Windows未修補的0day漏洞曝光；谷歌釋出USB鍵入攻擊防禦工具；Firefox重啟TLS 1.0和1.1

Editor發表於2020-03-24
Windows谷歌FirefoxTLS

受新冠肺炎疫情影響，蘋果股價週一早盤下跌 4.70%，股價至 218.46 美元，市值跌破 1 萬億美元至 9559 億美元。目前，微軟是唯一一家保留在“萬億俱樂部”的成員。


1、Windows未修補的0day漏洞影響所有版本


Windows未修補的0day漏洞曝光；谷歌釋出USB鍵入攻擊防禦工具；Firefox重啟TLS 1.0和1.1


近日，微軟釋出一則安全公告，警告Windows存在兩個未修復的關鍵漏洞，可能導致攻擊者遠端控制目標計算機，影響數十億Windows使用者。 


微軟表示這兩個漏洞都已在有限的針對性攻擊中使用，並且影響Windows作業系統的所有受支援版本。


這兩個漏洞都位於字型解析軟體Windows Adobe Type Manager庫中，該漏洞允許遠端攻擊者在目標系統上執行任意惡意程式碼，屬於嚴重級別，是微軟最高的漏洞級別。 


攻擊者可利用此漏洞誘使受害者開啟特製文件或在Windows“預覽”窗格中檢視該文件，以此實現攻擊。


目前尚不清楚這個漏洞會否被含有特製惡意OTF字型的網頁觸發，但攻擊者可以透過多種其他方式利用這兩個漏洞，例如透過Web分散式創作和版本控制(WebDAV)客戶端服務。


目前這兩個漏洞尚未修復，微軟預計在4月14日的補丁星期二推出更新補丁。


好訊息是，利用這兩個RCE漏洞進行野外定向攻擊的數量是“有限的”。

1）在Windows資源管理器中禁用預覽窗格和詳細資訊窗格

2）禁用WebClient服務目前有以下幾種方式減輕該漏洞的影響：

3）重新命名或禁用ATMFD.DLL


LYA：在開啟任意程式前，請先進行確認。




2、谷歌釋出USB鍵入攻擊防禦工具


Windows未修補的0day漏洞曝光；谷歌釋出USB鍵入攻擊防禦工具；Firefox重啟TLS 1.0和1.1


（來源：安全牛）近日，Google宣佈為Linux系統開發了一種安全工具，可透過識別可疑的擊鍵速度來阻止惡意隨身碟裝置的USB按鍵注入攻擊（以下簡稱鍵入攻擊）。鍵入攻擊可以透過執行模擬人類使用者輸入的程式碼來執行隨身碟中的惡意指令。

谷歌安全工程師Sebastian Neuner在谷歌開源部落格上介紹，谷歌的工具使用兩種啟發式變數——KEYSTROKE_WINDOW和ABNORMAL_TYPING，來區分良性和惡意的USB輸入資訊。

具體來說，KEYSTROKE_WINDOW會監測兩次擊鍵之間的時間（是否過於短促）來告警，但這種方法對於超級鍵盤手，或者手大同時按下兩個按鍵的使用者來說，容易產生誤報，不過谷歌表示監測的準確性會隨著擊鍵次數的增加而提高。

ABNORMAL_TYPING可以用於定義兩次擊鍵之間的“間隔時間”或間隔。啟發式方法之所以起作用，是因為除特殊因素外，程式自動擊鍵輸入通常比人類輸入要快。

Neuner建議使用者使用線上程式檢測自己的鍵入速度，同時在“監控”模式下執行Google工具來重新校準預設引數。不過即便如此，使用者還是需要幾天甚至幾周的時間，才能逐漸降低誤報率，直到消除。

有研究人員指出這款防禦工具不是USB安全的萬靈藥，仍需要觀察這種啟發式防禦方法能否透過調整擊鍵引數繞過。但其簡單，便宜，可廣泛採用的優點也同樣不可忽視。


LYA：USB鍵入攻擊一直是一個不可忽視的安全問題，針對此類攻擊的防禦也正在不斷升級。



3、Firefox因疫情影響重啟TLS 1.0和1.1

Windows未修補的0day漏洞曝光；谷歌釋出USB鍵入攻擊防禦工具；Firefox重啟TLS 1.0和1.1

本月初，Mozilla釋出的Firefox 74停止支援弱加密演算法的舊版協議TLS 1.0和1.1，以鼓勵向更安全的系統過渡。但受疫情影響，Firefox重新開始支援TLS 1.0和1.1。


TLS 1.0和1.1分別是1996年和2006年釋出的舊版協議，2008年和2017年分別釋出了協議的新版本TLS 1.2和1.3，相對於舊版本來說更加安全。


蘋果、谷歌、Mozilla和微軟四大瀏覽器製造商陸續給使用TLS 1.0和1.1的網站上貼上不安全的標籤。


受影響的網站大約有85萬個，其中包括政府網站，這些網站並沒有升級到TLS 1.2或1.3，但鑑於其會提供新冠病毒爆發的相關重要訊息，為了使這些網站的傳播功能恢復正常，讓更多人接收到準確資訊，Firefox暫時恢復對舊版TLS的支援。


Mozilla表示，此次更改的時間未定，旨在幫助使用者更好地訪問和共享COVID-19重要資訊，在未來會再次禁用舊版TLS。


LYA：疫情牽動全球人們的心。


相關文章