微软发现严重安全漏洞，影响数十亿下载量 Android 应用

微软发现严重安全漏洞，影响数十亿下载量Android应用https://www.ithome.com/0/765/873.htm“DirtyStream”漏洞的核心在于恶意应用可以操纵和滥用Android的内容提供程序系统。该系统通常用于设备上不同应用之间安全地交换数据，并包含严格的数据隔离、特定URI附加权限以及文件路径验证等安全措施，以防止未经授权的访问。然而，如果内容提供程序系统没有被正确实现，就会产生漏洞。微软研究人员发现，不当使用“自定义意图”（customintents，Android应用组件之间的通信系统）可能会暴露应用的敏感区域。例如，易受攻击的应用可能无法充分检查文件名或路径，从而为恶意应用提供了可乘之机，使其可以将伪装成合法文件的恶意代码混入其中。攻击者利用“DirtyStream”漏洞后，可以诱骗易受攻击的应用覆盖其私有存储空间中的关键文件。这种攻击可能使得攻击者完全控制应用，未经授权访问敏感用户数据，或拦截私密登录信息。微软的研究表明，此漏洞并非个例，研究人员发现许多流行的Android应用都存在内容提供程序系统实现不当的问题。例如，拥有超过10亿安装量的小米文件管理器和拥有约5亿安装量的WPSOffice都存在此漏洞。

微软发现影响多款数亿次下载量安卓应用的安全漏洞

微软发现影响多款数亿次下载量安卓应用的安全漏洞微软在Android应用中发现了与自定义意图(CustomIntents)有关的漏洞，并将其命名为“DirtyStream”，该漏洞可使恶意应用覆盖易受攻击的应用主目录中的文件。此漏洞模式的影响包括任意代码执行和身份凭证窃取。该漏洞与用于安卓应用间共享数据的内容提供程序系统有关，如果开发者没有正确实现该功能，就会产生暴露应用中的敏感数据。微软在谷歌Play商店中发现了多个存在漏洞的应用，这些应用的安装量累积超过40亿次，其中至少有四个应用的安装量超过5亿。其中被发现的应用示例是小米文件管理器(安装量超过10亿)和WPSOffice(安装量超过5亿)。截至2024年2月，微软已通知的应用开发者均已发布修复程序，并建议用户保持其设备和已安装的应用为最新版本。——

＃安全 ［Android曝出两个高危漏洞］

＃安全［Android曝出两个高危漏洞］Android系统本周曝出了两个新的高危漏洞，影响大量设备，很多设备可能永远得不到修复的机会。第一个漏洞是GoogleProjectZero安全团队成员MarkBrand披露的，编号CVE2016-3861，该漏洞允许攻击者执行恶意程序或本地提权。Brand称该漏洞极端危险，因为它可以通过多种方式利用。他同时披露了漏洞利用代码。第二个漏洞编号CVE-2016-3862，类似Stagefright，能通过发送恶意图像文件利用，其中恶意代码能被隐藏在图像嵌入的Exif数据中。受害者无需任何操作就能遭到入侵。https://bugs.chromium.org/p/project-zero/issues/attachment?aid=249763

微软员工因安全漏洞泄露公司内部密码

微软员工因安全漏洞泄露公司内部密码微软解决了将公司内部公司文件和凭据暴露给开放互联网的安全漏洞。SOCRadar的安全研究人员发现了一个托管在MicrosoftAzure云服务上的开放公共存储服务器，该服务器存储与微软必应搜索引擎相关的内部信息。Azure存储服务器包含代码、脚本和配置文件，其中包含微软员工用于访问其他内部数据库和系统的密码、密钥和凭证。但存储服务器本身没有密码保护，互联网上的任何人都可以访问。研究人员于2月6日向微软公司通报了这一安全漏洞后，微软于3月5日修复。——

蓝牙曝底层安全漏洞，数十亿设备受影响

蓝牙曝底层安全漏洞，数十亿设备受影响Eurecom的研究人员近期分享了六种新型攻击方式，统称为"BLUFFS"，这些攻击方式能够破坏蓝牙会话的保密性，使设备容易受到冒充和中间人攻击(MitM)。攻击发现者DanieleAntonioli解释道，"BLUFFS"利用了蓝牙标准中两个以前未知的漏洞，这些漏洞与会话密钥的派生方式以及交换数据的解密过程有关。这些漏洞并非受限于特定的硬件或软件配置，而是系统性的问题，也就是说它们对蓝牙技术产生了根本性的影响。该漏洞被标识为CVE-2023-24023，影响范围包括蓝牙4.2版到5.4版。考虑到蓝牙作为一种广泛应用的成熟无线通信标准，以及受到这些漏洞影响的版本，"BLUFFS"可能对数十亿设备构成威胁，包括笔记本电脑、智能手机和其他移动设备。来源：；投稿：@ZaiHuaBot频道：@TestFlightCN

macOS端Zoom获更新 修复高危安全漏洞

macOS端Zoom获更新修复高危安全漏洞援引国外科技媒体MacRumors报道，Zoom已经发布了新版补丁，修复了存在于macOS端应用中的漏洞，允许黑客入侵接管用户的操作系统。在安全公告中，Zoom承认存在CVE-2022-28756这个问题，并表示在最新的5.11.5版本中已经提供了修复，用户应该理解下载安装。Objective-SeeFoundation的联合创始人兼安全专家帕特里克·沃德尔（PatrickWardle）率先发现了这个漏洞，并在上周召开的DefCon黑客大会上公开演示。该漏洞存在于Zoom的macOS安装包内，需要特别的用户权限来执行。通过利用该工具，沃德尔利用Zoom安装包的加密签名来安装恶意程序。接下来，攻击者可以接管用户的系统，允许修改、删除和添加文件。在引用Zoom的更新之后，沃德尔表示：“感谢Zoom能够如此快地修复这个问题。反转补丁，Zoom安装程序现在调用lchown来更新更新.pkg的权限，从而防止恶意使用”。您可以通过首先在Mac上打开应用程序并从屏幕顶部的菜单栏中点击zoom.us（这可能因您所在的国家/地区而异）来在Zoom上安装5.11.5更新。然后，选择检查更新，如果可用，Zoom将显示一个窗口，其中包含最新的应用程序版本，以及有关更改内容的详细信息。从这里，选择更新开始下载。相关文章:利用macOS端Zoom安装器漏洞黑客可以接管你的Mac...PC版：https://www.cnbeta.com/articles/soft/1304807.htm手机版：https://m.cnbeta.com/view/1304807.htm