5/2~5/8一定要看的資安新聞

引爆臉書資料外洩風暴的Cambridge Analytica倒閉了

涉及臉書(Facebook)8,700萬名用戶資料外洩事件的英國劍橋分析(Cambridge Analytica)5月2日宣布,該公司即刻停止營運,且正分別向英國與美國法院申請破產。

在此一資料外洩事件中,除了臉書之外,另一個眾矢之的就是劍橋分析了,該公司主要提供選舉期間的資料分析與顧問服務,被指控違法利用臉書用戶資料推動目標式廣告,企圖於美國總統大選中影響選民的政治立場。更多內容

 

俄羅斯擴大封殺Telegram,封鎖50個VPN與代理服務

俄羅斯媒體TASS最近報導,俄羅斯的通訊暨媒體主管機關Roskomnadzor已封鎖了50個VPN,以及可於當地存取Telegram的服務,而且數量還在持續增加中。

俄羅斯情報局(FSB)在去年要求Telegram交出用戶的通訊加密金鑰,去年莫斯科法院因Telegram不肯遵循當地政府的要求而判罰80萬俄國盧布(約1.4萬美元),繼之在今年4月13日宣布封鎖Telegram。更多內容

 

Google Shopping假商家真詐騙,傳Google主管也受害,一舉砍掉5千個詐騙帳號

 CNBC近日報導,Google一名高階主管向Google Shopping商家下單買了高階耳機,付了錢卻遲遲沒到貨,客服電話也不通,才察覺這是一起詐騙案,順勢掃蕩了Google Shopping上的5,000個詐騙帳號。

Google Shopping原本只是Google旗下的產品搜尋服務,名稱從Google Product Search、Google Products到Froogle,一直至2012年5月才正名為Google Shopping,並改為付費廣告服務,只有支付廣告費的商家才能於Google Shopping上陳列商品,還提供比價功能,不過,點選商品連結時是連到商家的網站,Google完全不經手之後的交易或支付流程。更多內容

 

Windows 10 4月更新傳災情,部份用戶電腦變磚塊

 近期Windows 10 4月更新(April Update,1804版)正式釋出後,用戶也陸續接到並安裝更新。不過卻造成部份Chrome用戶電腦變磚塊的情形。微軟表示將在5月功能更新中釋出修補程式。

最近有Windows 10 PC用戶透過Reddit反映電腦安裝最新Windows 10更新後螢幕全黑變磚塊。唯一方法是電腦重開機、或重新啟動顯卡驅動程式。大部份問題出現在Chrome或Chromium上,但也有少部份人表示使用Firefox及Cortana等app出現類似問題。更多內容

 

Google釋出全新機密運算開發框架Asylo,助企業建構TEE應用保護機密資料

Google開源用於機密運算的框架Asylo,Google稱Asylo為一種全新的開發框架,讓企業能更容易的在機密運算環境中,維護應用程式以及資料的機密性以及完整性。

Google提到,保護資料是在雲端架構執行工作負載時的首要工作,儘管雲端架構有不少安全控制措施,但或許部分企業仍希望對極敏感的工作提供額外的驗證隔離,而這些功能被稱為機密運算。更多內容

 

駭客利用GPU與WebGL可開採記憶體設計漏洞Rowhammer,兩分鐘就能取得手機權限

在2016年曾揭露存在於動態隨機存取記憶體(DRAM)之Rowhammer漏洞的阿姆斯特丹自由大學(Vrije Universiteit Amsterdam)漏洞安全實驗室VUSec Lab於近日再度披露攻擊Rowhammer的新途徑,這次該實驗室利用了GPU與瀏覽器標準之一的WebGL,於兩分鐘就取得了Android手機權限,並將其命名為GLitch攻擊。

Rowhammer被視為DRAM的設計漏洞,現今的記憶體為了擴大容量並維持其尺寸,記憶元(Cell)的密度也愈來愈高。因此,當駭客鎖定所要攻擊的記憶體列時,只要重複造訪隔壁列的記憶元,就會造成記憶體控制電路的電壓波動,影響目標記憶體列,造成位元翻轉現象,例如1變成0或0變成1,駭客只要依照需求持續變更記憶體內的位元,最終將可操控作業系統數據並取得最高權限。更多內容

 

快變更密碼!推特發現內部加密功能有漏洞,可能讓3.3億用戶密碼曝光

推特(Twitter)近日發現一個加密系統的漏洞導致3.3億用戶密碼被以明碼儲存,周四呼籲儘速更新密碼。

推特是利用bcrypt演算法,對用戶密碼進行雜湊處理,這種加密方式可將真實密碼以隨機的字母與數字取代儲存在推特的系統中。藉此系統可以在不顯示密碼情況下進行用戶身份驗證,也是產業標準作法。更多內容

 

 Windows Server容器套件含遠端程式碼執行漏洞,用Windows主機執行容器要快更新

使用Windows環境執行容器的企業用戶要小心了,近日微軟公開了編號CVE-2018-8115的漏洞。在Windows Server容器套件hcsshim(Host Compute Service Shim)的函式庫中,隱含了遠端程式碼執行漏洞。微軟表示,該漏洞會讓系統無法正確認證使用者上傳的容器映像檔,因此,攻擊者可事先準備特殊設計的容器映像檔,裡頭打包著惡意程式碼。一旦握有系統權限的管理員,不慎將此映像檔上傳至Windows主機,該惡意容器映像檔便可透過此漏洞,對主機發動攻擊。

而早在2月時,資安研究員Michael Hanselmann就已經發現該漏洞,並且主動回報至微軟安全性回應中心(MSRC)及Docker。他表示,微軟在5月2日所發佈的hcsshim 0.6.10版已經修補。目前,企業如果使用Docker CE 18.03.1或Docker CE 17.05.0-rc1版,都已經內建該漏洞的更新檔,而使用Docker EE 17.06版的企業,Michael Hanselmann則提醒要下載最近期的更新檔。更多內容

 

 Linux核心腦損傷臭蟲,可能促使PostgreSQL資料遺失且沒有任何錯誤通知

PostgreSQL社群發現,在Linux上使用PostgreSQL,有機會發生核心處理I/O錯誤造成資料遺失,且系統不會回報任何的錯誤訊息,PostgreSQL執行緩衝I/O的方式惡化了這個錯誤,Linux社群表示,這並非Linux獨有的問題,OpenBSD和NetBSD都可能受影響而且很難解決。

PostgreSQL支援工程師Craig Ringer在3月的時候,於pgsql-hackers郵件列表首次回報了這個問題。簡單來說,當fsync()被呼叫,PostgreSQL便會假設所有資料都成功寫入到永久儲存中,但事實並非總是如此。更多內容

 

Google Maps 網址分享漏洞使用戶被導向詐騙網站

安全公司發現有駭客利用Google Maps的網址分享功能出現漏洞及即將關閉的短網址服務,使不知情的用戶被導向詐騙網站。

Google Maps上有項網址分享功能,可讓使用者將網址透過郵件及通訊軟體分享給友人。Sophos研究人員Mark Stockley分析近日的一次攻擊行動中,發現這項服務存在開放重導向(open redirect)漏洞,可讓攻擊者將設定的HTTP導向的目的地變更,而導向外部惡意網站。此外,另一個同出於Google的短網址服務也遭到利用。Google 3月宣佈將在明年停止goo.gl的短網址服務,可用來隱藏使用者將被導向的真實網址。更多內容

熱門新聞

Advertisement