标签： 安全漏洞

斯巴鲁安全措施薄弱大量车辆数据易被窃取

斯巴鲁留下了一个巨大的安全漏洞，虽然已经修补，但仍暴露出现代汽车的无数隐私问题。两位安全研究人员报告了他们关于一个容易被黑客入侵的员工门户网站的发现。获得访问权限后，他们能够远程控制测试车辆并查看一年的位置数据。在安全分析师通知斯巴鲁后，该公司迅速修补了漏洞。被黑的管理门户是斯巴鲁STARLINK车联网功能套件的一部分。研究员在领英上找到斯巴鲁员工电邮地址，并在绕过两个必需的安全问题后重置了该员工密码，从而成功入侵。​该管理门户还允许研究员远程启动、停止、锁定和解锁任何与STARLINK连接的斯巴鲁汽车，还可以查询和检索任何客户的个人信息。

—— Engadget、《连线》杂志

研究人员发现斯柯达汽车存在多个安全漏洞

​安全研究人员在某些斯柯达汽车使用的信息娱乐系统中发现多个漏洞。专注于汽车行业的网安公司PCAutomotive本周在欧洲黑帽大会上披露了影响最新款斯柯达Superb III轿车的12个新安全漏洞。攻击者需要通过蓝牙连接汽车的媒体单元才能利用这些漏洞，攻击可以在10米范围内进行，无需身份验证。这些漏洞是在车辆的 MIB3 信息娱乐系统中发现的，攻击者可以利用漏洞实现不受限制的代码执行，并在每次系统启动时运行恶意代码。攻击者可获取车辆实时GPS坐标和速度数据、通过车载麦克风录音、截取信息娱乐显示屏的屏幕并在车内播放任意声音。

—— Techcrunch

谷歌“快速分享”出现安全漏洞 新版本已修复

谷歌警告其“快速分享” (Quick Share) 软件中存在两处安全漏洞。这些漏洞影响 Android 和 Windows 版本，可能允许攻击者在未经用户同意的情况下向 Windows 计算机发送数据。漏洞 (CVE-2024-38272) 的 CVSS 评分为 7.1，允许攻击者绕过 Windows 版“快速分享”中的文件接受对话框。通常，当设置为“接收所有人”或“接收联系人”模式时“快速分享”需要用户确认才能接收文件。然而，这个漏洞使攻击者能够绕过这个安全措施。第二个漏洞 (CVE-2024-38271) 的 CVSS 评分为 5.9，可使恶意行为者能够在数据传输过程中充当中间人。谷歌目前已在“快速分享”最新版本 1.0.1724.0 中修复了这些漏洞。

—— Stackdiary、下载链接

宝塔就“大量用户面板被挂马”发表公告：未发现安全漏洞

公告说：当前有个别用户反馈被挂马的情况，我司立即组织技术团队跟进排查，经过2天的紧急排查，暂未发现Nginx以及面板的安全漏洞，也没有大规模出现被挂马的情况；经分析，此木马主要行为是篡改Nginx主程序，以达到篡改网站响应内容。目前累计收到10个用户反馈网站被挂马，均为境外服务器，我们继续全力跟进和协助用户排查Nginx挂马情况，直到溯源出结果。

—— 宝塔

苹果发布更新修复两个关键的安全漏洞

苹果公司本周为iPhone、iPad和Mac发布了重要的软件更新，修复了苹果公司已知的被攻击者积极利用的两个安全漏洞。

这两个漏洞是在WebKit（为Safari和其他应用程序提供动力的浏览器引擎）和内核（基本上是操作系统的核心）发现的。这两个漏洞同时影响了iOS和iPadOS以及macOS Monterey。

苹果公司说，如果有漏洞的设备访问或处理 “恶意制作的网页内容可能导致任意代码执行”，WebKit的漏洞就会被利用，而第二个漏洞允许恶意应用程序 “以内核权限执行任意代码”，这意味着对设备的完全访问。这两个缺陷被认为是相关的。…

苹果公司表示，iPhone 6s及以后的机型、iPad Air 2及以后的机型、iPad第五代及以后的机型、iPad mini 4及以后的机型和iPod touch（第七代），以及所有iPad Pro机型都受到影响。

—— TechCrunch

名叫geekdada的开发者声称闲蛋中转面板存在一个漏洞，租客可以通过API获取到加密后的服务器密码。该开发者称已获取到解密KEY。