adv

solidot新版网站常见问题,请点击这里查看。
Android
lx1(25847)
发表于2019年03月14日 16时29分 星期四
来自
杀毒软件测试机构 AV-Comparatives 测试了 Google Play 商店里的 250 款杀毒应用,检查这些应用对 2000 恶意应用样本的检测情况。结果显示,只有 80 款应用能阻止最少数量的恶意样本。不到十分之一的应用能阻止所有恶意应用,超过三分之二的应用检出率不到 30%。如果你想要保护自己的 Android 设备,最好使用知名安全公司的产品。AV-Comparatives 称大部分 Android 杀毒应用是假冒的,许多只是为了展示广告或宣传开发者自己。
安全
lx1(25847)
发表于2019年03月13日 15时16分 星期三
来自
错误配置的 EJBCA 开源软件包致使 GoDaddy、苹果和 Google 签发了一百多万个不符合要求的 63 位序列号证书。EJBCA 被很多浏览器信任的 CA 用于生成证书,在默认情况下 EJBCA 使用伪随机数生成器生成了 64 位序列号的证书,工程师发现 64 位中必须有一个定值才能确保序列号是正整数,这意味着 EJBCA 默认生成的序列号的熵值只有 63 位。 63 位 和 64 位虽然只相差一位,但 2^63 和 2^64 之间是相差巨大的。错误签发 63 位序列号证书所构成的风险主要是理论上的,实际上几乎不可能被恶意利用。但这不符合行业规定的要求。Google 被发现自 2016 年以来签发了 10 万以上不符合要求的证书,不过到目前只有 7000 个证书还有效。
安全
lx1(25847)
发表于2019年03月11日 16时55分 星期一
来自
虚拟化和软件供应商思杰公布通知,称其内网遭国际犯罪分子入侵,攻击者可能是利用弱密码获得有限访问权限,然后再逐渐获得更多控制权限。思杰的产品和服务被全世界 40 多万家机构使用,其中包括了政府和军方。攻击者从思杰窃取的信息可用于渗透其客户的网络。思杰称它不知道有哪些数据被窃取了,初步调查显示攻击者可能获取了商业文档。它正进行更深入的调查,并雇佣了安全公司协助。思杰称它已经联络了 FBI。
安全
lx1(25847)
发表于2019年03月08日 11时13分 星期五
来自
流行编辑器 Notepad++ 释出了 7.6.4 版本,该版本移除了代码签名。开发者解释了原因:DigiCert 在三年前捐赠了有效期为三年的代码签名证书,该证书于今年初过期,他尝试以合理的价格购买新的代码签名证书。由于 Notepad++ 不是企业或机构,他无法使用 CN=Notepad++,他浪费了很多时间在上面,最后认识到代码签名证书对于自由开源软件作者来说就是过于昂贵的自慰工具。Notepad++ 在十多年里一直没有使用代码签名证书,他不认为现在仍然需要依赖证书。他因此决定移除代码签名,但这并不意味着软件就不再安全了。Notepad++ 从现在起每个版本都会提供 SHA256 哈希,程序将会检查它使用的每一个组件的 SHA256 哈希。7.6.4 改进了 Markdown 支持,修复了欧盟自由软件 Bug 悬赏项目 Free and Open Source Software Auditing Bug Bounty 识别的问题和 Bug。
安全
lx1(25847)
发表于2019年03月07日 16时25分 星期四
来自
三位发现相关漏洞的计算机科学家在 IEEE Spectrum 上发表了一篇深入浅出的文章,详细介绍了去年初曝出的芯片漏洞 Spectre 和 Meltdown。我们习惯以为处理器是一种按照顺序一个接一个有序执行指令的机器,但事实是几十年来它们一直是乱序执行任务,会去猜测下一个应该执行的任务。它们在这方面做得非常出色,被称为推测执行的功能是过去 25 年计算能力提升的主要基础。但 2018 年 1 月 3 日,全世界都知道了这个窍门也是它最大的弱点之一。被称为 Meltdown 和 Spectre 的攻击不是普通的 bug。Meltdown 影响所有英特尔处理器和 IBM Power 处理器,以及部分 ARM 处理器。而 Spectre 和它的许多变种将影响范围扩大到了 AMD。换句话说,全世界几乎所有的计算系统都容易受到攻击,修复这些漏洞不是一件容易的事情。
Chrome
lx1(25847)
发表于2019年03月07日 15时55分 星期四
来自
Chrome 用户最好确保他们的浏览器是最新版本。编号为 CVE-2019-5786 的高危漏洞正被利用,Google 已知此事,并在上周五释出了更新(版本号 72.0.3626.121),Chrome 安全研究人员在 Twitter 上建议用户可能快的更新。漏洞是在 2 月 27 日报告的,补丁只隔了一天就释出。它是一个内存错误管理 bug,与 FileReader 相关。
安全
lx1(25847)
发表于2019年03月06日 16时31分 星期三
来自
