Apache OpenMeetings 网络会议工具曝出严重漏洞
The Hacker News 网站披露，网络会议服务 Apache OpenMeetings 存在多个安全漏洞，Sonar 漏洞研究员 Stefan Schiller 表示网络攻击者可以利用这些漏洞夺取管理帐户的控制权，并在易受影响的服务器上执行恶意代码。 2023 年 3 月 20 日，研究人员披露了漏洞详情，2 个月后。 更新的 Openmeetings 7.1.0 版本中解决了漏洞问题。 漏洞的列表详情如下： CVE-2023-28936 （CVSS 得分：5.3）- 邀请哈希值检查不足； CVE-2023-29032 （CVSS 得分：8.1）- 身份验证绕过，导致通过邀请哈希进行不受限制的访问； CVE-2023-29246 (CVSS 得分：7.2) – 一个 NULL 字节 (%00) 注入，允许具有管理员权限的攻击者执行代码。 据悉，使用 OpenMeetings come 创建的会议邀请不仅绑定到特定的会议室和用户，还会附带一个特定的哈希，应用程序使用该哈希来检索与邀请相关的详细信息。简言之，前两个漏洞与用户提供的哈希与数据库中储存的哈希之间的弱哈希比较有关。此外，还存在一个特别的情况，即允许在没有分配会议室的情况下创建房间邀请，导致出现邀请没有附加会议室的情况。 这时候，网络攻击者就可以利用上述漏洞创建一个会议议程并加入相应的房间，此时会为管理员用户创建一个到不存在房间的邀请。下一步，网络攻击者可以利用弱哈希比较错误来枚举发送的邀请，并通过提供通配符哈希输入来兑换邀请。 Schiller 进一步表示虽然当相关会议议程被删除时，房间也会被删除，但网络攻击者在房间里的存在使这里成为僵尸房间。此外，尽管在兑换此类邀请的哈希时会引发错误，但会为具有此用户完全权限的受邀者创建有效的 web 会话。 换言之，僵尸会议室可能允许攻击者获得管理员权限并对 OpenMeetings 实例进行修改，包括添加和删除用户和组、更改会议室设置以及终止连接用户的会话。 此外，Sonar 表示第三个漏洞源于一项功能，该功能使管理员能够为与 ImageMagick 相关的可执行文件配置路径（ImageMagick 是一种用于编辑和处理图像的开源软件），这就使得具有管理员权限的攻击者可以通过将 ImageMagic 路径更改为“/bin/sh%00x”并触发任意 shell 命令来获得代码执行。 最后，Schiller 强调目前上传一个包含有效图像头和任意 shell 命令的假图像时，转换会产生/bin/sh，第一个参数是假图像，有效地执行了其中的每个命令。结合帐户接管，此漏洞使自注册攻击者能够在底层服务器上远程执行代码。 转自Freebuf，原文链接:https://www.freebuf.com/news/372703.html 封面来源于网络，如有侵权请联系删除
NIST 密码安全新标准更新，旧版作者承认存在不妥
美国国家标准和技术协会（ NIST ）今年 6 月提供的最新数字身份指南的新版草案中，指出不再推荐用户使用密码混合大写字母、字符和数字，也不再要求定期修改密码。因为研究显示此类要求并不能增加密码强度，NIST 认为最重要的是储存密码必须盐化 + 哈希 + MAC 处理。 不过，对于 2003 年一篇广为流传的密码混合大写字母、字符和数字的 NIST 安全专家建议文章，其作者前 NIST 主管 Bill Burr 开始承认当时提供的建议并不成熟，后来也被证实不是太奏效，当然也有媒体的一些误导总结，导致更多的曲解。根据他当年写的一份文档 NIST Special Publication 800-63，媒体总结为专家建议大家采用混合大写字母、字符和数字，构成一个常用词组的方式（比如 P@ssW0rd123!）。事实证明，这种密码对于破解密码工具来说，只需要增加一些代码，根据这种规则的密码强度几乎与弱密码的破解相差无几，倒是催生了许多有创意的网名 ID。 比如一篇形象的漫画指出根据这样的规则，形似 “ Tr0ub4dor&3 ” 这样的密码只需要用标准技术在三天之内就能够破解，而且你很容易在被破解之前就忘掉自身密码。而一句完全采用英文单词组成的摸不着头脑的短语 “ correct horse battery staple ” 却需要约 550 年破解，而这组词语很容易形成独特的画面，对于人类来说非常容易形成记忆，但对于计算机来说堪比天书，随机性使得它很难被自动化工具猜出。Burr 承认当时的确找错方向。 NIST 数字身份指南的新版草案的作者 Paul Grassi 指出，NIST 此前的密码安全建议都是在摸索中前进，没有前人的尝试也无法摸索出切实有效的密码建议。NIST 也不再要求密码混合大写字母、字符和数字，因为研究显示此类的要求并不能带来强密码。NIST 认为，如果用户想要使用绘文字作为密码，那么就应该允许用户使用。NIST 认为最重要的是储存的密码必须盐化哈希 MAC 处理。 稿源：cnBeta，封面源自图片；
Linus Torvalds 回应 SHA-1 碰撞攻击“不必过于担忧”
Google 与 CWI Institute 合作演示了对 SHA-1 的碰撞攻击，公布了两个 SHA-1 哈希值相同但内容不同的PDF 文件。这一消息在 Git 社区引发了 Git 对象碰撞攻击可能性。 Git 作者 Linus Torvalds 对此回应称 Git 不用担忧 SHA-1 碰撞攻击。他解释说，git 不只是哈希数据，还预留一个类型/长度字段，增加了碰撞攻击的难度，相比之下 pdf 文件使用了一个固定的头，为了实现相同的哈希值攻击者可以在里面加入任意的静默数据。所以 pdf 文件的不透明数据格式使其更容易成为攻击目标。git 也有不透明数据，但都属于次要的。他表示，git 可以很容易加入额外的完备性检查抵抗碰撞攻击，它并不面临迫在眉睫的危险。 稿源：solidot奇客；封面源自网络