8月18日，星期四，您好！中科汇能与您分享信息安全快讯：
macOS上的漏洞可能让攻击者访问Mac上的所有文件
Titan M 芯片的这个严重漏洞，从1万跳涨到7.5万美元
Titan M 是在2018年引入的片上系统，旨在向 Pixel 设备交付增强的安全防护措施，包括保证安全启动。CVE-2022-20233 在2022年6月份的安卓安全补丁中修复，当时谷歌称其为严重的提权漏洞。安全研究人员表示，该漏洞可用于在 Titan M芯片上实现代码执行。该漏洞是一个界外写问题，产生的原因在于不正确的边界检查。利用该漏洞实现本地提权并不要求用户交互。安全研究人员表示，在对Titan M 进行模糊测试时，他们发现当“固件尝试在未映射的内存区域写入1个字节时”，会发生崩溃，并发现该漏洞可被多次触发实现界外写。
今年早些时候，Wiz公司从 PostgreSQL Flexible Server 的微软 Azure 数据库中发现了多个严重漏洞。该exploit 可使攻击者越权读取其它客户的 PostgreSQL 数据库，绕过租户隔离。Wiz 公司的研究总监 Shir Tamari 表示，“隔离并不完美，我们可从管理实例获得对其它客户实例的网络访问权限，从而打开了其它潜在漏洞的攻击面。我们已经证实，可利用该攻击面，并获得对其它客户数据库的完整的读权限。”
CS:GO最大交易平台遭黑客攻击，600万美元游戏皮肤失窃
《CS:GO》是近来最热门的多人第一人称射击游戏之一，由知名电子游戏开发商Valve Software发行。该游戏中的武器皮肤具有不同的稀有性，这就促使了使用Steamworks API的交易网站的创建，以方便玩家相互交易皮肤。CS.MONEY就是其中最大的CS:GO皮肤交易平台之一，拥有53种武器的1696种独特皮肤，总资产价值为1650万美元。而该平台最近不幸被黑客盯上，在第一波攻击中大约600万美元的皮肤失窃，资产直接缩水了1/3以上。
微软宣布破坏了俄罗斯APT组织针对北约的网络攻击活动
微软周一宣布对与俄罗斯政府有关的 APT 组织进行另一次重大破坏，切断了对用于攻击前侦察、网络钓鱼和电子邮件收集的账户的访问。被微软认定为 SEABORGIUM 。据悉， SEABORGIUM 至少自 2017 年以来一直活跃，其活动涉及持续的网络钓鱼和凭据盗窃活动，导致入侵和数据盗窃。APT 主要针对北约国家，但专家也观察到针对波罗的海、北欧和东欧地区（包括乌克兰）的活动。主要专注于国防和情报咨询公司、非政府组织 (NGO) 和政府间组织 (IGO)和高等教育。Redmond 的安全研究和威胁搜寻团队与 Microsoft 的滥用团队合作，禁用 OneDrive 和其他与 Microsoft 相关的账户，并加强其 Defender SmartScreen 技术以阻止网络钓鱼域。在宣布中断的说明中，微软还暴露了俄罗斯威胁行为者的恶意软件基础设施，并发布了 IoC（妥协指标），以帮助防御者寻找感染迹象。
Google Chrome代码执行漏洞安全风险通告
近日，某安全公司监测到Google Chrome官方发布安全通告，其中包括Google Chrome 代码执行漏洞(CVE-2022-2856)，由于Intents对不可信输入数据的验证不足，Google Chrome 存在远程代码执行漏洞。攻击者可通过诱导用户打开特制页面来利用此漏洞，配合其他漏洞可在目标系统上执行任意代码。目前，官方已监测到在野利用，鉴于此漏洞影响范围较大，建议客户尽快做好自查及防护。
德国政府强制实施安全浏览器
近日，德国计划强制要求在政府网络中使用安全、现代的网络浏览器，并公布了最低标准提案的意见征求稿。德国联邦信息安全办公室(BSI)曾在7月发布了一个最低标准草案，希望这些标准能够增强政府的网络弹性并更好地保护敏感数据。先进的浏览器包含多种功能，可阻止或减轻各种常见的基于Web的攻击。提议的标准涵盖桌面和移动浏览器，而之前的安全指南仅适用于政府PC和工作站上的桌面浏览器。意见征询后，BSI预计将在政府系统中强制执行最低标准。此举将禁止联邦雇员在政府业务中使用不合规的浏览器，例如现已弃用的Internet Explorer。BSI规定的大多数安全和隐私技术目前大多数现代浏览器都能提供。其中包括支持X.509标准的证书、加密与服务器的连接以及支持HSTS（HTTP严格传输安全）。
《关键信息基础设施安全保护条例》颁布一周年，不断推动条例落地意义重大
2021年9月1日起开始施行《关键信息基础设施安全保护条例》。这标志着我国网络安全法律法规建设和安全保障工作进入到了一个新阶段。一年来，行业主管部门和有关机构按照条例要求，积极推进关键信息基础设施的安全保护工作，取得显著成效。
如何使用espoofer测试邮件系统与邮件协议的安全性
espoofer是一款功能强大的电子邮件系统安全检测工具，同时它也是一款电子邮件欺骗攻击测试工具。在该工具的帮助下，广大研究人员不仅可以轻松绕过SPF、DKIM和DMARC等与电子邮件安全相关的协议，而且还可以伪造DKIM签名。除此之外，espoofer也是一个开源的安全测试工具，该工具支持绕过电子邮件系统中的SPF、DKIM和DMARC身份验证机制。值得一提的是，该工具能够帮助邮件服务器管理员和渗透测试人员检查目标电子邮件服务器和客户端是否容易受到电子邮件欺骗攻击，或者是否可能被滥用以发送欺骗电子邮件。
信息来源：人民网 国家计算机网络应急技术处理协调中心 国家信息安全漏洞库 今日头条 360威胁情报中心 中科汇能GT攻防实验室 安全牛 E安全 安全客 NOSEC安全讯息平台 火绒安全 亚信安全 奇安信威胁情报中心 卡巴斯基 MACFEE Symantec 白帽汇安全研究院 安全帮
本文版权归原作者所有，如有侵权请联系我们及时删除
如有侵权请联系:admin#unsafe.sh