微闻

标签： 漏洞

  • LiteSpeed CacheWordPress插件中存在严重漏洞

    Litespeed Cache 漏洞导致数百万 WordPress 网站暴露在攻击之下

    LiteSpeed Cache WordPress 插件中存在一个严重漏洞，攻击者可以通过创建恶意管理员帐户来控制数百万个网站。

    该插件的用户模拟功能中发现了未经身份验证的权限提升漏洞 ( CVE-2024-28000 )，是由 LiteSpeed Cache 6.3.0.1 及更高版本中的弱哈希校验引起的。安全研究员 John Blackbourn 于 8 月 1 日向 Patchstack 的漏洞赏金计划提交了这个漏洞。LiteSpeed 团队开发了一个补丁，并将其与 8 月 13 日发布的 LiteSpeed Cache 6.4 版一起发布。

    安全研究员 John Blackbourn 于 8 月 1 日向 Patchstack 的漏洞赏金计划提交了这个漏洞。LiteSpeed 团队开发了一个补丁，并将其与 8 月 13 日发布的 LiteSpeed Cache 6.4 版一起发布。

    成功利用该漏洞可使任何未经身份验证的访问者获得管理员级别的访问权限，通过安装恶意插件、更改关键设置、将流量重定向到恶意网站、向访问者分发恶意软件或窃取用户数据，可以完全接管运行易受攻击的 LiteSpeed Cache 版本的网站。

    Patchstack 安全研究员 Rafie Muhammad 周三解释说：“我们能够确定，暴力攻击会迭代安全哈希的所有 100 万个已知可能值并将它们传递到 litespeed_hash cookie 中 – 即使以每秒 3 个请求的相对较低速度运行 – 也能够在几小时到一个星期内以任何给定的用户 ID 访问该网站。 ”

    “唯一的先决条件是知道管理员级别用户的 ID 并将其传递到 litespeed_role cookie 中。确定此类用户的难度完全取决于目标站点，并且在许多情况下，使用用户 ID 1 即可成功。”

    虽然开发团队已于上周二发布了修复此严重安全漏洞的版本，但WordPress 官方插件库的下载统计数据显示，该插件的下载次数仅为 250 多万次，这意味着超过一半使用该插件的网站可能面临攻击。

    —— Bleeping Computer

  • 谷歌终止Google Play漏洞悬赏计划

    谷歌将终止Google Play漏洞悬赏计划

    谷歌当地时间8月19日就“Google Play安全奖励计划（GPSRP）”发布说明称，这一计划将于2024年8月31日停止接收新报告，所有在8月31日之前提交的报告都将得到处理，最终奖励决定将在9月30日该计划正式终止之前做出，最终奖励付款可能需要几周时间处理。

    “Google Play安全奖励计划（GPSRP）”是Google Play与某些Android应用程序的开发者合作提供的漏洞奖励计划，该计划的目标是发现并减少Google Play上应用程序的漏洞，确保Android用户、开发者和Google Play生态系统的安全。

    —— 界面新闻

  • 微软macOS应用存在严重漏洞被忽视

    微软macOS应用存在危险漏洞 但微软不这么看

    思科 Talos 表示，微软 macOS 应用中的八个漏洞可能被恶意人员滥用，从用户设备录制视频和声音、访问敏感数据、记录用户输入以及提升权限。这些漏洞存在于 Excel、OneNote、Outlook、PowerPoint、Teams 和 Word 中，但微软告诉 Talos 不会修复这些漏洞。所有八个漏洞如下所示：

    CVE-2024-42220 (Outlook)
    CVE-2024-42004 (Teams – work or school) (main app)
    CVE-2024-39804 (PowerPoint)
    CVE-2024-41159 (OneNote)
    CVE-2024-43106 (Excel)
    CVE-2024-41165 (Word)
    CVE-2024-41145 (Teams – work or school) (WebView.app helper app)
    CVE-2024-41138 (Teams – work or school) (com.microsoft.teams2.modulehost.app)

