资安一周第56期： 知名的Linux/Unix网页界面管理工具Webmin被发现有重大漏洞，系统管理员需注意修补
0815-0821一定要看的资安新闻
＃系统安全 ＃Webmin漏洞
Unix管理工具Webmin爆有远端程式码执行漏洞
图片来源／Özkan Mustafa Akkuş
广受欢迎的Unix/Lunix服务器网页化管理工具Webmin，近日被土耳其安全研究人员Özkan Mustafa Akkuş发现，有远端程式码执行RCE漏洞，可让远端骇客以根权限执行恶意指令。
这个编号CVE-2019-15107的漏洞，影响1.920版本以前的Webmin，它存在password_change.cgi元件中一段程式码中，已经被列为重大漏洞。简单来说，许多Webmin管理员都会开启“user password change”的功能，让使用者可以重设过期旧密码。但研究人员发现，只要在传送的指令参数中包含old引数（Argument），不论输入资讯是否正确，该元件看到old就会验证通过，进而将可控制执行Webmin的Unix、Linux服务器。近日Webmin维护团队已经修补，并发布1.930版本。更多内容
＃个资安全 ＃保全业者数据库
保全公司云端平台漏洞，让千万用户指纹、人脸及个资曝险
图片来源／vpnMentor
全球前50大保全业者Suprema，该公司的生物辨识云端平台被发现含有漏洞。基本上，他们的BioStar 2智慧门锁平台，可提供管理员各大楼、厂房的进出控管、管理用户权限、存取人员活动记录，并利用脸部辨识及指纹辨识资料来比对人员身份。但安全公司vpnMentor研究人员发现，该平台有多项漏洞，让他们得以搜寻并存取多个具有大批敏感资讯的资料档案，其中有超过100万人的指纹、人脸辨识资讯、未加密的用户名称、密码、手机及OS、以及住家地址、公司组织架构、员工职称，总数超过2780万笔记录，共23GB资料。
而这些被公开于网络上的个资，也波及了全球企业，包括美国、英国、德国、日本及东南亚等地，研究人员指出，BioStar2平台全球安装数超过150万，影响员工可能上看数千万人。更多内容
＃Windows
CTF协定权限升级漏洞，可造成Windows XP以后电脑被接管，用记事本就能攻击
图片来源／Goolge Project Zero
最近，Google Project Zero揭露从Windows XP时代就存在的CTF协定漏洞，可使电脑被攻击者接管，而微软在接获通报后，已经在这个月的Patch Tuesday安全更新中，发布修补程式。
这项编号CVE-2019-1162的漏洞，存在于Windows的 CTextFramework（CTF）元件中，主要因为Windows进阶本机程序呼叫（ALPC）处理不当造成。发现这次漏洞的研究人员Ormandy解释，当Windows应用程序开启时，就会同时启动对应的CTF用户端软件，接着，从Windows的CTF服务接收关于键盘配置或输入法的指令，两者间的连线并没有任何验证或控管机制。更多内容
＃线上帐密安全
Google：1.5%网站用户使用已外泄的凭证来登入
图片来源／Goolge
今年2月，Google发表了Chrome扩充程式Password Checkup，可在使用者以遭骇凭证登入网站时跳出通知，本周Google公布了该扩充程式上线一个月之后的成果。
根据Google的统计，有65万名Chrome用户下载Password Checkup并参与该实验，在一个月里，他们总计扫描了2,100万个使用者名称与密码，并有31.6万组曾出现在外泄数据库中，代表当中有1.5%的凭证是不安全的，也就是使用已外泄的凭证来登入各式网站。同时Google也分析，使用者重复利用遭外泄凭证的状况，因所造访的网站而有所不同。例如，在-网站使用外泄帐密的比例只有0.2%，在金融网站有0.3%，在购物网站有1.2%，在新闻网站为1.9%，但在娱乐网站上使用这些外泄凭证的比例，则高达6.3%。更多内容
＃隐私漏洞 ＃卡巴斯基
卡巴斯基防毒软件含有可能的隐私漏洞使得用户被追踪
