国内外简报industry briefing

国内外信息安全简报2018年第三周

恒安嘉新

本周共收集整理国内外安全信息10例,具体如下:

1.     【安全预警】关于CPU处理器内核存在Meltdown和Spectre漏洞(第三版)(附poc)

近期,互联网爆出CPU处理器内核的Meltdown漏洞(CVE-2017-5754)和Spectre漏洞(CVE-2017-5715和CVE-2017-5753)。利用上述漏洞,攻击者可以绕过内存访问的安全隔离机制,使用恶意程序来获取操作系统和其他程序的被保护数据,造成内存敏感信息泄露。目前该漏洞的本地利用代码(POC)已经发布并验证成功,但能够远程利用的执行代码尚未发布。该漏洞危害程度为高危(High)。(详情链接

2.     macOS又爆严重漏洞

在不到两个月前,由用户发现了 macOS 中一个低级的严重漏洞,允许任何人以 root 权限登陆你的设备。苹果公司随后发表道歉并迅速修复了这一漏洞。但这事还没过去多久,就在今天又有用户发现了一个类似的——很弱智但不算太严重的 macOS 密码漏洞。(详情链接

3.     CPU漏洞修复后会出现性能下降

微软正式确认,“熔毁”和“幽灵”补丁可能导致显著的性能下降。就在Meltown和Spectre漏洞被爆出之后,许多安全专家认为,相关的补丁会对性能产生重大影响(降低30%),但是英特尔认为,普通用户不会注意到任何差异。(详情链接

4.     【安全预警】Android平台WebView控件存在跨域访问高危漏洞

近期,互联网爆出Android WebView存在跨域访问漏洞。攻击者利用该漏洞,可远程获取用户隐私数据(包括手机应用数据、照片、文档等敏感信息),还可窃取用户登录凭证,在受害者毫无察觉的情况下实现对APP用户账户的完全控制。由于该组件广泛应用于Android平台,导致大量APP受影响,构成较为严重的攻击威胁。该漏洞危害程度为高危(High)。(详情链接

5.     鱼叉式钓鱼攻击已将矛头指向平昌冬奥会

来自麦克菲公司的安全研究人员们报告称,已经有黑客开始将矛头指向平昌冬奥会,目前众多与此次赛事相关的机构都陆续遭到鱼叉式钓鱼攻击,包括提供基础设施服务以及发挥其它辅助性职能的相关方。黑客们针对平昌冬奥会实施鱼叉式钓鱼攻击,旨在窃取敏感信息或财务数据。(详情链接

6.     AHCA遭遇网络钓鱼攻击 3万患者个人信息或已泄露

佛罗里达州卫生保健管理局(AHCA)称,黑客可能访问了多达3万名医疗补助患者的个人和机密信息,包括他们的病历、病情和诊断记录。(详情链接

7.     工信部就个人信息保护约谈百度、支付宝、今日头条

1月11日,针对近期媒体报道相关手机应用软件存在侵犯用户个人隐私的问题,工业和信息化部信息通信管理局约谈了北京百度网讯科技有限公司、蚂蚁金服集团公司(支付宝)、北京字节跳动科技有限公司(今日头条)。(详情链接

8.     Oracle某漏洞修复不彻底致更多设备沦为挖矿机

Morphus Labs安全研究人员雷纳托·马里尼奥2018年1月7日发布报告揭露一系列针对PeopleSoft和WebLogic服务器的挖矿活动,多名攻击者利用Oracle修复的WebLogic WLS组件漏洞(CVE-2017-10271)执行批量数字货币挖矿活动。(详情链接

9.     14岁黑客开发Fruitfly后门监视Mac用户13年

据称,现年28岁的俄亥俄州男子杜兰琴斯基正是十年前出现的Mac恶意软件的始作俑者,这名黑客早在14岁时就编写出这个Fruitfly后门,该后门可用来远程监视成千上万毫无察觉Mac用户。Fruitfy是一款具备高度侵入能力的Perl恶意软件,允许攻击者悄悄控制被感染的计算机——包括其摄像头与麦克风,进而查看屏幕中的显示内容、控制键盘与鼠标并以远程方式下载文件。(详情链接

10.  高精度人工智能搜索引擎Ella可通过关键词搜索抓取视频细节

想要从安全监控摄像机拍摄的监控视频中搜索特定的车辆、物体、人物或事件的确是一项艰巨的任务,因为这需要耗费大量的时间和精力来扫描整个画面以抓取出单个场景。

世界知名数字监控和安全技术服务提供商IC Realtime就此推出了一款基于云端技术以及人工智能的搜索引擎Ella,它在很大程度上解决了这个问题。(详情链接