1· 高危BIOS漏洞影響多型號(hào)英特爾處理器
英特爾披露了兩個(gè)高危漏洞影響多代英特爾處理器家族，漏洞允許攻擊者和惡意程序獲得更高的權(quán)限。漏洞由SentinelOne發(fā)現(xiàn)，編號(hào)為CVE-2021-0157和CVE-2021-0158，CVSS v3評(píng)分都是 8.3/10，前者與BIOS固件控制流管理有關(guān)，后者則與BIOS固件不正確輸入驗(yàn)證有關(guān)。漏洞可被用于提權(quán)，但攻擊者需要首先能物理訪問(wèn)機(jī)器。受影響的型號(hào)包括了7代、10代和11代酷睿處理器，至強(qiáng)E、E3 v6 和W系列等。英特爾沒(méi)有披露更多細(xì)節(jié)，它建議用戶如果有可用BIOS更新就打上補(bǔ)丁。考慮到7代酷睿已有5年歷史，主板供應(yīng)商不太可能還會(huì)釋出BIOS更新。
2· FBI電郵系統(tǒng)被黑客入侵
據(jù)外媒報(bào)道，黑客在上周六入侵了FBI的一個(gè)電子郵件系統(tǒng)，發(fā)送了數(shù)萬(wàn)條假信息，警告可能發(fā)生網(wǎng)絡(luò)攻擊。FBI在聲明中說(shuō)，假電郵似乎發(fā)送自一個(gè)以@ic.fbi.gov結(jié)尾的合法FBI郵箱地址。現(xiàn)任全球?qū)I(yè)服務(wù)主管表示，受感染的系統(tǒng)是一個(gè)非機(jī)密服務(wù)器，F(xiàn)BI人員使用它與組織外部進(jìn)行通信，黑客似乎沒(méi)有獲得對(duì)包含國(guó)家機(jī)密或機(jī)密信息的內(nèi)部數(shù)據(jù)庫(kù)的訪問(wèn)權(quán)限。網(wǎng)絡(luò)安全專家表示，電子郵件不包含任何惡意附件的事實(shí)可能表明黑客偶然發(fā)現(xiàn)了FBI門(mén)戶中的漏洞，并且沒(méi)有特別的計(jì)劃來(lái)利用它。
3· 安全公司等待12個(gè)月后才報(bào)告9.8分高危漏洞
Palo Alto Networks的GlobalProtect VPN剛剛修復(fù)了一個(gè)緩沖溢出的高危漏洞，而安全公司Randori是在12個(gè)月前發(fā)現(xiàn)該漏洞，但一直將其作為秘密內(nèi)部使。編號(hào)為CVE-2021-3064的高危漏洞(威脅評(píng)分 9.8/10)影響PAN-OS 8.1.17之前的版本，已有超過(guò)一年歷史，但Randori根據(jù)Shodan搜索發(fā)現(xiàn)有大約1萬(wàn)臺(tái)聯(lián)網(wǎng)的企業(yè)服務(wù)器運(yùn)行存在漏洞的版本。為何不盡早報(bào)告漏洞?Randori聲稱該漏洞作為紅隊(duì)的工具用于對(duì)客戶的網(wǎng)絡(luò)進(jìn)行安全測(cè)試，表示0day漏洞對(duì)于客戶以及整個(gè)網(wǎng)絡(luò)安全世界的成功是必不可少的。
4· macOS曝出零日漏洞 有攻擊者借此針對(duì)中文用戶
據(jù)谷歌TAG研究人員透露，他們?cè)?月下旬發(fā)現(xiàn)了一個(gè)惡意軟件攻擊，不法分子利用macOS操作系統(tǒng)的一個(gè)零日漏洞向香港一家媒體機(jī)構(gòu)和一個(gè)著名民主勞工組織的網(wǎng)站發(fā)起了攻擊。該漏洞編號(hào)為CVE-2021-30869(CVSS分?jǐn)?shù)7.8)，惡意應(yīng)用程序能夠以內(nèi)核權(quán)限執(zhí)行任意代碼。9月下旬，蘋(píng)果修復(fù)了這一漏洞。在此次攻擊事件中，不法分子還將另一個(gè)漏洞(CVE-2021-1789)串聯(lián)起來(lái)組成攻擊鏈，以便可以控制受害設(shè)備來(lái)安裝他們的惡意軟件。隨著谷歌安全人員的披露，該漏洞和攻擊事件才逐漸被知曉。
5· Ivanti：2021年Q3與勒索軟件相關(guān)的漏洞增加了4.5%
Ivanti于近日發(fā)布了2021年Q3勒索攻擊態(tài)勢(shì)的分析報(bào)告。報(bào)告指出，第三季度與勒索軟件相關(guān)的漏洞較之上一季度增加了4.5%，總數(shù)達(dá)到278個(gè);勒索軟件家族增加了3.4%，總數(shù)達(dá)到151個(gè)。報(bào)告還發(fā)現(xiàn)勒索運(yùn)營(yíng)團(tuán)伙仍在積極利用零日漏洞;攻擊中使用的技術(shù)也變得越來(lái)越復(fù)雜，例如dropper as-a-service;有3個(gè)可追溯到2020年或更早的漏洞與這一季度的新勒索軟件有關(guān)。
6· 蘋(píng)果被曝將上線數(shù)字證件引發(fā)爭(zhēng)議
11月15日，外媒消息稱蘋(píng)果公司正在與美國(guó)多個(gè)州政府合作，計(jì)劃推出iPhone用戶的數(shù)字身份證或數(shù)字駕照等。蘋(píng)果表示這是一種更安全更簡(jiǎn)便的方法，這項(xiàng)功能與蘋(píng)果包括Face ID等生物特征安全措施相結(jié)合，可減少欺詐。蘋(píng)果還要求對(duì)負(fù)責(zé)發(fā)放身份證的政府機(jī)構(gòu)擁有高度控制權(quán)，具體而言，就是蘋(píng)果對(duì)該計(jì)劃的關(guān)鍵條款擁有解釋權(quán)和決定權(quán)。美國(guó)州政府將公民信息的控制權(quán)交給一家科技公司的做法引起一些業(yè)內(nèi)人士質(zhì)疑，尤其是將公民生物特征等集成到移動(dòng)設(shè)備，引發(fā)對(duì)隱私保護(hù)的擔(dān)憂。
來(lái)源：安全419
