頭條：Comcast Xfinity網站API存在數據泄露隱患

TOP5

6月26日全球信安資訊

1

Comcast Xfinity網站API存在數據泄露隱患

>>>>

信源：ZDnet

安全研究人員發現，Comcast公司的Xfinity網站使用的API會將客戶敏感數據暴露在網路上，包括客戶賬號、家庭地址、賬戶類型以及在線上啟用的服務信息（比如家庭安全設置是否處於活動狀態）等。

Xfinity網站的API主要用於幫助客戶找到商店並獲取帳戶信息。該API部署了IP安全訪問控制，只會向識別的Xfinity客戶端IP返回相應數據，但並沒有針對訪問設備進行安全驗證，導致在客戶本地網路環境內的所有設備都能訪問到相同的客戶敏感數據。研究人員發現，連接到客戶Wi-Fi網路的任何設備（包括應用程序）都可以獲得相同的客戶帳戶信息，而無需獲得他們的許可。

目前，Comcast已於6月22日關閉了該API。

2

真主黨Facebook和Twitter賬戶再次遭到關停

>>>>

信源：、bleepingcomputer

6月23日，被美國務院認定為恐怖主義組織的真主黨（Hezbollah）宣布，其Facebook和Twitter主賬戶再次遭到關停。此次真主黨賬號被關停的具體原因不得而知，只知道在以色列公共安全部長Gilad Erdan對Twitter提起刑事訴訟之後，關停就發生了。Gilad Erdan指責Twitter針對那些呼籲「謀殺無辜者」的團體處理不力。

真主黨成立於1982年，是一個駐黎巴嫩的什葉派穆斯林團體，其名字的意思是「上帝的聚會」。

3

微軟將在Azure AD強制實施多重身份驗證

>>>>

信源：bleepingcomputer

微軟公司6月22日表示，他們將在Azure AD上強制實施多重身份驗證（multi-factor authentication，MFA）。MFA功能將成為Microsoft Azure AD的「baseline policy（基準策略）」的一部分。該策略是一套安全策略集，用於支持最低限度的安全措施。Azure AD多重身份驗證選項包括：電話語音驗證、簡訊驗證碼、移動應用通知、移動應用OATH驗證碼等。

目前，「管理帳戶中的MFA」基準策略處於公示階段，任何Azure AD客戶都可以按照微軟給出的步驟啟用它。

4

WebAssembly新特性可使Meltdown和Spectre瀏覽器補丁失效

>>>>

信源：bleepingcomputer

網路安全公司Forcepoint的研究員JohnBergbom發現，WebAssembly（WA或Wasm）技術標準的修訂可導致針對Meltdown和Spectre漏洞的瀏覽器補丁失效。WebAssembly是於2017年推出的一項新技術，支持所有的主流瀏覽器，包括Chrome、Edge、火狐和Safari等。利用WebAssembly可以在瀏覽器中運行一些高性能、低級別的編程語言（比如C/C++等）。

John Bergbom表示，WebBaseMalk可能會給用戶帶來另一種意想不到的副作用。比如一旦WebAssembly獲得對共享內存線程的支持（這已在WebAssembly路線圖上），就可創建非常準確的JavaScript定時器，從而會導致針對CPU邊信道攻擊的瀏覽器補丁無效。

最近披露的Meltdown和Spectre CPU漏洞攻擊利用的核心是定時攻擊，依賴於攻擊者是否具備測量精確時間間隔的能力,而瀏覽器緩解補丁主要是通過降低SharedArrayBuffer、performance.now之類的函數的精度值來緩解Meltdown和Spectre漏洞，而WebAssembly的新特性（共享內存線程）將會給攻擊者帶來新機會。

5

陸軍網路司令部撥款650萬美元以提高反情報能力

>>>>

信源：cyberscoop

Applied Insight和DV United兩家公司6月21日宣布，他們獲得了美國陸軍網路司令部價值650萬美元的合同，將積極開展合作支持陸軍網路司令部的用戶活動監控計劃（User Activity Monitoring Program, UAM），以幫助美國陸軍司令部提高反情報能力。這兩家公司此前曾為五角大樓等情報機構提供網路武器系統、網路威脅分析與網路防禦等產品和服務。

GIF

聲 明

本文內容由國外媒體發布，不代表聚鋒實驗室立場和觀點。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！