【资安日报】8月12日,研究人员揭露存在18年的浏览器漏洞,而且已有滥用漏洞行为,Linux及macOS电脑都可能中招

一般而言,骇客利用浏览器的漏洞,通常是打算借此入侵受害者的电脑,或是窃取浏览器存放的使用者资料,但最近研究人员揭露的漏洞0.0.0.0 Day相当特别,因为这项漏洞影响的范围并未包含数量庞大的Windows用户,而是搭载Linux与macOS作业系统的电脑。

但值得留意的是,这项漏洞已被用来从事攻击行动,骇客借此存取特定应用系统的伺服器,从而执行任意程式码,或是提升权限。

 

【攻击与威胁】

这项漏洞的影响范围相当广,不只使用Chrome、Firefox为基础的浏览器受到影响,就连Safari也无法幸免。不过,该漏洞主要影响执行macOS及Linux作业系统的电脑,并未波及Windows用户。

值得留意的是,这项漏洞已被用于实际攻击行动。研究人员指出,今年3月人工智慧框架Ray攻击行动ShadowRay、7月底揭露的SeleniumGreed,攻击者都借由向0.0.0.0发出请求而得逞。

VPN评比公司Vpnmentor指出,近期发现美国伊利诺州部分郡的选民和选举资料库未受密码保护,包括投票登记、选票模板和个人资料相关的大量档案出现在网际网路,研究人员发现这些资料库由名为Platinum Technology Resource的公司管理,目前已经通知相关单位处理。

研究人员进一步分析曝光的资料,发现伊利诺州13个郡有选举资料泄漏的情况,这些资料库均未使用密码保护,共存放460万选民资料,另外,他还发现了15个虽有设置密码,但是存在潜在安全风险的资料库,这些资料库暴露了储存选民或是选举档案的路径,可能成为攻击者的目标。

其他攻击与威胁

 

【漏洞与修补】

8月8日微软警告Office存在漏洞CVE-2024-38200,有可能导致NTLM验证资料等敏感资讯泄露给骇客,影响云端与桌机版本Office,微软预定在本月例行更新(Patch Tuesday)释出安全更新,但声称用户暂无安全风险。

此漏洞由PrivSec Consulting研究人员Jim Rush及独立研究人员Metin Yunus Kandemir发现,为欺骗攻击漏洞,CVSS风险值为7.5 ,可造成敏感资讯泄露给未经授权的攻击者。影响产品包括Office LTSC 2021、Office 2019、Office 2016,以及企业版的Microsoft 365,而且,64位元和32位元版本都受到影响。

其他漏洞与修补