《维他命》每日安全简讯20190110

发布时间 2019-01-10

1、Google Play下架85个广告app,感染约900万Android用户


趋势科技的研究人员在Google Play商店发现85个广告应用,约900万Android用户受到感染。这些app伪装成游戏、流媒体电视和模拟遥控器等,在设备后台静默运行,并每隔15或30分钟使用全屏广告轰炸用户设备。研究人员发现这些app来自于不同的开发人员,并且拥有不同的APK证书公钥,但它们的代码和命名方式都十分相似。Google Play在接到通知后已下架了这些应用。


 原文链接:

https://thehackernews.com/2019/01/android-adware-malware.html


2、研究团队发现Apple Intel HD 5000存在多个提权漏洞



Cisco Talos研究团队发现Apple OSX 10.13.4在处理内部图形资源时,其IntelHD5000内核扩展中存在多个提权漏洞(CVE-2018-4421和CVE-2018-4456)。根据研究人员的描述,VLC媒体应用中的库可导致KEXT内部的越界访问,从而导致内核中的use-after-free和权限提升。这些漏洞是在MacBookPro11.4-OS X 10.13.4环境下发现的。由于漏洞可通过Safari触发,建议用户尽快更新。

  原文链接:
https://blog.talosintelligence.com/2019/01/vulnerability-spotlight-multiple-apple.html


3、Adobe发布2019年1月安全更新,修复两个安全漏洞


Adobe针对Adobe Connect、Adobe Digital Editions和Flash Player发布了2019年1月安全更新。针对Flash Player的更新将Flash Player升级到新版本32.0.0.114,并简单地修复了性能问题和bug,并未修复任何安全问题。针对Digital Editions的安全更新修复了越界读漏洞(CVE-2018-12817),该漏洞可导致信息泄露。针对Connect的安全更新修复了会话令牌暴露漏洞(CVE-2018-19718)。


原文链接:

https://www.bleepingcomputer.com/news/security/adobe-releases-january-2019-security-updates-none-for-flash-player/


4、谷歌发布2019年1月Android安全公告,修复27个漏洞



谷歌发布了2019年的第一个针对Android的安全更新,共修复了27个漏洞。其中安全补丁级别2019-01-01中修复了13个漏洞,包括远程代码执行漏洞(CVE-2018-9583)、Framework中的提权漏洞(CVE-2018-9582,影响Android版本8.0、8.1和9)等。安全补丁级别2019-01-05修复了14个漏洞,包括Qualcomm闭源组件中的任意代码执行漏洞(CVE-2018-11847)等。


原文链接:

https://source.android.com/security/bulletin/2019-01-01.html


5、新自动化钓鱼工具Modlishka,可绕过双因素认证



波兰安全研究人员PiotrDuszyński发布了一个新的渗透测试工具,该工具可以实现钓鱼攻击的自动化以及绕过双因素认证。该工具被命名为Modlishka(波兰语,意思为螳螂),是一个用于处理登录页面和钓鱼流量的反向代理。它位于用户和目标网站(Gmail、Yahoo等)之间,受害者接收到来自于合法网站的真实内容,但所有流量都会通过并记录在Modlishka服务器上。研究人员在Github上发布了该工具。


原文链接:

https://www.zdnet.com/article/new-tool-automates-phishing-attacks-that-bypass-2fa/


6、新边信道攻击可窃取Windows和Linux系统的页面缓存


研究团队发表了一篇介绍新边信道攻击的论文,该攻击方式不受硬件架构的限制,主要针对Windows和Linux系统的页面缓存。操作系统的页面缓存中可能包含程序二进制文件、库、文件和明文敏感信息等。研究人员利用操作系统调用(Linux上的mincore和Windows上的QueryWorkingSetEx)来检查页面缓存。该攻击已在本地尝试中被证明,并且在一定条件下也可远程利用。


原文链接:

https://www.bleepingcomputer.com/news/security/new-side-channel-attack-steals-data-from-windows-linux-page-cache/


声明:本资讯由启明星辰维他命安全小组翻译和整理