    Talos 高级安全研究工程师弗朗西斯科·本韦努托表示：“微软认为这些问题风险较低，他们声称他们的一些应用需要允许加载未签名的库来支持插件，因此拒绝修复这些问题。”

    但苹果的安全模型是基于权限的。例如，黑客可以利用 Word，并将一些代码注入 Word 的进程，他们就能够访问受保护的资源。

    —— The Register

  • Windows 系统防火墙不能阻止 IPv6 远程代码执行漏洞

    研究员：Windows 系统防火墙无法阻止 IPv6 远程代码执行漏洞

    根据赛博昆仑实验室研究员Wei透露的部分消息，攻击者构造的IPv6数据包在到达防火墙进行数据处理之前就可能被触发，因此仅通过开启系统的IPv6防火墙并不能有效阻止攻击。

    结合该漏洞的特性，这进一步验证了之前的推测，即该漏洞可以用于在内网中进行横向攻击，特别是通过内网IPv6地址实施攻击。由于部分场景下的内网设备长期无法进行系统更新，该漏洞对这些没有网络隔离且长期无法更新系统的环境构成了更大的威胁。

    —— XiaoWei’X ，LoopDNS

  • Windows严重安全漏洞存在

    Windows 曝严重安全漏洞，攻击者可零点击远程入侵设备

    此漏洞被编号为 CVE-2024-38063，是一个严重漏洞，评分为9.8。它存在于 Windows 的 TCP/IP 网络堆栈中，是一个严重的远程代码执行漏洞。未经身份验证的攻击者可以通过反复向 Windows 设备发送特制的 IPv6 数据包，触发漏洞并实现远程代码执行。

    攻击者无需任何用户交互即可利用漏洞，入侵系统并获取最高权限。利用难度低，攻击者可以通过批量扫描互联网，寻找存在漏洞的主机。攻击者无需以用户身份进行身份验证。不需要访问受害者计算机上的任何设置或文件。受害者设备用户不需要进行任何交互操作，无需点击链接、加载图像或执行文件。

    强烈建议用户立即更新系统至最新版本。微软正在发布相关补丁以修复此漏洞。如果目标计算机上禁用 IPv6，系统不会受到影响。 大多数情况下，用户获取到的 IPv6 地址为公网地址，因此攻击者极有可能对特定公司、学校、机构或目标人群进行有针对性的入侵。

    —— LoopDNS资讯 ，微软

  • AMD 缩小“Sinkclose”漏洞并发布更新

    AMD 发布更新以缓解“Sinkclose”严重漏洞，但不会覆盖较旧的CPU

    AMD 产品安全部门已针对多个处理器系列发布了更新以缓解此问题，但并非所有处理器系列都包含在内。AMD 没有计划更新其 Ryzen 1000、2000 和 3000 系列处理器或其 Threadripper 1000 和 2000 型号。

    AMD 最近的大多数处理器都已收到缓解选项来处理该问题。这包括 AMD 数据中心的所有 EPYC 处理器、最新的 Threadripper 和 Ryzen 处理器。其 MI300A 数据中心芯片也正在获得补丁。当被问及更新的后果时，该公司表示“预计不会对性能产生影响”。因此，该公司可能仍在进行性能测试，以充分评估补丁对整体系统性能的影响。

    攻击者需要访问系统内核才能利用 Sinkclose 漏洞，因此系统必须已被攻陷。这种攻击本身十分复杂，通常只有受国家支持的黑客才会使用。

    —— Tom’s Hardware

  • AMD 处理器中新发现高危漏洞 Sinkclose

    AMD 公布严重漏洞：影响数亿个CPU，几乎无法修复

    “Sinkclose”是最近发现的高危漏洞，影响了自2006年以来发布的几乎所有 AMD 处理器。此漏洞允许攻击者深入渗透系统，使得检测或删除恶意软件变得极其困难。这个问题非常严重，在某些情况下，放弃受感染的机器可能比修复更容易。不过，由于该漏洞18年来一直未被发现，因此很可能未被利用过。AMD 也提供了新版固件和微码补丁，尽管并非所有受影响的处理器都已收到补丁。

