最新消息:本站介绍:国外VPS、云服务器,海外服务器,一手资源推荐平台

Zoom补丁make-me-root安全漏洞,补丁补丁

网络安全 快米云 来源:快米云 66浏览

另外:查看应用内浏览器是否在监视您,一种新颖的工业网络攻击技术等

简而言之,Zoom 修复了两个提权漏洞,本月的 Black Hat 会议上对此进行了详细说明,但该补丁被绕过,需要再次修复。

网络安全研究员和 Objective-See 的创始人 Patrick Wardle 谈到了Black Hat的两个macOS Zoom 客户端漏洞,这两个漏洞都可以被本地无特权的不法分子或流氓应用程序利用,从而可靠地升级到 root 权限。 

这两个漏洞可以一起被利用,简而言之,向 Zoom 提供恶意更新以安装和运行,这通常不应该被允许发生。

Wardle对 Zoom为漏洞发布快速补丁表示赞赏,该公司于 8 月9 日13 日单独发布了这些补丁。

但是看看Zoom 最近的安全公告,很快就会发现出了点问题:五天后,针对同样的问题发布 了第三个补丁。

“Zoom 的补丁……不完整,我设法绕过了它,”macOS 安全研究员和进攻性安全内容开发人员 Csaba Fitzl 在推特上写道。Fitzl 没有公布他如何绕过补丁的任何细节,但 Zoom 认为他报告了第三个漏洞。

鼓励 macOS 上的 Zoom 用户立即将其客户端更新到版本 5.11.6,除非运行的版本早于 5.7.3。如果后一种情况听起来像您,那么升级 Zoom 的安全性可能是一个好主意这些问题 自大流行期间崛起以来已经暴露出来。 

测试 JavaScript 注入的移动应用程序

担心您的移动应用程序将 JavaScript 跟踪工具注入您访问的网站?有一个(网络)应用程序。

正如The Register最近报道的那样,iOS 版本的 Facebook 和 Instagram 中的应用内浏览器被发现将 JavaScript 跟踪器注入到用户访问的网页中。最初报告该问题的 Fastlane 安全商店创始人 Felix Krause 此后发布了一个简单的网站,该网站可以告诉从应用内浏览器访问它的用户,该应用是否已注入跟踪器。

“在阅读了 [关于The Register和其他来源的报告的回复和直接消息] 之后,我看到了整个社区的一个共同问题:我如何才能验证应用程序在他们的网络视图中做了什么,”他写道。

Meta 的 JavaScript 注入有效地绕过了 Apple 对应用程序跟踪的限制,虽然 Meta 声称它不会以任何方式修改流量,但 Krause 表示这仍然存在隐私风险,应用程序“能够跟踪与外部网站的每一次交互,来自所有表单输入,如密码和地址,每一次点击。”

更糟糕的是,这种行为不仅限于 Meta 的应用程序:根据Krause 的研究,亚马逊和 TikTok 也因通过其应用程序内浏览器注入 JavaScript 而犯了罪。其他未经测试的应用程序也可能如此。

在 TikTok 的案例中,它注入的 JavaScript 可以在应用内浏览器中监控每次击键(包括密码、信用卡详细信息等)、屏幕上被点击的内容以及用户点击的元素的信息。TikTok 表示,这种监控是出于调试和性能测量的目的,它实际上并没有收集信息。

Krause 指出,他的在线工具可能无法检测到所有 JavaScript 注入,尤其是在较新版本的 iOS 上。在 14.3 中,Apple 为 JavaScript 添加了一种沙盒形式,“使网站无法验证正在执行的代码,”克劳斯说。 

要了解您使用的应用程序是否通过其应用程序内浏览器将 JavaScript 注入网站,只需通过 DMing 链接到您自己、发布或评论它来导航到InAppBrowser.com ,该工具应该会告诉您是否有任何脚本正在运行,恶意与否。

研究人员将 PLC 武器化以攻击 OT 网络

Claroty 的 Team82 的研究人员已经展示了将可编程逻辑控制器 (PLC) 转变为网络攻击工具。

PLC 是构成工厂车间、公用设施基础设施、制造设施和其他重工业的工业和商业运营技术 (OT) 的基本组成部分。诸如Stuxnet之类的恶意软件被美国和以色列用来破坏伊朗的铀浓缩设施,以及其他现代威胁都依赖于缺乏适当保护的面向互联网的 PLC。 

Team82 在其研究报告中表示,在以前的案例中,涉及 PLC 的攻击直接针对控制器。他们的概念证明并非如此,他们将其命名为“Evil PLC Attack”。

Evil PLC 根本不会攻击 PLC 本身:相反,它依赖于控制它们的工程工作站中的漏洞。通过使用恶意代码破坏 PLC 并触发故障,下载 PLC 代码进行检查的工程师可能会在不知不觉中破坏自己的机器。下载的代码依赖于利用工作站上的软件漏洞。

“我们能够找到以前未报告的漏洞,使我们能够在上传过程发生时将受影响的 PLC 武器化并攻击工程工作站,”Team82 说。 

更糟糕的是,七家最受欢迎的 PLC 制造商——罗克韦尔自动化、施耐德电气、通用电气、贝加莱、新捷、欧瓦罗和艾默生——都被发现存在漏洞。Team82 指出,它发现的所有漏洞都位于这些供应商制造的工程工作站软件中,而不是 PLC 或其固件中。 

“在大多数情况下,漏洞的存在是因为软件完全信任来自 PLC 的数据,而无需执行广泛的安全检查,”Team82 说。 

尽管这些漏洞已在很大程度上得到修补,但 Team82 警告说,相关组织应将重点放在保护工作站上,就像他们将易受攻击的 PLC 远离公共互联网一样。 

勒索软件和 BEC:暗网中的一对

埃森哲的安全研究人员强调了以下几点:勒索软件攻击后在线销售的数据类型正是发起商业电子邮件泄露 (BEC) 攻击的理想选择。 

BEC 攻击涉及破坏合法的企业电子邮件帐户以用于欺骗公司的员工。虚假发票,通常带有“新的银行详细信息”,通常用于诱骗员工汇出大笔付款,使 BEC 成为目前流通中最流行和最有利可图的网络骗局。

根据埃森哲的说法,其团队“发现披露最多的数据类型与对进行 BEC 和 [供应商电子邮件泄露] VEC 攻击最有用的数据类型重叠:财务、员工和通信数据以及操作文档。” 

埃森哲表示,长期以来阻止网络犯罪分子更多地利用在勒索软件攻击期间被盗数据的一件事是被盗数据的绝对数量。研究人员说:“历史上,专用泄漏现场数据的效用一直受到与大量存储不良数据交互的困难的限制。” 

然而,新的团体正在使这个问题成为过去。 

研究人员指出,至少有两个数据泄露站点在易于使用、可公开访问的站点上提供可搜索的索引数据,而单个记录只需 1 美元。埃森哲表示:“威胁参与者可以搜索特定文件,例如员工数据、发票、扫描件、合同、法律文件 [和] 电子邮件”,以及根据行业或位置寻找公司。 

根据被盗和出售的数据类型,以及索引黑数据市场的兴起,埃森哲表示,它“评估推动 BEC 和 VEC 攻击威胁增加的主要因素……是上述数据的可用性。” 

让这成为对遭受勒索软件攻击的公司的警告:注意 BEC 的迹象,如何防范它,并知道再次受到攻击可能只是时间问题。

转载请注明:VPS资讯_海外云服务器资讯_海外服务器资讯_IDC新闻 » Zoom补丁make-me-root安全漏洞,补丁补丁