08月13日星期四
  • 撵到剁 10:45

    谷歌 Chrome 浏览器发现漏洞,需尽快升至 84 及以上版本

    8 月 10 日 , 安全研究员在 Windows,Mac 和 Android 的基于 Chromium 的浏览器(Chrome,Opera 和 Edge)中发现了零日 CSP 绕过漏洞(CVE-2020-6519)。该漏洞使攻击者可以完全绕过 Chrome 73 版(2019 年 3 月)至 83 版的 CSP 规则 , 潜在受影响的用户为数十亿,其中 Chrome 拥有超过 20 亿用户。以下是漏洞详情: 漏洞详情 零日 CSP 绕过漏洞(CVE-2020-6519) “零日漏洞”(zero-day)又叫零时差攻击,是指被发现后立即被恶意利用的安全漏洞。通俗地讲,即安全补丁与瑕疵曝光的同一日内,相关的恶意程序就出现。这种攻击往往具有很大的突发性与破坏性。 CSP 指的是内容安全策略 , 是由万维网联盟 (WWW)定义的一种功能,它是指导浏览器强制执行某些客户端策略的 Web 标准的一部分。利用 CSP 规则,网站可以指示浏览器阻止或允许特定请求,包括特定类型的 JavaScript 代码执行。这样可以确保为站点访问者提供更强的安全性,并保护他们免受恶意脚本的攻击。开发人员使用 CSP 保护其应用程序免受 Shadow Code 注入漏洞和跨站点脚本的攻击(XSS),并降低其应用程序执行的特权。Web 应用程序所有者为他们的站点定义 CSP 策略,然后由浏览器实施。大多数常见的浏览器(包括 Chrome,Safari,Firefox 和 Edge)都支持 CSP,并且在保护客户端执行 Shadow Code 方面至关重要。 攻击者访问 Web 服务器,并在 javascript 中添加 frame-src 或 child-src 指令以允许注入的代码加载并执行它,从而绕过 CSP 强制执行,这样就轻而易举地绕过站点的安全策略。 该漏洞是在 Chrome 中发现的,Chrome 是当今使用最广泛的浏览器,拥有超过 20 亿用户,并且在浏览器市场中所占的比重超过 65%,因此影响是巨大的。CSP 是网站所有者用来强制执行数据安全策略以防止在其网站上执行恶意的 Shadow Code 的主要方法,因此,当绕过浏览器强制执行时,个人用户数据将受到威胁。 除了少数由于服务器端控制的增强 CSP 策略而不受此漏洞影响的网站之外,许多网站还容易受到 CSP 绕过和潜在恶意脚本执行的影响。这些网站包括世界上一些知名大网站,例如 Facebook,Wells Fargo,Zoom,Gmail,WhatsApp,Investopedia,ESPN,Roblox,Indeed,TikTok,Instagram,Blogger 和 Quora。再加上攻击者越来越容易获得未经授权的 Web 服务器访问权限时,此 CSP 绕过漏洞可能会导致大量数据泄露。据估计 , 恶意代码植入其中 , 跨行业(包括电子商务,银行,电信,政府和公用事业)的数千个站点在黑客设法注入的情况下没有受到保护。这意味着数十亿用户有可能遭受绕过站点安全策略的恶意代码破坏其数据的风险。 受影响产品及版本 此漏洞影响 Chrome 84 版之前版本 解决方案 此漏洞由 Chrome 84 或更高版本修复 最后建议 由于该漏洞在 Chrome 浏览器中已经存在了一年多,因此尚不清楚其全部含义。在未来几个月中,我们很有可能会了解到数据泄露,这些数据被利用并导致出于恶意目的而泄露个人身份信息(PII)。但是,采取行动还为时不晚。建议如下: 1. 考虑添加其他安全性层,例如随机数或哈希。这将需要一些服务器端实现。 2. 仅 CSP 对大多数网站而言还不够,因此,请考虑添加其他安全层 3. 考虑基于 JavaScript 的影子代码检测和监视,以实时缓解网页代码注入。 4. 确保您的 Chrome 浏览器版本为 84 或更高版本。 免FAN升级 Google Chrome中国官网: https://www.google.cn/intl/zh-CN/chrome/

    利好{{list !== '' ? list['10']['0']['vote']['up'] : '0'}}

    利空{{list !== '' ? list['10']['0']['vote']['down'] : '0'}}

    分享到微博微信QQ好友
08月10日星期一
  • 撵到剁 23:47

    iPhone不能使用微信了?

