Windows未修補的0day漏洞曝光；谷歌釋出USB鍵入攻擊防禦工具；Firefox重啟TLS 1.0和1.1

Editor發表於2020-03-24
Windows谷歌FirefoxTLS

受新冠肺炎疫情影響，蘋果股價週一早盤下跌 4.70%，股價至 218.46 美元，市值跌破 1 萬億美元至 9559 億美元。目前，微軟是唯一一家保留在“萬億俱樂部”的成員。


1、Windows未修補的0day漏洞影響所有版本


Windows未修補的0day漏洞曝光；谷歌釋出USB鍵入攻擊防禦工具；Firefox重啟TLS 1.0和1.1


近日，微軟釋出一則安全公告，警告Windows存在兩個未修復的關鍵漏洞，可能導致攻擊者遠端控制目標計算機，影響數十億Windows使用者。 


微軟表示這兩個漏洞都已在有限的針對性攻擊中使用，並且影響Windows作業系統的所有受支援版本。


這兩個漏洞都位於字型解析軟體Windows Adobe Type Manager庫中，該漏洞允許遠端攻擊者在目標系統上執行任意惡意程式碼，屬於嚴重級別，是微軟最高的漏洞級別。 


攻擊者可利用此漏洞誘使受害者開啟特製文件或在Windows“預覽”窗格中檢視該文件，以此實現攻擊。


目前尚不清楚這個漏洞會否被含有特製惡意OTF字型的網頁觸發，但攻擊者可以通過多種其他方式利用這兩個漏洞，例如通過Web分散式創作和版本控制(WebDAV)客戶端服務。


目前這兩個漏洞尚未修復，微軟預計在4月14日的補丁星期二推出更新補丁。


好訊息是，利用這兩個RCE漏洞進行野外定向攻擊的數量是“有限的”。

1）在Windows資源管理器中禁用預覽窗格和詳細資訊窗格

2）禁用WebClient服務目前有以下幾種方式減輕該漏洞的影響：

3）重新命名或禁用ATMFD.DLL


LYA：在開啟任意程式前，請先進行確認。




2、谷歌釋出USB鍵入攻擊防禦工具


Windows未修補的0day漏洞曝光；谷歌釋出USB鍵入攻擊防禦工具；Firefox重啟TLS 1.0和1.1


（來源：安全牛）近日，Google宣佈為Linux系統開發了一種安全工具，可通過識別可疑的擊鍵速度來阻止惡意U盤裝置的USB按鍵注入攻擊（以下簡稱鍵入攻擊）。鍵入攻擊可以通過執行模擬人類使用者輸入的程式碼來執行U盤中的惡意指令。

谷歌安全工程師Sebastian Neuner在谷歌開源部落格上介紹，谷歌的工具使用兩種啟發式變數——KEYSTROKE_WINDOW和ABNORMAL_TYPING，來區分良性和惡意的USB輸入資訊。

具體來說，KEYSTROKE_WINDOW會監測兩次擊鍵之間的時間（是否過於短促）來告警，但這種方法對於超級鍵盤手，或者手大同時按下兩個按鍵的使用者來說，容易產生誤報，不過谷歌表示監測的準確性會隨著擊鍵次數的增加而提高。

ABNORMAL_TYPING可以用於定義兩次擊鍵之間的“間隔時間”或間隔。啟發式方法之所以起作用，是因為除特殊因素外，程式自動擊鍵輸入通常比人類輸入要快。

Neuner建議使用者使用線上程式檢測自己的鍵入速度，同時在“監控”模式下執行Google工具來重新校準預設引數。不過即便如此，使用者還是需要幾天甚至幾周的時間，才能逐漸降低誤報率，直到消除。

有研究人員指出這款防禦工具不是USB安全的萬靈藥，仍需要觀察這種啟發式防禦方法能否通過調整擊鍵引數繞過。但其簡單，便宜，可廣泛採用的優點也同樣不可忽視。


LYA：USB鍵入攻擊一直是一個不可忽視的安全問題，針對此類攻擊的防禦也正在不斷升級。



3、Firefox因疫情影響重啟TLS 1.0和1.1

Windows未修補的0day漏洞曝光；谷歌釋出USB鍵入攻擊防禦工具；Firefox重啟TLS 1.0和1.1

本月初，Mozilla釋出的Firefox 74停止支援弱加密演算法的舊版協議TLS 1.0和1.1，以鼓勵向更安全的系統過渡。但受疫情影響，Firefox重新開始支援TLS 1.0和1.1。


TLS 1.0和1.1分別是1996年和2006年釋出的舊版協議，2008年和2017年分別釋出了協議的新版本TLS 1.2和1.3，相對於舊版本來說更加安全。


蘋果、谷歌、Mozilla和微軟四大瀏覽器製造商陸續給使用TLS 1.0和1.1的網站上貼上不安全的標籤。


受影響的網站大約有85萬個，其中包括政府網站，這些網站並沒有升級到TLS 1.2或1.3，但鑑於其會提供新冠病毒爆發的相關重要訊息，為了使這些網站的傳播功能恢復正常，讓更多人接收到準確資訊，Firefox暫時恢復對舊版TLS的支援。


Mozilla表示，此次更改的時間未定，旨在幫助使用者更好地訪問和共享COVID-19重要資訊，在未來會再次禁用舊版TLS。


LYA：疫情牽動全球人們的心。


相關文章