国内外简报industry briefing

国内外信息安全简报2017年第十八周

admin

1. Unity游戏引擎论坛遭遇入侵,黑客宣称获取200万用户数据

上周末,黑客组织OurMine宣称入侵了Unity跨平台游戏引擎的官方论坛。OurMine表示从论坛中窃取了200万用户数据,不过Unity方面则表示并无敏感信息被窃。该黑客组织还将此事通过邮件告知了Unity论坛用户,并建议用户更改密码。 (详情链接 )

2. 维基解密公开CIA机密文档追踪工具Scribbles源码(别名为“Snowden Stopper”)

既今年三月初开始,维基解密披露了一系列CIA Vault7 文档。4月28日维基解密再度公开了该系列中名为 Scribbles 的相关文件及其源代码。Scribbles ,别名为“ Snowden Stopper ”(斯诺登终结者…),是一款将“web beacon”标签加入机密文件中,用以追踪告密者及国外间谍的软件。 (详情链接 )

3. 联想向用户发出警告:某些IBM Storwize的初始化USB设备中含恶意文件

联想最近向客户发出警告:IBM Storwize存储系统初始化USB设备感染了恶意程序。国外媒体报道称问题发生在供应链上。“IBM检测到IBM Storwize V3500、V3700与V5000 Gen 1系统的部分USB初始化工具中包含一个感染了恶意代码的文件。”当前61款反病毒引擎有57款会报毒,联想建议用户抛弃受影响设备,如果已经用过驱动设备则应该用反病毒工具检测,或者采用联想建议的手动清除方案。 (详情链接 )

4. 安全专家在网上发现交易公司AMP泄露的70GB数据

安全专家Chris Vickery最近上报了一起相关AMP在线交易公司的数据泄露事故,曝光的文件近10万份,包含信用报告、护照扫描及用户沟通日志。 (详情链接 )

5. 雅虎为发现Flickr账户劫持漏洞的白帽提供7000美元奖金

雅虎为一名找到Flickr账户劫持漏洞的白帽Michael Reizelman提供7000美元奖金。Reizelman本身也是比较有名的白帽,曾为Twitter、Uber、Dropbox等挖洞。这次他找到Flickr图像与视频服务中的3个漏洞,联合利用这些漏洞可接管Flickr账户。Reizelman在4月2日向雅虎上报漏洞,很快就得到了7000美元奖励;雅虎当前已经修复了这些漏洞。 (详情链接 )

6. 研究人员:谷歌Play商店中的数百应用存安全漏洞,数百万Android手机存在风险

来自密歇根大学的研究人员最近在谷歌Play商店中的数百款应用中发现安全漏洞,攻击者可利用窃取数据,或者投递恶意代码,数百万Android设备受到影响。 (详情链接 )

7. StringBleed:SNMP协议“上帝模式”漏洞影响多种网络设备

近期,来自南美的两位安全研究者发现,SNMP的v1和v2版本协议存在授权认证和访问控制绕过漏洞,至少有78种型号的网络接入和IoT设备受此漏洞影响,攻击者可以利用该漏洞远程获得相关设备的读写权限,进而控制设备。 (详情链接 )

8. 【漏洞预警】WordPress Core <= 4.7.4全版本密码重置漏洞(0day)

Wordpress的密码重置功能,其中存在漏洞在某些情况下可能允许攻击者在未经身份验证的情况下获取密码重置链接。这种攻击可导致攻击者获得未经授权的WordPress帐户访问权限。 (详情链接 )

9. 【国际资讯】1.35亿印度政府支付卡详情遭泄露

如果你对政府运行的大规模网络身份项目感兴趣,听听这个劝人警戒的故事吧:印度政府运行8年之久的Aadhaar支付卡项目泄露了惊人的1.3亿份记录。 (详情链接 )

10. 【漏洞预警】WordPress 4.6远程代码执行漏洞(非插件无需认证,附Poc,演示视频)

WordPress core 4.6远程代码执行漏洞(非插件无需认证),远程攻击者可以利用该漏洞执行代码。请大家及时更新版本。 (详情链接 )