微软发现严重安全漏洞，影响数十亿下载量 Android 应用

微软发现严重安全漏洞，影响数十亿下载量Android应用https://www.ithome.com/0/765/873.htm“DirtyStream”漏洞的核心在于恶意应用可以操纵和滥用Android的内容提供程序系统。该系统通常用于设备上不同应用之间安全地交换数据，并包含严格的数据隔离、特定URI附加权限以及文件路径验证等安全措施，以防止未经授权的访问。然而，如果内容提供程序系统没有被正确实现，就会产生漏洞。微软研究人员发现，不当使用“自定义意图”（customintents，Android应用组件之间的通信系统）可能会暴露应用的敏感区域。例如，易受攻击的应用可能无法充分检查文件名或路径，从而为恶意应用提供了可乘之机，使其可以将伪装成合法文件的恶意代码混入其中。攻击者利用“DirtyStream”漏洞后，可以诱骗易受攻击的应用覆盖其私有存储空间中的关键文件。这种攻击可能使得攻击者完全控制应用，未经授权访问敏感用户数据，或拦截私密登录信息。微软的研究表明，此漏洞并非个例，研究人员发现许多流行的Android应用都存在内容提供程序系统实现不当的问题。例如，拥有超过10亿安装量的小米文件管理器和拥有约5亿安装量的WPSOffice都存在此漏洞。

TikTok 缓解针对知名账户的恶意软件攻击

TikTok缓解针对知名账户的恶意软件攻击TikTok表示已修复导致本周发生网络攻击的漏洞。黑客向用户发送了一条带有恶意软件的私人消息，用户打开该消息后就会接管用户的帐户。TikTok证实，身份不明的黑客已经成功接管CNN的账号。黑客还试图劫持帕丽斯·希尔顿(ParisHilton)的TikTok账户。目前尚不清楚此次攻击的幕后黑手是谁以及黑客利用了什么漏洞，但这种类型的攻击极为罕见，可能不会影响普通用户。TikTok发言人补充说，公司正在积极与受影响的账户所有者合作，以恢复他们的访问权限——

微软解释Azure漏洞原因：工程师账户被黑

微软解释Azure漏洞原因：工程师账户被黑微软表示，一名工程师的公司帐户遭到一名技术精湛的威胁参与者黑客攻击，该威胁参与者获得了签名密钥，用于攻击属于知名用户的数十个Azure和Exchange帐户。这一披露揭开了微软7月份披露的两个核心漏洞。微软表示被追踪为Storm-0558的黑客已在其公司网络内潜入一个多月，并获得了Azure和Exchange帐户的访问权限，其中几个帐户被确定属于美国国务院和商务部。Storm-0558通过获取过期的Microsoft帐户消费者签名密钥并使用它为Microsoft据称强化的AzureAD云服务伪造令牌来实现这一行为。来源：投稿：@ZaiHuaBot频道：@TestFlightCN

微软发现苹果 macOS 漏洞，可植入恶意软件

微软发现苹果macOS漏洞，可植入恶意软件微软于今年7月发现了一个macOS漏洞，可以绕过Gatekeeper安全机制执行恶意软件。微软将发现的这个macOS漏洞称之为“Achilles”，并通过“CoordinatedVulnerabilityDisclosure”将其告知给了苹果公司。该漏洞允许攻击者绕过苹果的Gatekeeper安全机制，在Mac设备上植入任意恶意软件。苹果公司在收到微软的报告之后，在本月13日发布的macOS13（Ventura）、macOS12.6.2（Monterey）和macOS1.7.2（BigSur）更新中修复了这个漏洞。

微软发布补丁，修复 Win10、Win11 关键漏洞：可安装恶意软件

微软发布补丁，修复Win10、Win11关键漏洞：可安装恶意软件https://www.ithome.com/0/742/512.htmhttps://msrc.microsoft.com/blog/2023/12/microsoft-addresses-app-installer-abuse/（英文）该漏洞存在于ms-appinstaller统一资源标识符（URI）方案中，攻击者利用该漏洞，可以绕过常规的安全措施，在用户浏览网页的时候悄悄植入危险软件。攻击者利用ms-appinstaller隐藏快捷方式，在受害者PC上偷偷安装恶意软件。微软本次补丁已经禁用了这个快捷方式，这意味着从网站下载的任何应用程序都必须像正常下载文件一样通过安全检查。

WinRAR 高危漏洞，允许攻击者远程执行恶意代码

WinRAR高危漏洞，允许攻击者远程执行恶意代码此漏洞允许远程攻击者在受影响的RARLABWinRAR安装中执行任意代码。利用此漏洞需要用户交互，因为目标必须访问恶意页面或打开恶意文件。该特定缺陷存在于恢复卷的处理中。该问题是由于缺乏对用户提供的数据进行正确验证而导致的，这可能会导致内存访问超出已分配缓冲区的末尾。攻击者可以利用此漏洞在当前进程的上下文中执行代码。该漏洞于2023年6月8日向供应商报告，于2023年8月17日协调公开发布公告。RARLAB已发布更新来修复此漏洞。参考：；来源：投稿：@ZaiHuaBot频道：@TestFlightCN