网络空间安全:行业资讯、技术分享、法规研讨、趋势分析……

“游侠安全网”创建了网络安全从业者QQ大群(群号:1255197) ,欢迎各位同仁加入!有其它问题如合作等,请联系站长“网路游侠”,QQ:55984512


【安全帮】Lenovo/Iomega的NAS存在权限控制缺陷,导致海量信息泄露

2019-07-18 09:37 推荐: 浏览: 17 views 字号:

摘要: Lenovo/Iomega的NAS存在权限控制缺陷,导致海量信息泄露 最近,Lenovo发布了Lenovo/Iomega旗下NAS设备的安全通告。这些设备被安全研究人员发现存在信息泄露漏洞,导致大量敏感数据暴露在公网。研究人员警告到,LenovoEMC(Len...

Lenovo/IomegaNAS存在权限控制缺陷,导致海量信息泄露

最近,Lenovo发布了Lenovo/Iomega旗下NAS设备的安全通告。这些设备被安全研究人员发现存在信息泄露漏洞,导致大量敏感数据暴露在公网。研究人员警告到,LenovoEMCLenovoEMC的合资公司)存储设备和EMC旗下Iomega品牌的NAS设备存在安全漏洞,可能导致存储这些设备上的数据遭到破坏。联想于周二披露了这一信息。研究人员之所以能发现这个漏洞,是因为他们在shodan上无意中发现了暴露在公网的36TB数据,其中涉及5114个设备,3030106个文件(其中包括20000个文档,13000电子表格,13000文本文件和405000张图片)。这些数据中包括很多敏感的财务信息,例如支付卡号码和交易记录。研究人员相信存在该缺陷的设备肯定不止5114个,因为这只是他们能搜索到的设备。

参考来源:

https://nosec.org/home/detail/2786.html

 

Sprint发警告:有黑客通过三星官网新办号码页面获取用户数据

美国移动通讯运营商Sprint近日发布警告称,有黑客通过三星官网(Samsung.com)上新办号码“Add a line”页面入侵获取用户账号信息,目前尚不清楚有多少用户受到影响。Sprint在致受影响用户的信中表示:“622日,Sprint检测到有黑客通过三星官网‘新办号码’页面在未经你知悉和授权的情况下访问了你的Sprint账号。” Sprint在信件中表示:“黑客可能已经获取了你的个人信息,包括电话号码,设备类型,设备ID,每月经常性费用,用户ID,帐号,帐户创建日期,升级资格,姓名,帐单地址和附加服务。”Sprint表示黑客获取的信息并未构成“欺诈或身份盗窃的重大风险”,但对于受影响用户来说显然并不赞同这种评估说法。

参考来源:

https://www.cnbeta.com/articles/tech/868469.htm

 

40 APP 被要求整改

网信办工信部等组建的 APP 专项治理工作组发布通知,包括起点读书、糗事百科、人人贷、掌阅、有钱花(百度金融)、同花顺、猫途鹰等 40 APP 被勒令整改,理由是这些 APP 在个人信息收集使用方面存在问题。通知对此没有给出进一步解释。新京报报道称,“中国信息安全研究院副院长左晓栋认为,《网络安全法》对保护个人信息的规定较为原则,尽管此前出台的《个人信息安全规范》细化了法律的要求,但从实践看,仍有大量 APP 在打法律擦边球。及时出台《认定方法》,明确违规 App 行为的具体认定标准,有助于《网络安全法》的相关要求真正落地并见实效。”

参考来源:

https://www.solidot.org/story?sid=61377

 

辟谣!纽约市长称大停电和别国网络攻击无关,原因还在进一步调查

近日,有自媒体文章称,有美国媒体报道713日纽约大停电疑似和伊朗的强烈网络攻击有关。目前纽约市长已于14日澄清,停电与网络攻击和任何形式的恐怖主义均无关系。据美国全国广播公司商业频道(CNBC)称,当地时间713日,美国纽约曼哈顿中城区和上西区发生大规模停电,从下午647开始一直持续至午夜,将近5个小时。据了解,713日正好是纽约1977年大停电42周年的日子,并且那次停电纽约大部分地区持续受影响48小时,引发众多抢劫、纵火等犯罪活动。基于时间的巧合,不少网友试图寻找停电原因和其他事件的关联。

参考来源:

https://www.secrss.com/articles/12307

 

苹果再发静默更新 删除其他存在 Zoom 漏洞软件的 Web 服务器

717日,苹果向 The Verge 在内的多家媒体发出通知,表示已经向 Mac 设备发送静默安全更新,以删除 RingCentral Zhumu 自动安装的软件。这些视频会议应用程序都使用了 Zoom 的技术,由于它们本质上都是白标签(White Labels),因此它们同样存在 Zoom 的安全漏洞。具体来说就是它们可以安装辅助应用,在没有用户干预的情况下打开你的网络摄像头。即使卸载这些应用程序啊也不会删除这些辅助Web服务器,这意味着许多用户无法获得软件供应商的更新来解决问题。而解决这个问题的最佳方法就是苹果的介入,苹果计划为Zoom的所有合作伙伴解决这个问题。

参考来源:

http://hackernews.cc/archives/26450

 

调查:大量Android应用在拒绝授权后仍追踪用户信息

据外媒报道,在现使用的Android版本中,应用程序开发人员可使用简便的方法来绕过拒绝应用程序跟踪位置和设备的设置。国际计算机研究中心(ICSI)的研究人员详细介绍了1325Android应用程序正在悄悄使用简单的方法来绕过Android权限模型中的限制,其中一些应用程序安装在5亿部手机上。权限模型用于帮助用户拒绝应用访问信息。研究人员扫描了超过88000个应用程序,发现开发人员使用侧通道和隐蔽通道收集可以让软件制造商和广告商跨设备、网站和应用程序跟踪用户的信息,如访问SD卡上的共享存储以获取设备的IMEI号等。如果应用程序遵守READ_PHONE-STATE权限的拒绝,则不应该访问该信息。

参考来源:

https://www.secrss.com/articles/12129

 

美国运通客户遭遇针对性的网络钓鱼攻击

来自Cofense网络钓鱼防御中心研究人员在微软Office 365高级威胁防护下的电子邮件收件箱中发现了一种使用新型技术窃取美国运通客户凭证的网络钓鱼攻击。该网络钓鱼活动针对公司和消费者持卡人,电子邮件内容充满了语法错误,并且包含一处恶意代码:通过常见于反垃圾绕过的技术不使用常规超链接登陆恶意页面 。

参考来源:

https://www.freebuf.com/

联系站长租广告位!

中国首席信息安全官


关闭


关闭