TAG:漏洞

0day “In the Wild”(googleprojectzero.blogspot.com)
2020-11-21 20:48
零项目团队的任务是“使零日工作变得艰难”,即使发现和利用安全漏洞的成本更高。我们主要通过执行自己的安全性研究来实现这一目标,但有时我们还会研究“在野外”发现的零日漏洞的外部实例。这些案例以真实的方式很好地增强了我们从自己的研究中获得的见解,从而提供了对现实世界中攻击者行为和功能的有趣观察。 今天,我们将共享针对检测到......
2020-11-21 13:14
思科正在其Webex视频会议软件中推出针对三个漏洞的修复程序,这使闯入者可以以“幽灵”的身份窃听会议,这意味着能够查看,收听和收听更多内容,而不会被组织者或任何其他人看到参加者。 这些漏洞是由IBM Research和IBM的CISO办公室发现的,该办公室对Webex进行了分析,因为Webex是该公司进行远程会议的主......
2020-11-16 9:53
Bumble引以为豪的是,它是一款更具道德意识的约会应用。但它在保护9500万用户的私人数据方面做得足够吗?据《福布斯》杂志在其公开发布前进行的研究显示,在某些方面,情况并非如此。 总部设在圣地亚哥的独立安全评估机构的研究人员发现,即使他们被禁止使用这项服务,他们也可以使用Bumble获取大量约会对象的信息。在本月早......
2020-11-14 20:58
随着存储在计算机上的敏感数据的数量在过去十年里呈爆炸式增长,硬件和软件制造商投入了越来越多的资源,以确保设备在丢失、被盗或被没收的情况下不会受到物理攻击。本周早些时候,英特尔修复了一系列漏洞,使攻击者有可能在数百万使用其CPU的电脑上安装恶意固件。 这些漏洞使得拥有物理访问权限的黑客可以推翻英特尔内置到现代CPU中的......
2020-11-12 23:3
Toshin是莫斯科的一名23岁的安全研究员,主要专注于移动应用安全。Toshin告诉TechCrunch,凭借他对不同移动安全漏洞的了解,他构建了一个定制的Android移动应用漏洞扫描程序,可以快速、自动地发现应用程序代码中的漏洞。 扫描程序的工作原理是反编译安卓应用程序,逐行运行源代码--就像人类一样--并检测......
2020-11-10 4:26
但我们没有看到像四年前那样的黑客泄密行动,尽管希拉里·克林顿以300万张选票的优势赢得了普选,但那次行动带来了一个“十月惊喜”,让希拉里·克林顿(Hillary Clinton)的选举脱轨。 政府官员和网络安全公司表示,选举日期间没有发生重大或破坏性的网络攻击。一名国土安全部官员称这是“互联网上的又一个星期二”,但他......
2020-11-7 11:15
半导体工程与Rambus安全技术研究员海伦娜·汉舒赫、Synopsys解决方案组首席安全技术专家Mike Borza、Cadence航空航天和国防解决方案总监史蒂夫·卡尔森、Tortuga Logic高级硬件安全工程师Alric Althoff以及国家安全研发中心Galois首席科学家乔·金瑞坐下来讨论了多个细分市场......
2020-11-4 6:56
一个严重的Windows驱动程序漏洞正被当作零日攻击。它允许本地权限提升和沙盒转储。 据研究人员称,谷歌零项目(Google Project Zero)在报告后仅七天就披露了这个安全漏洞,因为网络犯罪分子已经在利用它。 该漏洞(CVE-2020-17087)与Windows内核加密驱动程序(cng.sys)处理输入/......
2020-11-4 4:40
这个过程是自动的。您的浏览器很快就会重定向到您所请求的内容。
2020-11-4 0:27
在GitHub代码托管网站要求将正常的90天披露期限延长一倍后,谷歌安全团队谷歌零项目(Google Project Zero)披露了它认为GitHub存在严重缺陷的信息。 GitHub的操作功能(开发人员工作流程自动化工具)中存在的漏洞,已成为在Google Project Zero(GPZ)标准90天期限到期前未......
