일일 보안이슈
ExploitAlert
FormCraft Basic v1.0.5 blind and header sql injection
Telegram 4.0.1 – TwoFactor Authentication ByPass (0day)
FBI, 2016년 사이버범죄로 인한 추산 피해 14억 달러 에 이를것이라 발표
FIB는 최근 Internet Crime Report 2016 를 발표했다. 이 리포트는 Internet Crime Complaint Center (IC3) 의 자료를 기반해 제작됐다. 이 자료에 따르면 지난해 10억 달러의 누적 피해액에 이어 올해는 14억 달러를 기록했다고. 자세한 내용은 기사원문 참고
크롬, 베터리 사용시간 분야에서 엣지 브라우저에 우위
브라우저별 노트북 베터리 사용량은 작년부터 활용된 주요 마케팅 포인트. MS는 엣지가 노트북을 위한 가장 오래 사용할 수 있고 가벼운 브라우저라고 홍보해왔다.
하지만 현재 브라우저별 벤치마크 테스트를 직접 수행한 한 유튜버에 의해 적어도 현재는 MS의 주장이 틀린것으로 밝혀졌다. 베터리 사용량은 소프트웨어 업데이트 등 여러 요인에따라 다르게 나타날 수 있어 정확한 테스트 환경이 필요하다.
Windows Defender 우회 취약점
구글 Project Zero 의 Tavis Ormandy가 또 MS의 보안 취약점을 찾아냈다. 이번에는 MS Windwos Defender 의 검사를 우회할 수 있는 취약점. 이는 지난 6월 9일 MS에 보고돼어 현재는 패치가 모두 완료된 상태다. 취약점은 Windows Defender가 사용하는 non-sandboxed x86 에뮬레이터에 존재.
“I discussed Microsoft’s “apicall” instruction that can invoke a large number of internal emulator apis and is exposed to remote attackers by default in all recent versions of Windows. I asked Microsoft if this was intentionally exposed, and they replied “The apicall instruction is exposed for multiple reasons”, so this is intentional.”
“This full system x86 emulator runs as SYSTEM, is unsandboxed, is enabled by default and remotely accessible to attackers. I took a quick stab at writing a fuzzer and immediately found heap corruption in the KERNEL32.DLL!VFS_Write API, I suspect this has never been fuzzed before.”
자세한 내용은 기사원문 참고
Microsoft Skype v7.2, v7.35 & v7.36 BOF (MSFTEDIT.DLL)