    Sinkclose 漏洞允许黑客在 AMD 处理器的系统管理模式 (SMM) 中执行代码，这是一个通常为关键固件操作保留的高权限区域。要利用此漏洞，攻击者必须首先获得系统内核的访问权限，这并不容易，但并非不可能。不过，系统必须已经受到其他攻击的攻击。

    一旦获得这种访问权限，Sinkclose 漏洞就会允许犯罪分子安装可以逃避标准防病毒工具检测的 bootkit 恶意软件，这种恶意软件在系统中几乎不可见，并且即使在重新安装操作系统后仍能持续存在。

    该漏洞利用了 AMD 芯片中名为 TClose 的模糊功能，该功能旨在保持与旧设备的兼容性。通过操纵此功能，研究人员能够重定向处理器以在 SMM 级别执行自己的代码。这种方法很复杂，但为攻击者提供了对系统的深度和持久控制。

    —— tom’s Hardware

  • 黑客可利用5G基带漏洞监视手机用户

    研究人员称黑客可利用5G基带漏洞监视手机用户

    宾夕法尼亚州立大学的研究人员于周三在拉斯维加斯举行的黑帽网络安全会议上展示了他们的研究成果并发表了一篇学术论文。研究人员表示，他们在不同的5G基带中发现了一系列安全漏洞，这些漏洞可能让黑客秘密地入侵受害者并对其进行监视。研究员使用他们自制的分析工具，发现了三星、联发科和高通基带漏洞。并成功诱使那些存在5G基带漏洞的手机连接虚假基站，然后从那里发起攻击。通过利用发现的漏洞，恶意黑客可以假装是受害者的朋友并发送可信的网络钓鱼消息。或者通过将受害者的手机引导到恶意网站。研究员还能够将受害者从5G降级到4G甚至更早的协议，从而更容易窃听受害者的通信。 三星、谷歌表示已修复这些漏洞。

    —— Techcrunch

  • 可绕过锁屏高危漏洞？

    被曝可绕过锁屏高危漏洞？搜狗：仅在特定Windows系统 已紧急修复

    有市民近日收到了工作单位的通知，指出搜狗输入法存在一个能够轻易绕过电脑锁屏夺取系统权限的高危漏洞，攻击者可以通过部分版本搜狗输入法绕过系统登录密码，在锁屏的情况下执行CMD命令，获取本机系统权限。因此要求卸载该输入法。

    对此，搜狗输入法昨日回应称，经安全团队排查，该问题仅存在于特定版本Windows系统，是由于微软屏幕键盘等相关程序主动以特权接口加载中文输入法导致，“我们已将此系统漏洞通知微软相关团队。”“在微软修复该漏洞前，为更有效保护用户安全，我们已采取了主动规避措施，在Windows登录界面下搜狗输入法将主动退出加载执行。”搜狗输入法补充道，该问题已被紧急修复。

    —— 财联社

  • 商家利用平台漏洞让人私收共享充电宝

    “将共享充电宝据为己有”有教程？

    近日，有网友向北青报记者表示，有多名商家在二手商品交易平台上发布了“不花钱将共享充电宝据为己有”的教程，宣称可以不花一分钱，就将市面上常见的共享充电宝变成个人所有。按照商家提供的“教程”，记者来到两家商城，分别租借了两家不同品牌的共享充电宝。按照“教程”联系平台客服沟通后，两家的客服均在未归还充电宝的情况下结束了租借订单。对此，共享充电宝平台客服表示，客户提出诉求后，平台会优先帮助用户解决问题，因此会先选择信任客户。针对此类问题，客服会向上级反馈核实，及时加强管理。北京市康达律师事务所律师韩骁表示，行为人主观上具有非法占有目的，客观上利用漏洞和平台的信任将共享充电宝据为己有，符合秘密窃取的行为特征，客观上有盗窃行为，在一定条件下可构成盗窃罪。

    —— 新华社