2020-11-3 23:21
关于单轨列车的反馈
2020-10-31 5:4
该漏洞没有名称,但被标记为CVE-2020-17087,至少会影响Windows7和Windows10。 谷歌的零项目(Project Zero)是发现这一漏洞的精英安全漏洞猎人组织,该组织表示,该漏洞允许攻击者升级他们在Windows中的用户访问级别。攻击者正在利用Windows漏洞和Chrome中的另一个漏洞,谷......
2020-10-25 15:53
谷歌发布了Chrome浏览器的更新,修补了该软件FreeType字体渲染库中的零日漏洞,该漏洞正被广泛利用。 Google Project Zero的安全研究员Sergei Glazunov发现了这个漏洞,它被归类为FreeType中的一种称为堆缓冲区溢出的内存损坏漏洞。Glazunov周一向谷歌通报了该漏洞。*Pr......
2020-10-24 7:33
BITS跟踪已经手动管理了大量数据-多年的安全评估报告-现在我们正在探索如何使用这些数据通过Slither-simil提高智能合同审核流程的效率。 基于先前审计中积累的知识,我们着手在新客户的代码库中检测类似的易受攻击的代码片段。具体地说,我们探索了机器学习(ML)方法,以自动改进Slither(我们的静态稳固性分析......
2020-10-21 5:26
TrickBot在最初的一次被拿下后幸存下来尝试,但是微软和它的合作伙伴正在对抗TrickBot每次搬家后接线员,删除所有新的集团基础架构..。 美国国家安全局敦促美国公共和私营部门应用补丁或缓解措施以防止攻击。 两个新的勒索软件家族已经上升到加入一些过去一年中最危险的几个月作为网络罪犯拧紧螺丝使攻击更加有效。..。......
2020-10-20 22:14
但即使是浏览器的反钓鱼功能-通常是潜在的钓鱼受害者的最后一道防线-也不是完美的。 安全研究人员Rafay Baloch在一些使用最广泛的移动浏览器中发现了几个漏洞-包括苹果的Safari、Opera和Yandex-如果利用这些漏洞,攻击者可以诱使浏览器显示与用户实际所在网站不同的网址。这些地址栏欺骗漏洞使攻击者更容易......
2020-10-20 0:47
您在MacOS或iOS中发现了错误。软件中的某些东西不能正常工作。你决定让苹果知道,然后前往http://bugreport.apple.com,用你的苹果ID登录。你填写了所需的表格,列出了复制步骤,点击了特殊的键和弦,生成了一个胖乎乎的系统诊断,附上了一些屏幕截图,希望他们能修复它。 所有的bug都是通过一个叫做......
2020-10-19 22:56
这个过程是自动的。您的浏览器很快就会重定向到您所请求的内容。
2020-10-19 2:2
根据明年将颁布的新立法,任何人在开车时拿起和使用手机都将成为非法行为。 这一变化将堵塞一个漏洞,该漏洞可以让司机逃脱使用手持手机拍照或玩游戏的处罚。 交通部表示,根据该计划,司机仍然可以免提使用设备。 部长们拒绝了也禁止使用免提功能的呼吁,例如在电话底座上使用卫星导航。 道路部长Vere男爵夫人说,开车时使用手持电话......
2020-10-17 3:55
一名研究人员周五表示,今年披露的最严重的Windows漏洞之一正受到黑客的积极攻击,他们试图后门服务器,这些服务器存储着网络上每个用户和管理账户的凭据。 这个漏洞被称为Zerologon,上个月发现它的公司表示,它可以让攻击者即时访问活动目录,管理员使用这些目录创建、删除和管理网络账户,这引起了广泛关注。活动目录和它......
