微闻

标签： 漏洞

  • 《DuckDuckGo隐私漏洞：是否真的如想象中的那么安全》

    DuckDuckGo 并不像你想象的那么私密，必应合同禁止DuckDuckGo完全阻止微软追踪

    DuckDuckGo并不像你想象的那样隐私。”由于保密的搜索协议，DuckDuckGo浏览器没有阻止所有微软的跟踪器，”Review Geek报道。”更糟糕的是，DuckDuckGo在被一个安全研究人员发现后才承认这个’隐私漏洞'”。

    安全研究员@thezedwards发现，手机DuckDuckGo浏览器并没有阻止第三方网站上的微软追踪器，例如Facebook旗下的Workplace.com。DuckDuckGo的CEO Gabriel Weinberg现在正在Twitter上进行损害控制。

    他解释说，微软无法看到你在DuckDuckGo中搜索的内容，DuckDuckGo浏览器阻止所有微软的cookies。但是，如果你访问了一个包含微软追踪器的网站，那么你的数据就会暴露在Bing和LinkedIn等服务中。这是DuckDuckGo与微软的 “搜索联合协议 “的结果。为了从必应拉取搜索信息，DuckDuckGo的隐私专家必须在其浏览器的安全系统中捅出漏洞。

    虽然DuckDuckGo在涉及微软的广告时有一个坚实的隐私政策，但它还没有解释微软如何使用来自第三方跟踪器的数据。而这是相当令人震惊的。也许这种情况被夸大了，或者微软可以根据你在DuckDuckGo的网络活动建立有针对性的广告档案–我们不知道，因为DuckDuckGo签署了保密协议。Gabriel Weinberg说，DuckDuckGo正在 “不知疲倦地在幕后工作”，以改善其与微软的交易。此外，他预计DuckDuckGo将在未来的更新中 “包括更多第三方微软保护”。

    —— reviewgeek，slashdot

  • Oracle Java 15及更高版本中存在严重漏洞

    Oracle 上周修补了 Java 15 及更高版本中的一个严重错误，该错误使攻击者可以伪造 TLS 证书和签名、双因素身份验证消息等

    使用甲骨文较新版本的 Java 框架的组织在上周三收到提醒。一个关键的漏洞可以使黑客很容易伪造TLS证书和签名、双因素认证信息以及由一系列广泛使用的开放标准产生的授权凭证。

    甲骨文公司上周二修补了这个漏洞，它影响到该公司在Java 15及以上版本中对椭圆曲线数字签名算法的实现。ECDSA是一种利用椭圆曲线密码学原理对信息进行数字认证的算法。与RSA或其他加密算法相比，ECDSA的一个关键优势是它生成的密钥规模较小，这使得它非常适合用于包括基于FIDO的2FA、安全断言标记语言、OpenID和JSON等标准。

    该漏洞被追踪为CVE-2022-21449，其严重性评级为7.5（满分10分），但Madden说，根据他的评估，他将其严重性评级为10分，”因为在访问管理背景下对不同功能的影响范围很广”。该漏洞可以被脆弱网络之外的人利用，根本不需要验证。

