【网安动态】关键漏洞感染媒体播放器MPlayer与VLC;加密聊天工具Telegram并不安全,用户通话会曝光IP地址

分类: 相关介绍 发布时间:2018-10-24 10:53

内容提要:

1. 亚马逊修复物联网操作系统13个漏洞2. 关键漏洞CVE-2018-4013感染媒体播放器MPlayer与VLC

4. 跨境时尚电商SHEIN数据泄露,影响642万用户

5. D-Link多型号路由器存在任意文件下载漏洞

6. IE 11存在Double-Free漏洞导致远程代码执行(CVE-2018-8460)

7. 谷歌Gmail数据泄露风波持续扩大

8. 拉脱维亚黑客因运营Scan4You防毒反制服务被判入狱14年

9. 加密聊天工具Telegram并不安全,用户通话会曝光IP地址

1.亚马逊修复物联网操作系统13个漏洞

亚马逊近期修复了物联网操作系统FreeRTOS以及AWS连接模块的13个安全漏洞。这些漏洞可能导致入侵者破坏设备,泄露内存中的内容和远程运行代码,让攻击者获得设备完全的控制权。FreeRTOS,以及以安全为导向的类似产品SafeRTOS被广泛用在家庭内外的各种设备上,包括汽车、飞机和医疗设备。根据FreeRTOS的开源协议,发现这些漏洞的Zimperium在漏洞披露的30天后提供了技术细节,可使相关厂商有机会去修复这些漏洞。

2.关键漏洞CVE-2018-4013感染媒体播放器MPlayer与VLC

思科Talos团队的专家在Live NetworksLIVE555流媒体RTSPServer中发现了代码执行漏洞(CVE-2018-4013)。思科Talos安全研究员莉莉丝·怀亚特(Lilith Wyatt)在LIVE555流媒体库中发现了关键代码执行漏洞(CVE-2018-4013),该流媒体库用于VLC、MPlayer及其他流行媒体播放器。LIVE555流媒体是由Live Networks Inc.维护的一组C++开源库,用于多媒体数据流。黑客可通过发送包含多个“Accept:”或“x-sessioncookie”字符串的特制数据包,该数据包可导致基于堆栈的缓冲区溢出,来入侵该漏洞,从而执行代码。 该漏洞可影响HTTP数据包分析功能,该功能可用于分析HTTP请求头以通过HTTP隧道传输RTSP。

4. 跨境时尚电商SHEIN数据泄露,影响642万用户

跨境时尚电商 SHEIN 宣布了一项安全漏洞,这项漏洞自2018年6月就存在,直到8月22日终于被发现。不知名的黑客在此期间窃取了该公司近650万客户的个人身份信息(PII)。入侵者设法访问客户的电子邮件地址和加密的在线商店帐户密码。9月,有媒体报道 SHEIN 的日均活跃用户已超过100万。

5.D-Link多型号路由器存在任意文件下载漏洞

6.IE 11存在Double-Free漏洞导致远程代码执行(CVE-2018-8460)

在刚刚过去的微软补丁日,微软发布了Internet Explorer(IE)的更新,以解决CVE-2018-8460漏洞。该漏洞影响所有Windows版本中的IE 11,属于微软描述的通用“内存损坏”类别漏洞,但实际上是源于CSS机制的Double-Free漏洞,最终导致允许远程代码执行。该漏洞存在于处理程序对属性cssText写入的代码中。这一DOM属性允许开发人员获取或设置CSS属性字符串,在单次操作中检索或替换样式对象的全部内容。在为DOM中元素样式设置cssText属性期间,IE将根据需要,触发DOMAttributeModified事件。如果攻击者对该事件进行操作,并将其用于重新输入cssText属性设置时,将会出现问题。

7.谷歌Gmail数据泄露风波持续扩大

8. 拉脱维亚黑客因运营Scan4You防毒反制服务被判入狱14年

来自拉脱维亚的37岁男子 Ruslan Bondars 因开发并经营 Scan4You 服务而被判入狱14年时间。据悉,该服务网站能让恶意软件开发者查看其恶意代码的检出率。在信息安全行业,安全研究人员和恶意软件开发者将 Scan4You 称为是“无分布扫描器”。Scan4You 的运行方式类似于谷歌合法的 VirusTotal 网页服务,它对多个反病毒供应商的引擎进行聚合扫描另外还允许用户在同一时间针对多个反病毒程序检查文件。唯一的区别是 Scan4You 不允许反病毒引擎向供应商报告结果,只保留恶意软件检测结果。

9. 加密聊天工具Telegram并不安全,用户通话会曝光IP地址

Telegram是一款可以让用户在互联网上与其他用户展开加密聊天和通话的通信应用。这款程序自称是一款安全的私人通信应用程序,然而一项研究发现,在它的默认配置下,它会在用户通话过程中泄露出IP地址。在默认设置下,Telegram的语音通话通过P2P2进行。当使用P2P的时候,用户通话对象的IP地址则会出现在Telegram控制日志上。Telegram应用确实表明过用户可以通过改变设置防止IP地址被泄露,操作入下:设置-私人与安全-语音电话-将Peer-to-Peer改成Never或Nobody。这样设置后,用户将需要通过Telegram服务器拨打语音电话,虽然隐藏了IP地址但却要付出音频质量下降的代价。