏洞利用工具涉及的漏洞： CVE-2015-8651 CVE-2015-5122 CVE-2016-4117 CVE-2016-1019 CVE-2016-7200 CVE-2016-7201 CVE-2016-3298 CVE-2016-0034 虽然许多互联网用户仍然选择忽略软件更新，但往往网络犯罪分子就是利用软件漏洞进行破坏。广大网民应及时更新软件，避免受到损失。 稿源：HackerNews.cc 翻译整理，封面来源：百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接，违者必究。