【E周道】iOS 12.1密碼繞過漏洞曝光 Windows10 UWP API漏洞曝光
本周安全資訊
1 Nov 2018
- iOS 12.1密碼繞過漏洞曝光，距蘋果發布補丁僅數個小時
- Windows10 UWP API漏洞曝光，黑客可竊取任意數據
- 蘋果堆緩衝區溢出漏洞曝光，多款操作系統受影響
信息泄露
01.Radisson酒店發生數據泄露事件，會員信息被泄露
近日，Radisson酒店發生數據泄露事件，會員個人信息被泄露，泄露數據包括會員姓名、國籍、電子郵件地址、電話號碼、所屬公司名稱等。Radisson發布聲明稱，此次數據泄露事件僅影響其約10%的會員賬戶，無任何用戶信用卡信息或密碼信息被泄露。截至目前，所有泄露數據已得到保護，Radisson已郵件通知受影響會員注意賬戶安全。
網路攻擊
01.美國G SOC遭黑客攻擊，數千女童軍隱私信息泄露
據外媒報道，美國Orange County 女童軍分部G SOC遭黑客攻擊，約2800名女童軍成員個人隱私信息被泄露，泄露數據包括成員姓名、出生信息、電郵地址、家庭地址、駕照、病例及保險號等。該組織已通知所有申請加入的成員，建議其家長密切關注可疑消息，避免遭受損失。
02.研究人員發現新攻擊方式，通過視頻縮略圖將Office武器化
研究人員發現新攻擊方式，僅需將html或JavaScript代碼嵌入Word文檔，並通過document.xml文件將視頻鏈接替換為惡意代碼，當用戶點擊惡意視頻縮略圖時，攻擊者即可執行JS代碼，Office 2016及之前版本受影響。此外，當視頻被嵌入Word文檔時，攻擊者可在用戶點擊文檔中縮略圖時通過IE執行惡意代碼。
01.CommonRansom勒索軟體要求用戶提供RDP許可權
研究人員發現新型勒索軟體CommonRansom，要求被感染用戶將0.1比特幣贖金及系統詳細信息發送到指定郵件地址。專家提醒，當攻擊者獲取設備RDP許可權和管理員憑據時，可竊取或刪除任意數據，此外甚至可以安裝其他惡意軟體令用戶失去對系統的完全控制權。
漏洞曝光
01.iOS 12.1密碼繞過漏洞曝光，距蘋果發布補丁僅數個小時
研究人員在蘋果iOS 12發布最新安全補丁數小時後發現，iOS 12.1存在密碼繞過漏洞，可讀取設備全部聯繫人。當用戶接聽電話或讓Siri打電話時，可使用群組FaceTime訪問聯繫人列表，甚至通過iOS 3D Touch查看全部聯繫人信息並發起新通話。該漏洞可影響所有支持蘋果群組FaceTime的設備，專家建議通過禁止在主屏幕使用Siri來保護聯繫人信息。
02.Windows10 UWP API漏洞曝光，黑客可竊取任意數據
研究人員發現，Windows10 UWP API中存在安全漏洞，可允許開發人員遠程遍歷用戶磁碟信息，竊取任意數據。據外媒報道，UWP API可繞過broad File System Access獲取許可權的提示直接運行，無需用戶許可即可獲取Windows文件系統完整訪問許可權。截至目前，Windows10已在October2018中修復了該漏洞。
03.蘋果堆緩衝區溢出漏洞曝光，多款操作系統受影響
蘋果操作系統內核堆緩衝區溢出漏洞曝光，攻擊者可控制堆緩衝區溢出內容及大小，通過向接入同一WiFi網路的用戶發送惡意數據包，可令其Mac及iOS設備崩潰或重啟，甚至在用戶設備上執行遠程代碼。該漏洞由蘋果XNU操作系統內核中網路代碼的堆緩衝區溢出問題導致，iPhone、iPad及MacBook均受影響。截至目前，蘋果已發布iOS 12.1修復該漏洞。
01.我國出台《國際刑事司法協助法》
據媒體報道，十三屆全國人大常委會第六次會議在2018年10月26日表決通過《國際刑事司法協助法》，該法自公布之日起施行。該法增加了關於禁止境內組織或個人向外國提供證據材料的規定。此前，美國通過CLOUD Act法案，授權美國執法部門在特定案件中要求電子通訊服務提供者提供處於其控制之下的電子數據，而不論該電子數據存儲於美國境內或境外。
據外媒報道，IBM將以每股190美元的價格收購開源Linux公司Red Hat，交易總價值高達340億美元。此次收購將擴大IBM的業務範圍，增強其在雲安全領域的技術實力。IBM稱，將在12個月內增加利潤增長，加速收入增長並支持股息穩健增長。據了解，此次收購案預計將於2019年底完成，Red Hat未來將作為IBM旗下獨立業務部門運作。
03.Signal推出「密封發件人」功能
Open Whisper Systems發布聲明稱，Signal最新測試版將推出「密封發件人」功能，減少消息傳遞服務可訪問的數據量，隱藏發件人信息。Signal客戶端可定期獲取包含用戶電話號碼和公共身份密鑰的短期發件人證書來驗證發件人身份，該功能將使用端到端加密保護信息，避免存儲聯繫人、對話信息、GPS定位、頭像等數據。
推薦閱讀：