    —— arstechnica

  • ApiPost版本安全漏洞

    国产API调试工具 ApiPost 被曝6.x 版本不能联网，所有的接口和项目信息丢失。该版本似乎没有本地存放信息的机制。

    另外通过用户分享的聊天记录显示，该公司已经至少拖欠了推广者两次广告费。

    在西方社会高举数字制裁铁拳的时候，ApiPost 依靠凸显其国产软件的身份和大量广告投入获得了较大的用户增量。

  • 钉钉远程执行漏洞

    有网友发现一个钉钉的远程执行漏洞（RCE）

    触发方式见视频，有懂行的专业人士可以分析一下危害性。

    https://github.com/crazy0x70/dingtalk-RCE

  • 远程桌面工具有漏洞

    传向日葵远程桌面工具有远程代码执行漏洞

    有漏洞的版本包括 11.1.1、10.3.0.27372、11.0.0.33162，使用这些版本的用户应该立即停止使用。

    V2EX的cweijan认为根据代码，使用公网 IP 的计算机运行向日葵才会有这个风险，个人电脑无碍。

    https://github.com/Mr-xn/sunlogin_rce

  • 远程桌面工具有远程代码执行漏洞

    传向日葵远程桌面工具有远程代码执行漏洞

    有漏洞的版本包括 11.1.1、10.3.0.27372、11.0.0.33162，使用这些版本的用户应该立即停止使用。

    V2EX的cweijan认为根据代码，使用公网 IP 的计算机运行向日葵才会有这个风险，个人电脑无碍。

    https://github.com/Mr-xn/sunlogin_rce

  • Log4j 2.17 出现新 RCE 漏洞

    Log4j 2.17 可能的新 RCE

    相关对话在 Twitter 上展开，请持续关注。

    ==Update==============
    Log4j 2.17 出现新 RCE 漏洞

    影响范围：2.0-beta7 ～ 2.17.0

    利用条件：
    1.You are loading configuration from a remote server and/or someone can hijack/modify your log4j configuration file;
    2. You are using the JDBC log appender with a dynamic URL address.

    详细信息：CVE-2021-44832

    总结：需要在非默认配置下才能被利用，属实是屑啦，不必惊慌。

  • Apache Log4j2存在严重的远程代码执行漏洞

    Java 日志框架 Apache Log4j2 被发现存在严重的远程代码执行漏洞

    2021年12月10日，阿里云安全团队发现 Apache Log4j 2.15.0-rc1 版本存在漏洞绕过，请及时更新至 Apache Log4j 2.15.0-rc2 版本。

    Apache Log4j2是一款优秀的Java日志框架。2021年11月24日，阿里云安全团队向Apache官方报告了Apache Log4j2远程代码执行漏洞。由于Apache Log4j2某些功能存在递归解析功能，攻击者可直接构造恶意请求，触发远程代码执行漏洞。

    漏洞利用无需特殊配置，经阿里云安全团队验证，Apache Struts2、Apache Solr、Apache Druid、Apache Flink等均受影响。2021年12月10日，阿里云安全团队发现 Apache Log4j 2.15.0-rc1 版本存在漏洞绕过，请及时更新至 Apache Log4j 2.15.0-rc2 版本。阿里云应急响应中心提醒 Apache Log4j2 用户尽快采取安全措施阻止漏洞攻击。

  • Linux内核存在远程接管漏洞

    安全网站披露 Linux 内核漏洞允许远程接管

    卡巴斯基实验室安全新闻服务 Threatpost 网站发布的消息说：

    该漏洞（CVE-2021-43267）存在于允许Linux节点相互发送加密密钥的TIPC消息类型。

    Linux内核的透明进程间通信（TIPC）模块中存在一个关键的堆溢出安全漏洞，可能允许本地利用和远程代码执行，导致系统完全被破坏。

    TIPC是一个点对点协议，由Linux集群内的节点以优化的方式相互通信；它可以实现各种类型的消息，用于不同的目的。根据SentinelOne的SentinelLabs，有关的错误（CVE-2021-43267）特别存在于一种允许节点相互发送加密密钥的消息类型中。当收到时，这些密钥可用于解密来自发送节点的进一步通信。

    Critical Linux Kernel Bug Allows Remote Takeover

    漏洞详情：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-43267

  • 苹果iOS15安全漏洞未被修复

    研究人员披露：苹果对iOS15安全漏洞置若罔闻

    一位安全研究人员在今年 3月10日到5月4日期间向苹果报告了四个 0-day 漏洞，而在接近9月底，其中三个漏洞仍然存在于iOS 15版本 (15.0) 中。

    他只得将这3个漏洞公开，目前 iOS15.0 中仍然存在这些漏洞。

    https://habr.com/en/post/579714/