微軟CTF協議曝出漏洞影響WindowsXP發布以來的所有係統

作者/來源： 安華金和

Google Project Zero 安全團隊的研究員 Tavis Ormandy 報告，微軟鮮為人知的 CTF 協議存在漏洞，很容易利用，已在受害者計算機獲得立足之地的黑客或惡意程序可以利用該漏洞劫持任何 Windows 應用，接管整個操作係統。

CTF 代表什麼 Ormandy 沒有查到，它是 Windows Text Services Framework (TSF) 的一部分，該係統用於管理 Windows 或 Windows 應用程序內的文本展示。當用戶啟動一個應用，Windows 會啟動一個 CTF 客戶端，這個客戶端會從一個 CTF 服務器接收有關操作係統語言和鍵盤輸入方法的指令。如果操作係統輸入方法從一種語言切換到另一種語言， CTF 服務器會通知所有 CTF 客戶端，實時改變語言。

漏洞在於 CTF 服務器和客戶端之間通信是不安全的，沒有正確的身份驗證。攻擊者可以劫持另一個應用的 CTF 會話，偽裝成服務器向客戶端發送指令。如果應用運行在高權限上，攻擊者可以控製整個操作係統。

漏洞影響到 XP 以來的所有 Windows 版本，不清楚微軟是否或何時會釋出補丁。

來源：solidot.org

第一資本銀行的黑客還竊取了另外 30 家公司的數據前亞馬遜 AWS 雇員 Paige A. Thompson 上個月底遭到逮捕，被控從第一資本銀行竊取了一億多用戶的數據。本周遞交到法庭的訴狀顯示她還竊取了另外 30 家公司的數據。檢察官 Brian Moran 在訴狀中沒有披露這些公司的名字，隻是表示目前對數據的分析顯示不包含個人信息。

來源：solidot.org

詳情鏈接： https://www.dbsec.cn/blog/article/4915.html

DDoS 攻擊 Tor 的成本分析Tor 是最流行的匿名通信係統，它被普通公民、記者和活動人士用於繞過審查和保護隱私，也被網絡罪犯用於非法活動隱藏個人身份。它也日益成為破壞、審查和攻擊的目標。有許多方法可以阻止用戶使用 Tor，如流量過濾、流量指紋、流量關聯等等。

來源：威鋒網

詳情鏈接： https://www.dbsec.cn/blog/article/4916.html

首都網警：關於 Windows RDP 服務遠程代碼執行漏洞的預警通報2019年8月14日，國家信息安全漏洞共享平台（CNVD）收錄了Microsoft遠程桌麵服務遠程代碼執行漏洞。攻擊者利用該漏洞，可在未授權的情況下遠程執行代碼，存在被不法分子利用進行蠕蟲攻擊的可能。目前，微軟公司已發布官方補丁。

來源：

詳情鏈接： https://www.dbsec.cn/blog/article/4917.html

安全漏洞導致 Suprema Biostar 2 百萬人指紋數據曝光近年來發生的多起大規模信息泄露事件，使得網絡用戶不得不修改那些不再安全的賬戶密碼。但若安全性更高的指紋數據被曝光，那後果就更加嚴重了。遺憾的是，這正是 Suprema Biostar 2 指紋鎖身上所發生的事情。

來源：cnBeta.COM

詳情鏈接： https://www.dbsec.cn/blog/article/4919.html

（信息來源於網絡，安華金和搜集整理）