Unix和Linux操作系统广泛使用的GNU Bourne Again Shell(Bash)发现了一个允许远程执行代码的严重安全漏洞。该漏洞是Stephane Schazelas发 现的，与Bash处理来自操作系统或调用Bash脚本的应用程序的环境变量有关。如果Bash是默认的系统shell，网络攻击者可以通过发送Web请 求、secure shell、telnet会话或其它使用Bash执行脚本的程序攻击服务器和其它Unix和Linux设备。
该漏洞在影响范围上与Heartbleed漏 洞相当，在危险程度上也许没有Heartbleed高。漏洞影响GNU Bash v1.14到v4.3，主要Linux发行版如Red Hat Enterprise Linux (v4到7)、Fedora、CentOS、Ubuntu和Debian都已经发布了补丁。
但补丁尚未完全修复问题。你可以输入命令env x='() { :;}; echo vulnerable’ bash -c “echo this is a test”测试你的系统是否存在漏洞，如果存在漏洞会返回“vulnerable this is a test”。
在Black Hat Europe会议上，俄罗斯安全专家公布了对华为3G/4G USB上网卡驱动程序的分析结果，发现华为的驱动、配置软件和更新机制全都质量欠佳。华为会在客户的机器上安装应用程序和驱动自动更新组件，每15分钟联系荷兰的服务器查询有没有更新。这台服务器运行的是过时的微软IIS 6.0软件，Tarakanov指出，如果黑客入侵了服务器就能向数百万台机器传播恶意程序。
华为有三位代表参加了会议，他们批评Tarakanov没有提前向华为通知他的发现。华为的更新机制还存在提权漏洞。华为表示将会尽快发布补丁解决问题。
Google 今天宣布已经给在两周前 Pwnium 3 黑客大赛发现 Chrome OS 漏洞的研究者支付了4万美元奖励，据了解这位研究者名叫“小指馅饼”（Pinkie Pie），他是3月7号举行的黑客比赛当中是唯一一位成功发现 Google 漏洞的人。根据 Chrome 安全团队的工程师 Chris Evans 的博文，“小指馅饼” 在此次竞赛中串联 Chrome OS 视频解析(video parsing)、Linux底层系统与设定档案的错误三项形成漏洞。
“小指馅饼” 是Pwniun黑客大赛的常客，去年他分两次从Pwniun比赛中拿走了共12万美元。据悉，“小指馅饼” 去年还不满20岁。WIKI 上关于Pinkie Pie 的信息很少，只提到这名黑客之所以使用“小指馅饼” 作为化名，是不想让其雇主知道他的身份。
多年来,黑客一直在集中精力寻找计算机软件的黑洞,以让他们在未经授权的情况下使用电脑系统.
但是上周二,伊利诺伊大学的研究人员却展示了他们如何改变计算机芯片,让攻击者打开后门进入电脑,这一技术虽然十分繁杂,但是至少在现实世界没有任何防御的可能,甚至连发现都是很难的事情.
该小组利用一种特别的可编程处理器,注入恶意的固件到芯片记忆体中就可以实现让攻击者直接登录机器.
这意味着不需要找出任何软件缺陷就可以让攻击者大踏步进入系统而不被任何基于软件的入侵检测系统发觉.更可怕的是,这些可编程的芯片在Sun的中高端服务器中非常常见. Continue reading »