圖片來源: 

臺灣HITCON CTF戰隊領隊李倫銓

0808-0814 一定要看的資安新聞

 

#VPN漏洞  #遠端執行漏洞  #黑帽大會

臺灣資安研究員在黑帽大會揭露致命SSL VPN漏洞

今年的美國黑帽大會(Black Hat USA)上,來自臺灣的資安公司戴夫寇爾(DEVCORE)資安研究員Orange Tsai(蔡政達)與Meh Chang公布安全漏洞,主要出問題的產品是Fortinet與Pulse Secure的SSL VPN,他們也揭露了可能的攻擊手法。

此次的發表,緣自於這2名研究員在今年3月進行紅隊演練時,發現3個知名資安品牌SSL VPN漏洞,其中Palo Alto部分已於7月公開,這次則公布另外2個廠牌解決方案的漏洞,並且透過Pulse Secure的SSL VPN漏洞成功攻入推特,以喚醒更多企業對此漏洞的重視。Orange Tsai也因此成為推特漏洞獎勵計畫有史以來,首名提報遠端執行漏洞(RCE)漏洞的資安專家,並獲得20,160美元獎金。詳全文

圖片來源:臺灣HITCON CTF戰隊領隊李倫銓

 

#漏洞攻擊  #開發安全  #黑帽大會

逾40款硬體驅動程式漏洞非常危險,可讓駭客在Windows核心執行惡意程式

安全廠商Eclypsium在美國黑帽大會上公布,由20多家硬體廠商推出的40多款驅動程式,存在提升權限的漏洞,導致攻擊者能從Windows核心執行惡意程式。英特爾、Nvidia,以及多家臺灣硬體廠商都上榜。

該公司的首席研究分析師Mickey Shkatov指出,造成這些漏洞的原因,其實是在驅動程式編寫實務上,沒有考量開發安全所致。因程式人員沒有限制驅動程式可執行的任務類別,導致原本在使用者空間(User Space)中執行的低權限App,得以於Windows 核心執行。Mickey Shkatov表示,包含較新版本的Windows作業系統都會受到影響。詳全文

 

#RDP  #漏洞濫用  #黑帽大會

嚴重RDP漏洞遭微軟忽視!直至察覺會影響Hyper-V才願意修補

RDP漏洞今年特別受到關注,但廠商發布公告及修補慢半拍,引發爭議。Check Point安全研究人員Eyal Itkin在美國黑帽大會上踢爆,他們曾在2018年10月向微軟提交遠端桌面協定(RDP)漏洞,但當時該公司不以為意,直到察覺會危及Hyper-V,才申請了CVE-ID漏洞編號,並於今年7月修補。

Eyal Itkin向微軟提報了該漏洞後,該公司於12月回應,表示這個路徑跨越(Path Traversal)漏洞雖然存在,但並未符合微軟的維修門檻,因此不打算修補,也不會申請漏洞編號。不過,在Eyal Itkin展開進一步的研究之後,這個漏洞能在Hyper-V的增強工作階段中,衍生出用戶端到主機端的逃逸漏洞,這個研究結果,意味著Hyper-V管理員繼承了所使用的函式庫裡的安全漏洞。

微軟接獲Eyal Itkin的2度通報之後,已於7月完成修補這個列管編號為CVE-2019-0887的漏洞。詳全文

 

#即時通訊  #漏洞濫用  #黑帽大會

WhatsApp漏洞允許駭客冒名與竄改訊息

冒名傳送訊息在即時通訊的應用上,將會造成嚴重的後果。Check Point在美國黑帽大會揭露WhatsApp的3項漏洞,其中一個允許在群組內的駭客,利用引言功能竄改發言人的身分,甚至能改成非群組成員;第2個漏洞允許攻擊者任意變更群組成員所回應的訊息;另一個漏洞則是允許駭客使用看似公開的訊息,實際卻以私有訊息傳送到群組的成員,造成該名成員公開回應此事。

目前,臉書僅修補完第三個漏洞,前兩個依然存在,Check Point則實際展示如何攻陷這些漏洞。The Next Web表示,傳聞臉書正在開發WhatsApp桌面版軟體,以緩解上述的漏洞。詳全文

