《维他命》每日安全简讯20190228

发布时间 2019-02-28
1、Android版SHAREit存在2个漏洞,影响5亿多用户


安全研究人员在SHAREit的Android APP中发现两个高危漏洞,可允许攻击者绕过设备的身份验证机制并窃取包含敏感信息的文件。SHAREit是适用于Android、iOS、Windows和Mac的流行文件共享应用,根据RedForce研究人员的表述,Android版SHAREit具有超过5亿用户,这些用户都容易受到攻击。SHAREit已在2018年3月修复了这些漏洞,考虑到漏洞的影响范围太广,研究人员于本周一才披露了相关细节。

   

原文链接:

https://thehackernews.com/2019/02/shareit-android-hacking.html

2、雷电接口Thunderclap漏洞预警,可读取内存敏感数据


在NDSS 2019安全会议上,研究人员披露了影响雷电接口的Thunderclap漏洞,该漏洞允许恶意设备直接从操作系统的内存中窃取数据,这可能包含高度敏感的信息。Windows、Mac、Linux和FreeBSD系统都受到影响,尤其是苹果自2011年的MacBook Pro笔记本便开始加入雷电接口,现款的笔记本更是全部配备了雷电3接口。苹果在2016年便通过macOS 10.12.4更新修复了该漏洞,Windows 10也在1803之后的版本中加入了雷电3接口的内核DMA保护,此外,英特尔也承诺会为Linux内核的系统提供修补丁,将在5.0内核时放出。

  

原文链接:

https://www.zdnet.com/article/thunderclap-flaws-impact-how-windows-mac-linux-handle-thunderbolt-peripherals/

3、NVIDIA发布GPU驱动程序的安全更新,修复8个漏洞


NVIDIA发布其GPU驱动程序的安全更新,修复了GeForce、Quadro、NVS和Tesla等产品中的8个安全漏洞。这些漏洞可导致代码实行、拒绝服务、权限提升或信息泄露等,建议用户尽快安装更新。其中5个漏洞的CVSS评分为8.8,包括3D视觉组件中的漏洞(CVE?2019?5665)和内核模式层nvlddmkm.sys中的四个漏洞(CVE?2019?5666~CVE?2019?5669)。详细漏洞列表请参考以下链接。

  

原文链接:

https://www.securityweek.com/nvidia-patches-high-risk-vulnerabilities-gpu-display-drivers

4、思科WebEx Meetings新漏洞,可提权至SYSTEM


研究人员在思科Webex Meetings的Windows桌面应用中发现一个提权漏洞,该漏洞(CVE-2019-1674)可允许无特权的本地攻击者提权至SYSTEM权限并实行任意命令。该漏洞影响了WebEx版本33.6.4.15至33.8.2.7,根据研究人员的表述,该漏洞是思科在修复DLL劫持漏洞(CVE-2018-15442)时引入的一个新漏洞。

  

原文链接:

https://www.bleepingcomputer.com/news/security/new-elevation-of-privilege-vulnerability-found-in-cisco-webex-meetings/

5、孟加拉大使馆官网遭黑客入侵,官网被植入恶意代码


孟加拉国驻开罗大使馆的官网遭黑客入侵,当用户访问任何页面时,将会强制下载名为Conference_Details.docx的恶意Word文档。根据Trustwave的报告,该恶意文档利用了漏洞CVE-2017-0261,并向用户安装MSBuld.exe文件。VirusTotal的检测结果表明这是一个密码窃取木马。由于Trustwave并未能与网站所有者联系上,因此当前该网站仍处于被感染状态。
  原文链接:
https://www.bleepingcomputer.com/news/security/web-site-for-a-bangladesh-embassy-compromised-with-malicious-docs/

6、浏览器挖矿脚本Coinhive将于3月8日停止服务


Coinhive宣布将于3月8日停止服务。Coinhive是一个JavaScript挖矿脚本,旨在允许网站利用访问者的CPU资源进行挖矿。其即将关闭的原因是门罗币的最后一个硬分叉导致哈希率下降了50%,以及门罗币在一年内贬值超过85%。在2019年3月8日之后,该挖矿脚本将停止服务,但用户仍可以在4月30日之前花光其余额。这一消息意味着大量利用Coinhive脚本的恶意挖矿活动也将停止。

  

原文链接:

https://www.bleepingcomputer.com/news/technology/coinhive-in-browser-cryptomining-service-shuts-down-on-march-8/

声明:本资讯由澳门浦京娱乐场维他命安全小组翻译和整理