Have I Been Pwned 聚合了各个网站和服务泄漏的密码,并记录了常见密码的使用频率,举例来说 123456 在其密码库里共使用了 23,174,662 次,12345 使用了 2,333,232 次,password 使用了 3,645,804 次。这些密码因为容易记忆而被大量使用我们都能理解,但还有一些高频密码可能让人摸不着头脑了,比如说 ji32k7au4a83,它看起来是一个随机密码,但它却被使用了 141 次。为什么它会是一个常用密码?过去几天这件事在多个网站被很热闹的讨论,答案很快被人指出其实是“我的密码”的注音符号,在注音符号系统中,ji3 -> 我;2K7 -> 的;au4 -> 密;a83 -> 碼。
安全
lx1(25847)
发表于2019年03月06日 15时07分 星期三
来自
DFIR.it 的安全团队发现恶意攻击者利用 GitHub 推广后门版应用。所有托管后门应用的账号目前全部移除。对样本的分析发现,恶意应用会下载名叫 Supreme NYC Blaze Bot (supremebot.exe)的 Java 恶意程序。攻击者建立了一批账号,有的账号托管了几十个恶意应用,还有的账号没有恶意应用但通过给恶意应用加星等方法来增加其流行度。黑客创建了许多合法应用的后门版本,其中包括 MinGW、GCC、Ffmpeg、EasyModbus 和一些 Java 游戏。
安全
lx1(25847)
发表于2019年03月06日 11时27分 星期三
来自
美国和德国的计算机科学家在预印本网站 ArXiv 上发表论文(PDF),披露了针对英特尔处理器的新攻击 SPOILER。他们在英特尔内存子系统私有实现中发现了地址推测的一个弱点,能透露内存布局数据,让翻转比特的 Rowhammer 攻击更容易执行。研究人员检查了 ARM 和 AMD 处理器,但没有发现它们表现出类似的行为。新的漏洞很难在不重新设计处理器微架构的情况下修复或缓解。Spoiler 攻击不同于 Spectre 攻击,它无需提权就可以在用户空间利用。研究人员称,Spoiler 大幅加快了 Rowhammer 和缓存攻击。Rowhammer 翻转比特攻击影响所有处理器,但要利用 Rowhammer 你可能需要花费数周时间,而在 SPOILER 的帮助下,攻击将可以在数秒内完成,Rowhammer 攻击将变得切实可行。英特尔发言人表示他们预计软件加固能抵御此类攻击。
安全
lx1(25847)
发表于2019年03月04日 12时21分 星期一
来自
19 岁的 Santiago Lopez 通过 bug 悬赏平台 HackerOne 报告漏洞,成为第一位通过 bug 悬赏赚到一百万美元的白帽子黑客。他的白帽子生涯始于 2015 年,至今共报告了超过 1600 个安全漏洞。他在 16 岁时赚到了第一笔 50 美元赏金,激励他从事白帽子生涯。政府机构和企业如五角大楼、GM、Google、Twitter、GitHub、Nintendo、Lufthansa、Panasonic Avionics、Qualcomm、Starbucks、Dropbox 和 Intel 等与 HackerOne 合作发现了超过 10 万个漏洞,发放了 4500 多万美元赏金。
安全
lx1(25847)
发表于2019年02月28日 20时23分 星期四
来自
Coinomi 钱包应用被发现会以明文向 Google 的拼写检查服务发送用户密码,让用户容易遭到中间人攻击,导致账号内数字货币失窃。Coinomi 的这一问题是程序员 Warith Al Maawali 在账号资金神秘失窃进行调查后发现的。Coinomi 是基于 Chromium,集成了多种 Google 服务,其中一种是自动拼写服务,能对所有用户文本框输入进行拼写检查。Coinomi 团队没有关闭这项功能,导致用户密码在设置过程中通过 HTTP 泄漏。Al Maawali 还建立了一个网站 avoid-coinomi.com 呼吁用户避开 Coinomi。
安全
ai(3896)
发表于2019年02月27日 18时58分 星期三
来自
安全公司 Eclypsium 的研究人员发表论文演示了利用主板关联微控制器 BMC 在 IBM 云服务内留下后门。BMC 允许管理员给服务器集群重新安装操作系统,安装或修改应用,修改配置。在这项研究中,研究人员利用了超微制造的主板 BMC 漏洞在 IBM 的裸金属云计算服务中留下后门。裸金属云计算允许客户完全控制服务器,不再需要的时候还给服务商,服务商将会清理系统给另一名客户使用。超微主板 BMC 漏洞允许一名客户留下后门,在服务器分配给其他客户后仍然活跃,这个后门允许攻击者窃取数据、发动拒绝访问攻击和勒索。
安全
ai(3896)
发表于2019年02月25日 17时48分 星期一
来自
管理域名和地址的非营利组织 ICANN 呼吁全面部署 DNSSEC(域名系统安全扩展)和加强社区合作,以保护互联网。ICANN 此举是回应针对最近对 DNS 基础设施日益增加的网络攻击。DNSSEC 通过在 DNS 记录中加入加密哈希和签名来阻止 DNS 污染等常见 DNS 攻击方法。ICANN 称,虽然 DNSSEC 不能解决所有形式的 DNS 攻击,但它可以检测到对 DNS 信息未经授权的修改,阻止用户被误导。