 

#傳輸協定  #漏洞攻擊 

PTP圖片傳輸協定傳漏洞,能讓駭客在數位相機植入勒索軟體加密記憶卡

廣為數位相機採用的圖片傳輸協定(PTP),竟成為攻擊者用來植入勒索軟體的管道。根據Check Point本週的揭露,駭客能透過相機與電腦之間的圖片傳輸協定漏洞下手,而且不論受害者是使用實體的USB還是Wi-Fi連線,都無法倖免於難。該公司也於Canon EOS 80D相機上展示概念性驗證攻擊,植入勒索軟體並加密SD記憶卡上的所有檔案。

Canon在今年3月底收到Check Point的通報之後,便與Check Point合作修補漏洞,並更新韌體鼓勵用戶安裝,Canon強調,迄今尚未發現任何相關的攻擊行動。詳全文

圖片來源:Check Point

 

#漏洞攻擊

Steam用戶端軟體出現權限擴張漏洞,波及近2億用戶

代號為Felix的俄羅斯安全研究人員揭露Steam用戶端程式漏洞,允許駭客取得Windows電腦的管理員權限,並且執行任意程式。雖然Felix先行通報Valve,卻遭到拒絕,使得Felix決定公布漏洞細節。這個漏洞粗估影響約1.7億名Steam用戶。

這名研究人員表示,他在6月於HackerOne的抓漏獎勵專案,回報上述漏洞,並且通過HackerOne的審核,最後卻被Valve打了回票。Valve的理由,竟是駭客必須必須實際接觸使用者裝置,才能發動攻擊,因此不符專案的漏洞要件。在Felix揭露漏洞資訊後,另一名研究人員很快就在GitHub釋出概念性驗證攻擊程式。詳全文

 

#詐騙攻擊  #身分驗證機制濫用

假量心率真詐財,iOS詐騙死灰復燃

利用iPhone量測心臟運作情形的用戶要注意了,根據9to5Mac網站的報導,一款名為Pulse HeartBeat的詐騙應用程式,再度出現於蘋果App Store上,並且在推特上打廣告,吸引更多受害者上當。

使用者開啟這款應用程式後,便會被要求以食指按住Home鍵來量測心臟跳動的頻率,但實際上,App在螢幕上會顯示確認購買的認證訊息,假若使用者採用已經登錄Touch ID的手指按著Home鍵,信用卡便會因此扣款。所幸蘋果似乎採取了行動,而目前App Store上無法找到Pulse HeartBeat。詳全文

 

#遠端攻擊  #軍艦攻擊

網路攻擊也能透過直接寄送實體裝置來發動!IBM展示軍艦攻擊新型手法

最近IBM X-Force Red團隊展示名為軍艦攻擊(Warshipping)的手法,透過寄送具有網路攻擊能力的客製化單板電腦裝置,到目標企業或是特定人士辦公室,進而監聽企業內部網路的資訊。X-Force Red團隊指出,經過他們的實驗,這個軍艦攻擊的概念完全可行,駭客可成功對目標系統建立持久網路通訊,並獲得完全存取權限。

事實上,軍艦攻擊的概念,來自於2005年美國企業TJX遭受的戰爭駕駛(Wardriving)攻擊,駭客駕駛裝載無線裝置的車輛,在TJX店面停車場附近徘徊,藉此滲透該公司網路,最終得手數百萬顧客資料,TJX因此損失20億美元。但這種手法因車輛極為頻繁出現在相同街道,可能會遭到懷疑,因此,X-Force Red改以成本極低的單板電腦,讓攻擊者能在遠端遙控並發動攻擊。

實作這種型態的攻擊後,該資安團隊表示,企業必須加強管制寄送到公司的包裹,並監控無線網路的狀態,以避免遭到軍艦攻擊入侵。詳全文

圖片來源:IBM

 

更多資安動態

博通以107億美元併購賽門鐵克企業安全部門
蘋果抓漏獎勵計畫將涵蓋macOS、watchOS、Apple TV
微軟透過修補程式關閉Windows 7、8.1的VBScript
中國駭客組織APT41濫用政府資源盜取遊戲虛擬貨幣  

熱門新聞

Advertisement