    想必我们都知道,特朗普签署了一项行政命令,将在45天后也就是9月20日,禁止美国企业和个人与微信进行有关的任何交易。这项命令一出,许多人都忧虑,阻断一切涉及微信的交易,那岂不是微信都不能在App Store上架了吗?难道说,iPhone不能运用微信了?这不是不行能,美国总统颁布的行政命令是具有法律效力的,一旦这个行政命令收效,作为美国的企业,苹果也不得不遵照。但条件是,这项行政命令不会出现意外。微信作为华人圈最为普遍的即时通讯软件,现已是彻底的融入了日子,不仅是聊天结交,像是支付、购物、还有各式各样的日子服务,能够说平时的日子现已离不开微信。在我国商场,失微信者,等于失全国。我国大陆刚好是iPhone最为重要的商场,贡献了iPhone 20%的销量,关于苹果而言,我国是肯定不能丢失的商场。失去微信,是iPhone不能承受之痛。或许有人会说,iPhone在功能、系统、拍照等多个方面都是领先于商场的,就算没了微信,也不见得销量上就会凉透。对此,微博进行了这样的查询,假如微信和iPhone只能二选一,是抛弃iPhone仍是微信?查询结果是,选择微信的人数压倒性的超过了选择iPhone的人数。来自专业组织的剖析也基本和查询结果共同,依据天风国际剖析师郭明錤发布了最新的研究报告,假如不能运用微信,悲观估计,iPhone出货量将下降25-30%;乐观估计,iPhone出货量将下降3-6%。没什么原因,一是微信在我国不行代替,二是iPhone可代替,安卓也不差。苹果是肯定不愿意看到这样的事情发生。而在美国的政治环境中,大财阀关于美国政治的影响非常的大,有时还能够影响到方针的发布和履行,而苹果,难保不会对特朗普政府进行游说。乃至,不需要苹果的游说,事情或许就有转机。依据Statista的统计,微信在美国用户中的运用率仅有0.79%,对脸书、推特等社交软件构不成任何要挟。当然,特朗普这样做肯定有其政治目的,但详细的影响多大,这里就要打一个大大的问号了。首要苹果一定会维护其在我国商场的地位。其次这项禁令仍是有很大的弹性,例如45天的收效期,美企与微信之间的交易需要通过审查等。另外,在我国,苹果与微信进行合作是通过注册本地公司来完成的,我国是否会遭到禁令影响还有疑问。所以,我国区的App Store下架微信的可能性不大,更多的可能是美国区的App Store受影响。

    利好{{list !== '' ? list['11']['0']['vote']['up'] : '0'}}

    利空{{list !== '' ? list['11']['0']['vote']['down'] : '0'}}

    分享到微博微信QQ好友
07月12日星期日
  • 撵到剁 23:35

    贵州安顺大巴车坠湖事件12日最新消息,系司机因对拆迁不满报复社会

    2020年7月7日中午12时许,安顺市一辆公交车在行驶过程中撞坏湖边护栏,坠入安顺市西秀区虹山水库中。事件发生后,公安部、应急管理部等国家有关部门及省、市迅速组成调查组开展缜密调查,现将有关情况通报如下: 一、警方通报 安顺市公安局于7月12日17时53分发布《警方通报》,具体内容为: 二、搜救情况 安顺市西秀区坠湖公交车搜救于7月11日结束。从7月7日至11日5天时间里,中央、省、市有关部门组织交通运输部广州打捞局、交通运输部南海救助局、贵州省消防救援总队、贵州省防汛抗旱应急抢险总队、黔西南州消防救援支队、安顺市消防救援支队、贵州蓝天救援队、贵州弘剑搜救队、贵州省阳光救援队以及武警、公安、民兵等2100余人,动用水下机器人、雷达声呐定位仪、无人侦察机等设备,在公交车坠湖水域广泛多次进行了拉网式深潜全面搜救,完成搜救任务,于7月11日12时结束搜救。 三、关于张某钢“房屋被拆迁”有关情况 在开展搜救和案件侦查的同时,对于网传张某钢“房屋被拆除”一事,省、市相关部门迅速组成调查组进行调查。调查情况如下:张某钢到西秀区柴油机厂(后更名为西秀区酿造机械厂)参加工作时,厂方提供一套自管公房(5栋1楼11号)供其居住,其产权属单位所有。据查,张某钢已长期未在此房内居住,由其姐姐将此房转租他人。 西秀区酿造机械厂棚户区改造项目启动以来,经多方联系,项目指挥部与张某钢先后对接3次,其余多次由其姐姐代表其进行商谈,沟通对接顺畅。按照相关程序确定,西秀区酿造机械厂棚户区改造项目征收工作由黄果树大街沿线项目工作组负责。2020年6月8日,张某钢与西秀区住建局签订《自管公房搬迁补助协议》,协议补助自建房补助款及附属设施补助、二次装修补助、搬迁及临时安置补助、搬迁及签约奖励等共计72542.94元,但其未按规定注销水电户头,未去领取补助款。张某钢还申请了一套公租房,未获得。7月7日上午8时30分许,张某钢来到他所承租的公房处,看到该公房将被拆除。8时38分,张某钢拨打政务服务热线,对申请公租房未获得且所承租公房被拆除表示不满。 调查组将进一步深入调查,房屋拆除和接访接诉过程中如有违法违纪行为,将依法依纪严肃处理。 我们对事件的发生万分痛心,对遇难者表示沉痛哀悼。目前,事件善后工作仍在进行中。全市正排查各类安全隐患,防止类似事件再度发生。 安顺市人民政府新闻办公室 2020年7月12日原文连接

    利好{{list !== '' ? list['12']['0']['vote']['up'] : '0'}}

    利空{{list !== '' ? list['12']['0']['vote']['down'] : '0'}}

    分享到微博微信QQ好友
个人中心
今日签到
有新私信 私信列表
搜索