安全研究人员发现，CalAmp（一家为多个知名系统提供后端服务的公司）运营的一台服务器因为错误配置，黑客可借助该漏洞接入账号数据，甚至直接接管相关车辆。 发现该问题时，安全专家 Vangelis Stykas 和 George Lavdanis 正在搜寻 Viper SmartStart 系统中的安全漏洞，这是一款让用户能远程启动、锁闭、解锁或定位车辆的设备，有了它，用户只需操作手机中的应用就能直接完成上述操作。 与其他移动应用类似，这套系统用了 SSL 和证书锁定（Certificate Pinning，已知其服务器用上了硬编码）安全连接来自动拒绝那些提供虚假 SSL 认证连接的网站。 不过两位安全专家指出，该应用不但会连接到 mysmartstart.com 的域名，还会连接第三方域名（https://colt.calamp-ts.com/，即 Calamp.com Lender Outlook 服务）。只要使用 Viper 应用生成的用户凭证，谁都能登陆控制台。 “该控制台看起来是 Calamp.com Lender Outlook 服务的前端，我们试着用 Viper 生成的用户凭证登陆，居然成功了。”安全专家 Stykas 在一篇博文中写道。“显然，这是那些拥有多个子账户和大批车辆需要控制公司的控制台。” 进一步测试后，研究人员确认了一点，那就是这套系统的入口还是安全的。不过，在评估中他们却发现，各种报告其实是来自另一台专用服务器，它负责运行的是 tibco jasperreports 软件。 这还是两位专家第一次分析这种类型的服务器。移除所有参数后，他们发现，自己居然以用户身份登陆了，虽然权限受限，但已经可以接入许多报告了。 “我们不得不运行所有报告，并且发现前端根本就没有审核用户 ID，而是选择自动让其通过。不过，现在我们得从控制台提供 ID 作为输入项。当然，我们可以选择想要的任意数字。” 一番研究后他们发现，自己已经可以接入所有车辆的所有报告了（包括位置记录），而且只要知道了用户名，就能直接接入数据源（密码做了伪装处理，所以无法导出）。同时，借助服务器还能轻松复制和编辑现有报告。 “我们无法创建报告、AdHoc 无线网络或其它项目，不过我们能对现有内容进行复制粘贴和编辑，这也就意味着我们已经大权在握。此外，我们还能在报告中加入任意的 XSS 来窃取信息。当然，这是正派人士所不齿的。”上述专家说。 雷锋网(公众号：雷锋网)了解到，掌握了服务器上的生产数据库后，研究人员就能通过移动应用接管用户账户。如果黑客知道了某账户的密码（老密码），就能直接定位车辆并开车走人。 两位专家指出，这一漏洞可能导致下列严重后果： 1. 黑客只需修改用户密码，就能直接解锁并开走车辆； 2. 拿到所有位置记录报告； 3. 在某人开车时直接关掉车辆引擎； 4. 远程操控开启引擎； 5. 拿到所有用户的数据； 6. 通过应用拿到总线信息； 7. 从连接数据库拿到 IoT 设备的数据或重设密码。这也就意味着黑客手中能掌握千万种可能。 据悉，两位专家本月月初就将问题反映给了 CalAmp，而后者在十天内就将问题彻底解决。   稿源：雷锋网，封面源自网络；

外媒 2 月 6 日消息，UpGuard 安全研究人员发现，巴黎 Octoly 公司因其亚马逊 S3 存储桶错误配置，导致超过 12,000 名社交媒体影响者（俗称：明星或网红）的敏感数据在线暴露。据悉，这些用户大多来自 YouTube、Instagram、Twitter 和 Twitch 等社交平台，目前 Octoly 公司担心竞争对手利用该暴露事件乘机抢夺这些平台的用户资源。 Octoly 是一家总部位于巴黎的品牌营销公司，致力于向社交媒体明星提供来自顶级品牌的产品，并寻求其评论以及认可。Octoly 的客户包括迪奥、丝芙兰、欧莱雅、雅诗兰黛、兰蔻以及游戏巨头育碧和暴雪娱乐等。 UpGuard 网络风险团队总监 Chris Vicker 于 1 月初发现，一个配置错误、并且可公开访问的亚马逊网络服务（AWS）S3 云存储桶被 Octoly 公司用来存储内部重要文件。 这些文件包括： 用户敏感信息（真实姓名、地址、电话号码、电子邮件地址以及出生日期）； 使用 bcrypt 加密的 Octoly 账户散列密码； 大量的品牌和分析信息（Octoly 服务的 600 个品牌的清单，以及受影响用户的 “ 深度社交 ” 报告）； Upguard 认为，该暴露事件可能会在一定程度上影响 Octoly 公司的日常运营。 并且 Upguard 表示该暴露事件所带来的最大风险不在于经济损失，而在于人 ，因为泄露的用户资料让竞争对手有了可乘之机，各大品牌可能会争抢知名社交媒体影响者的青睐。 消息来源：IBTimes，翻译：榆榆，校审：FOX; 本文由 HackerNews.cc 编译整理，封面来源于网络； 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。