安全
ai(3896)
发表于2019年02月25日 17时28分 星期一
来自
瑞士和新西兰的用户报告,他们的电动滑板车车轮在行驶过程中突然锁定,导致他们摔倒在地,有数十人因此受伤。在相关报道披露之后,Lime 于今年一月在瑞士停止了其电动滑板车租赁服务。上周新西兰奥克兰市也投票暂停其服务。Lime 承认是软件故障导致了这一问题,该公司声称受影响的滑板不到总数的 0.0045%。Lime 称初步的修正减少了事故发生数量,最终版更新预计将会更快完成。Lime 称,bug 存在于滑板车的固件中,在极其罕见的情况下它会导致使用过程的过多刹车。这种罕见的情况通常是以最高速度下坡碰到路面坑洞或其它障碍物,前轮制动力过大,导致滑板车意外停止。
安全
ai(3896)
发表于2019年02月24日 11时34分 星期日
来自
匿名读者 写道 "上海后端工程师张中南意外发现在阿里云效平台上只要登上账号就能浏览到很多公司的内部代码。起初其以为这些代码是开源的,但很快发现很多内容不该出现在开源项目中,比如项目的数据库、账号、密码等。"
安全
ai(3896)
发表于2019年02月22日 20时20分 星期五
来自
Drupal 开源内容管理系统曝出了一个允许黑客远程执行代码的高危漏洞,影响数以百万计的网站,如果不及时打补丁,这些使用 Drupal 的网站将面临被劫持的风险。漏洞编号 CVE-2019-6340,根源在于未能充分验证用户输入。利用该漏洞首先需要满足两个条件:启用 Drupal 8 core RESTful Web Services (rest) 模块,允许 PATCH 或 POST 请求;启用 Drupal 8 的 JSON:API 或者是Drupal 7 的 Services 或 RESTful Web Services 模块。开发者建议网站管理员尽可能快的更新。
安全
ai(3896)
发表于2019年02月22日 15时44分 星期五
来自
Google 研究人员警告,除非对 CPU 设计进行大幅的修改,否则很难在未来避开 Spectre 漏洞。Google Chrome V8 JavaScript 引擎团队开发者在预印本网站 ArXiv 发表论文,报告了他们的发现。研究人员指出,光靠软件不能完全避开 Spectre 漏洞。他们得出结论,所有执行预测执行的处理器总是容易受到不同边信道攻击的影响,即使未来可能发现缓解方法。恶意程序能够利用 Spectre 漏洞来窃取其它程序执行时储存在内存中的敏感数据。要真正解决现有和未来的 Spectre 漏洞,CPU 制造商需要提出新的 CPU 微架构设计。
英国
lx1(25847)
发表于2019年02月21日 15时40分 星期四
来自
英国网络安全主管马丁(Ciaran Martin)在布鲁塞尔举行的 CyberSec 会议表示,他有信心认为,如果部长级官员们决定让华为参与未来的 5G 网络,英国网络安全部门可以管控这家中国电信设备制造商构成的任何风险。马丁列出了所有电信供应商都需要实施的三个先决条件,以确保未来的 5G 网络在网络攻击面前安全。这些条件包括 “5G 供应商市场的可持续多元化”,这意味着英国不应该只依赖一家供应商。但他也重申了英国向华为发出的警告:如果该公司未来要继续被允许向英国的电信运营商供应设备,它需要改进其网络安全标准和软件工程。他说,“我们的工作是确保政府能够有信心认为,无论它做出什么决定,都会有一套行之有效的技术框架和一个知道自己在做什么的有力国家主管当局。”
安全
ai(3896)
发表于2019年02月21日 11时57分 星期四
来自
如果你还在使用解压缩软件 WinRAR,那么现在是时候更新它了。WinRAR 曝出了一个有 14 年历史的代码执行漏洞,存在于第三方库 UNACEV2.DLL 中,它从 2005 年起就没有再更新过了。WinRAR 开发者无法访问该库的源代码,因此修复方法是移除它,停止对 ACE 文档格式的支持。安全公司 Check Point Software 的研究人员在 UNACEV2.DLL 的过滤函数中发现了一个漏洞,允许将代码提取到 Windows 启动文件夹,在 Windows 重启之后执行。这个代码执行漏洞在 UNACEV2 创建之后就已经存在,至今已有 14 年历史。
安全
ai(3896)
发表于2019年02月20日 11时35分 星期三
来自
你可能认为 USB 线没什么可怕的,大多数人都会随身带些 USB 线以方便给便捷式设备充电或访问设备内部资料,但如果看起来一模一样的 USB 线包含了隐藏的后门?你插上之后就容易遭到网络攻击?安全研究员 _MG_历时一个月制作的 O.MG Cable,将 WIFI 微控制器秘密安装在 USB 连接器内,能通过 USB 设备发送载荷,实现远程控制。_MG_ 称他在这个项目上投入了 300 小时和 4000 美元。安全隐患无不处在,大部分人不可能会把 USB 线拆开来看看里面有没有后门。