AudioCodes 桌面电话和 Zoom ZTP 曝出严重漏洞，用户面临窃听风波
近日，AudioCodes桌面电话和Zoom的Zero Touch Provisioning (ZTP)被曝存在多个安全漏洞，恶意攻击者可能利用这些漏洞进行远程攻击。 SySS安全研究员Moritz Abrell在周五（8月11日）发表的一份分析报告中提到：外部攻击者可利用在AudioCodes公司的桌面电话和Zoom公司的Zero Touch Provisioning功能中发现的漏洞远程控制这些设备。 这种不受约束的访问权限可以通过设备透视和攻击企业网络窃听房间或电话，甚至建立一个由受感染设备组成的僵尸网络。这项研究已在上周早些时候举行的美国黑帽安全大会上发表。 这个问题的根源其实在于 Zoom 的 ZTP，它允许 IT 管理员以集中的方式配置 VoIP 设备，从而使企业能够在需要时轻松地监控、排除故障和更新设备。这是通过部署在本地网络中的网络服务器为设备提供配置和固件更新来实现的。 具体来说，在从 ZTP 服务检索配置文件时，发现它缺乏客户端验证机制，从而导致攻击者有可能触发从恶意服务器下载恶意固件。 该研究进一步揭示了AudioCodes VoIP桌面电话(支持Zoom ZTP)的加密例程中存在不适当的身份验证问题，这些例程允许解密敏感信息，例如密码和配置文件，这些信息通过电话使用的重定向服务器传输，以获取配置。 这两个弱点，即未经验证的所有权错误和认证硬件中的缺陷，可能会被塑造成一个漏洞链，通过滥用Zoom的ZTP并触发任意设备安装它来提供恶意固件。 当这些漏洞结合在一起时，可以用来远程接管任意设备。由于这种攻击具有高度可扩展性，因此可能构成重大的安全风险。 大约一年前，这家德国网络安全公司发现了微软Teams Direct Routing功能中的一个安全问题，该问题可能使安装容易受到收费欺诈攻击。 Abrell当时就曾表示过：外部未经身份验证的攻击者能够发送特制的SIP消息，并假扮这些消息是来自微软。这样受害者的会话边界控制器就会将这些消息正确分类。从而让那些未经授权的外部电话通过受害者的电话进行拨打。 转自Freebuf，原文链接:https://www.freebuf.com/news/374724.html 封面来源于网络，如有侵权请联系删除
亚马逊智能音箱被爆可能窃听并记录谈话
亚马逊的 Alexa 是如今大热的一款智能音箱，只需你说出它的唤醒词，比如“Alexa”、“Echo”或 “Computer”，它就能对你的声音指令作出响应。不过，现在这一特性也让人们开始担心自己的隐私。来自安全公司 Checkmarx 的研究人员发现了一种方法，可以让 Alexa 窃听、记录并发送用户的谈话记录。 Checkmarx 的研究人员能够创造出一种看似无害的 Alexa 技能，在大多数技能被关闭以保护人们的隐私之后，这种技能将会持续生效。Checkmarx 的 AmitAshbel 告诉科技网站 CNET 的记者，这个技能可以持续记录谈话。“就我们所知，这个技能没有限制，”他说，“只要你不告诉它停止，它就不会停止。” Checkmarx 说他们在 4 月初通知了亚马逊这个漏洞，亚马逊向 CNET 的记者证实，目前已经解决了这个问题。“客户信任对我们很重要，我们会认真对待安全和隐私问题。”亚马逊的一位发言人在一份声明中说，“我们已经为检测这类技能行为提供了适当的缓解措施，当我们发现这样的漏洞时，我们会拒绝或抑制这些技能。” 稿源：凤凰网科技，封面源自网络网络；
电子前哨基金会（EFF）敦促公民阻止美政府修改第四十一条法案：将扩大执法和网络窃听的权利
旧金山 – 电子前沿基金会（EFF）、Tor项目和几十个其他组织呼吁市民和网站经营者采取行动阻止美国司法部更改规则第十一条推行一个新的规则。现在规则第41条只授权联邦裁判法官发出手令在裁判官所在的司法管辖区进行搜索而新规则将授权远程访问，搜索，扣押或复制计算机上的数据，无论在世界上它们的位置。这将大大扩大政府破解用户的计算机的能力并在网络上匿名干涉。