React APP泄露23.8万用户位置信息;嗅探Windows BitLocker密钥;AZORult木马

发布时间 2019-03-25
1、澳大利亚React APP意外泄露23.8万用户的位置信息



安全研究人员Sanyam Jain发现澳大利亚的一个流行的家庭跟踪应用React App意外泄露超过23.8万用户的实时位置信息。该应用的后台MongoDB数据库未设密码,导致任何人都可以进行访问。泄露的数据包括用户的姓名、电子邮件地址、个人资料照片、明文密码以及家庭成员的实时位置信息,这些数据均未加密。


原文链接:

https://www.databreaches.net/a-family-tracking-app-was-leaking-real-time-location-data/

2、英国警察联合会PFEW官网遭勒索App攻击



英国警察联合会(PFEW)官网遭到勒索App攻击,这一事件发生在3月9日,但直到3月21日才被公布。根据官方发布的声明,其电子邮件服务及文件系统均无法访问,备份数据也被删除,所有数据均被加密并且无法访问。该事件已被报告给数据保护监管机构(ICO)和国家打击犯罪局(NCA),NCA已针对此事展开刑事调查。


原文链接:

https://www.securityweek.com/uk-police-federation-hit-ransomware

3、AZORult木马新变种,主要针对俄罗斯和印度



卡巴斯基实验室发现数据窃取木马AZORult的一个新变种,由于该变种是用C++而不是Delphi编写的,因此该变种被称为AZORult++。研究人员称AZORult++比之前的版本更加危险,除了可以收集用户数据(包括凭据、浏览器历史纪录 和Cookie)并发送至C&C之外,该变种还可以创建新管理员账户并建立远程桌面连接。AZORult++主要用于针对俄罗斯和印度的受害者。


原文链接:

https://www.infosecurity-magazine.com/news/new-variant-of-azorult-trojan-1/

4、脸书开源项目Fizz存在漏洞,可导致DoS



Semmle安全研究员Kevin Backhouse发现脸书的开源项目Fizz存在一个严重的DoS漏洞。Fizz是TLS 1.3协议的开源实现,主要用于脸书的基础设施之中。该漏洞(CVE-2019-3560)源于16位无符号数加法中的整数溢出,可导致死循环,未经身份验证的远程攻击者可通过发送tcp包触发该漏洞。脸书已在Fizz新版本2019.02.25.00中修复了该漏洞。


原文链接:

https://threatpost.com/dos-bug-脸书-fizz-tls/143086/

5、研究人员发现嗅探Windows BitLocker密钥的新方法



Pulse Security研究人员Denis Andzakovic发现嗅探Windows BitLocker加密密钥的新方法。正常情况下启动Bitlocker进行加密时只需要输入密码,研究人员使用30美金的现场可编程门阵列(FPGA)连接到硬盘,然后通过嗅探工具从LPC总线中获得密钥。通过这种攻击手法,研究人员成功从Surface Pro 3的TPM 2.0模块中嗅探到Bitlocker的密钥。


原文链接:

https://nakedsecurity.sophos.com/2019/03/21/researcher-finds-new-way-to-sniff-windows-bitlocker-encryption-keys/

6、研究人员在Oracle Java Card中发现18个安全漏洞



安全研究员Adam Gowdiak在Oracle的Java Card技术中发现18个安全漏洞,这些漏洞可打破底层Java Card VM的内存安全性,实现对智能卡内存的完全访问、突破applet防火墙及本地代码实行。Gowdiak称这些漏洞是由于Java Card的实现采用了过去的一些架构导致的。由于Java Card技术主要用于金融、政府、运输和电信等领域,使得这些漏洞更为危险。研究人员称Oracle和金雅拓正在对这些问题进行调查。


原文链接:

https://www.scmagazineuk.com/multiple-vulnerabilities-found-java-card/article/1579791

声明:本资讯由澳门浦京娱乐场维他命安全小组翻译和整理