德国电脑杂志c't本周披露，Winodws版的卡巴斯基防毒软件暗藏隐私漏洞，可供网站追踪用户行为。该杂志一名安装了卡巴斯基防毒软件的编辑Ronald Eikenberg，意外在某个所造访网站的程式码中，看到来自卡巴斯基的JavaScript程式，检验后发现它的作用是卡巴斯基用来赋予每台电脑的ID。因此，只要能读取Kaspersky ID的网站，就能利用该ID来追踪使用者行为，可得知该名使用者是否曾造访过该站，就算在无痕模式，也会被追踪，因此，有可能遭到行销人员或骇客的滥用。目前，卡巴斯基在今年7月修补，并将原本每台电脑都具备的ID改成产品ID，使网站无法再辨识个别的用户。更多内容
＃Windows安全更新 ＃赛门铁克
＃赛门铁克防毒软件和Windows SHA-2不相容，微软暂停更新
微软近日释出的Patch Tuesday每月更新，发生与赛门铁克或诺顿防毒软件不相容的情况。根据微软表示，问题是发生在KB4512486安全更新。当安装了任何赛门铁克端点防护、或诺顿防毒软件的Windows 7及Server 2008 R2电脑，要下载只以SHA-2签章的更新时，更新版本会遭到防毒软件的封锁或删除，导致Windows电脑无法运作或无法启动。目前，微软已经暂时撤回更新，等修复后，将重新发布。更多内容
＃蓝牙漏洞
KNOB蓝牙漏洞可弱化加密效果，将导致装置通讯内容外泄、被窜改
图片来源／撷取自Bluetooth SIG
最近有一个关于蓝牙标准的安全漏洞被揭露，是由新加坡科技设计大学、剑桥大学及IT安全、隐私与责任中心研究人员共同发现。这个漏洞，被研究团队称为KNOB（Key Negotiation of Bluetooth），CVE编号为CVE-2019-9506，是评分为7.8分的高风险漏洞，与Bluetooth BR/EDR连线加密有关。
当两台蓝牙装置建立连线时，会经由金钥协商过程产生一把加密金钥，但研究人员发现，远端攻击者可在不知两台装置连线或金钥情况下，干扰这个建立BR/EDR连线加密的程序，来降低金钥的长度或熵值（entropy）。目前蓝牙技术联盟已经证实该漏洞，虽然目前还没有遭成功利用的案例，但联盟已经更新核心规格，建议硬件制造商对于Bluetooth BR/EDR连线的加密金钥长度，需在7 octet以上。更多内容
＃假讯息 ＃国家安全
防假讯息影响台湾大选与国安，调查局成立假讯息防制中心
图片来源／撷取自法务部调查局
言论自由是民主政治的基石，但随着网络科技与社群媒体的发展，散布错误不实讯息现象日益严重，已经成为各国关注焦点与挑战。随着台湾总统、立委“二合一选举”将在明年1月登场，我国法务部调查局在8月中旬宣布，除了之前成立的“二合一选举查察专案”、“影响国安选举假讯息处理小组”，为了提升案件调查能量，在8月8日，法务部更是新成立“假讯息防制中心”，将结合调查局资通安全处电脑侦办科、资安鉴识科的人员，并从外勤机动站抽调专业调查官，以及统合六都调查处资安区域专责小组，共组团队以执行假讯息的溯源侦办，以维护国家安全及公平选举。更多内容
＃Virus Check
台湾本土恶意档案检测服务Virus Check开放民众使用
图片来源／撷取自Virus Check网站
对于线上的免费恶意档案检测服务，多数人应该都会想到VirusTotal，现在，使用者将多了一个可利用的管道，而且是台湾本土的服务，那就是由台湾电脑网络危机处理暨协调中心（TWCERT/CC），今年7月中旬开始上线营运，对外开放免费使用的Virus Check，网址是https://viruscheck.tw/。特别的是，Virus Check不只运用了静态分析，还会透过沙箱进行动态分析，并将两种分析结果将同时且互补地检验，做到更好的检测成效。更多内容
更多资安动态
●脸书Zoncolan除错平台可在30分钟内侦测逾1亿行程式
●泄露Capital One上亿个资的员工，同时也窃取了30多家企业资料
●报导：华为协助乌干达-窃听政敌通讯
●超过20个位于美国德州的-机构遭到勒索软件攻击
●研究人员打造可侦测信用卡侧录装置的Bluetana程式
●靠AI扮演坏人来练兵！SAS揭露用GAN设计金融防诈欺模型的新作法
●Google欲将HTTPS凭证缩短到1年