2020-10-14 2:46
在线服务研究人员致谢
2020-10-14 0:11
T2开发团队发现了一种在现代Mac电脑上接管安全芯片的方法,他们已经展示了一种无需用户干预的方法-只使用一根改装的USB-C电缆。 这个特别的团队根据苹果内部对该芯片的名称自称为Team t8012,他们认为民族国家可能已经在使用这种方法了。 这项研究背后的团队已经证实了现代Mac电脑上的TT2安全芯片可以被黑客入侵......
2020-10-12 7:51
9月14日,GitLab支持团队升级了我们的一位客户遇到的一个严重问题:GitLab可以正常运行一段时间,但一段时间后用户遇到错误。当试图通过Git克隆某些存储库时,用户会看到一条不透明的Stalefile错误消息。错误消息持续了很长一段时间,阻止员工工作,除非系统管理员通过在目录本身中运行ls进行手动干预。 因此,......
2020-10-11 17:6
美国联邦调查局(FBI)和国土安全部(Department Of Homeland Security)的网络安全部门表示,他们检测到黑客利用Windows的一个关键漏洞攻击州和地方政府,在某些情况下,这些攻击被用来入侵用于支持选举的网络。 非特定APT(高级持续威胁的缩写)的成员正在利用名为Zerologon的Win......
2020-10-7 15:23
在澳大利亚的联邦预算中,新并不是什么新鲜事。几乎所有的网络安全支出都是重新宣布的,几乎没有可衡量的目标。 众议院司法小组委员会就亚马逊,苹果,脸书,谷歌正在打电话给用于对以下内容进行全面更改恢复市场竞争数字经济,加强反垄断工作..。 新的原生文件系统API现在还允许网站与存储在用户本地磁盘上的任何文件或文件夹进行交互......
2020-10-7 15:16
微软周一表示,伊朗国家支持的黑客目前正在利用现实世界黑客活动中的Zerologon漏洞。 成功的攻击将允许黑客接管被称为域控制器(DC)的服务器,域控制器是大多数企业网络的核心,并使入侵者能够完全控制他们的目标。 微软公司今天在一条简短的推文中说,伊朗的攻击是由微软的威胁情报中心(MSTIC)检测到的,已经持续了至少......
2020-10-7 8:22
一名网络安全研究人员声称,搭载英特尔处理器和T2芯片的苹果MacOS设备容易受到无法修复的漏洞攻击,这可能会让攻击者获得超级用户访问权限。 T2芯片出现在大多数现代MacOS设备中,是一种苹果硅协处理器,可以处理引导和安全操作,以及音频处理等不同的功能。独立安全顾问尼尔斯·H指出,T2芯片存在一个无法修补的严重缺陷。......
2020-10-1 1:13
GitHub今天正式推出了一个新的代码扫描工具,旨在帮助开发人员在代码部署到公众之前识别代码中的漏洞。 这一新功能是去年GitHub收购旧金山代码分析平台Semmle的结果;微软拥有的代码托管平台当时透露,它将使Semmle的CodeQL分析引擎在所有开源和企业存储库中本地可用。经过几个月的测试期,代码扫描现已向所有......
2020-10-1 0:2
申请者说,哥伦比亚特区律师协会(District Of Columbia Bar)正在将申请存储在其网站上一个不受保护的目录中。哥伦比亚特区律师协会负责监督在美国首都执业的律师的招生和执照发放。 DC Bar在发布之前没有回复多个电子邮件请求和请求评论的语音邮件。 TechCrunch获得的一封8月26日的电子邮件首......
2020-9-30 21:6
谷歌表示,将堵住一个漏洞,该漏洞允许Netflix和Spotify等大型开发商避免为应用内支付支付30%的佣金。 到目前为止,开发者可以通过让用户直接输入信用卡信息来规避使用谷歌应用内支付系统带来的30%佣金。 谷歌负责产品管理的副总裁萨米尔·萨马特(Sameer Samat)周一在一篇博客文章中写道,该公司对其计费......