三星“查找我的手机”功能出现漏洞，用户可能完全丢失数据-低调大师

三星“查找我的手机”功能出现漏洞，用户可能完全丢失数据

2020-08-12 734

网络安全服务提供商Char49的安全研究员Pedro Umbelino，在三星的“查找我的手机”功能中发现了多个漏洞，这些漏洞可能被集中利用在三星Galaxy Phone上执行各种恶意活动。

“查找我的手机”软件包中存在多个漏洞，最终可能导致智能手机用户完全丢失数据(恢复出厂设置)，包括实时位置跟踪，电话和短信检索，电话锁定，电话解锁等。用户在设备的Web应用程序上执行的所有操作，都可能被恶意应用程序滥用。执行这些操作的代码路径涉及多个链接起来的漏洞。

“查找我的手机”功能可以支持三星硬件设备的所有者找到丢失的手机，还可以远程锁定设备，阻止他人访问三星支付并彻底格式化设备内容。不过，该功能中有四个漏洞，这些漏洞可以可能被安装在设备上的，仅需访问SD卡的恶意应用所利用。

通过访问设备的SD卡，应用程序可以触发攻击链中的第一个漏洞，然后创建一个文件，攻击者可使用该文件来拦截与后端服务器的通信。

成功利用此漏洞，黑客可以让恶意应用执行“查找我的手机”功能所支持的相同操作，包括强制恢复出厂设置，擦除数据，定位设备，访问电话和消息以及锁定和解锁电话等。此漏洞很容易被利用，从而对用户造成严重影响，并可能造成灾难性影响：通过电话锁定永久拒绝服务，通过出厂重置彻底丢失数据(包括SD卡)，通过IMEI和位置跟踪以及呼叫和SMS日志访问。

专家解释说，漏洞利用链可在未安装补丁的三星Galaxy S7，S8和S9 +设备上运行。

有观点认为，“查找我的手机”应用程序不应该有公开可用且处于导出状态的任意组件。如果其他软件包调用了这些组件，则应使用适当的权限对其进行保护，应该消除依赖公共场所文件存在的测试代码。

该漏洞于一年多前被发现，三星于2019年10月已经将其修复。

参考来源：

https://securityaffairs.co/wordpress/107010/breaking-news/samsung-find-my-mobile-flaws.html

微信关注我们

原文链接：http://netsecurity.51cto.com/art/202008/623696.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

网络安全应急响应误区及缓解建议

人非圣贤，孰能无过?但在安全行业，小过失往往造成大损失。从缺乏计划到紧急关闭事件，这些常见错误都会严重破坏应急响应(IR)工作的有效性，进而损害企业利益。运行良好的网络事件响应团队(CIRT)可以通过阻止早期入侵转变成全面的数据泄露事件，来证明网络安全计划的最终保障能力。至少，CIRT可以在事情没有演变得不可收拾之前，将数据泄露的影响降至最低。尽管当前许多网络安全组织都部署了早期的网络事件响应团队，但是真正实现良好运行的却并不多。根据具备灾后恢复工作经验的安全专家表示，由于应急响应(IR)故障，许多事件变得更加糟糕。而且这些故障都是企业反复触及的一些常见错误集。为了帮助企业组织更好地实现应急响应，安全专家总结了top 10失误点，以及关于如何规避这些错误的相关建议。 1. 没有合适的应急响应计划毫无疑问，排在第一的应急响应错误就是未能制定适当的计划，该计划可以在发生安全事件时有效地指导安全团队行事。 Digital Guardian网络安全副总裁Tim Bandos表示： “时至今日，我仍然看到很多企业并未制定适当的应急响应计划来应对安全事件。通常来说，这一过程需要雇佣第三方应...

2020-08-12

642

MITRE ATT&CK是基于实战的，全球可访问的网络安全攻防战术和技术知识库，也是近几年网络安全领域最热门的工具和话题之一。如今ATT&CK知识库已经成为私营部门、政府和网络安全产品服务社区开发特定威胁模型和方法的基础工具。 ATT&CK包含200多种独特的技术(也称为TTP)，每两年更新一次，是一个非常详细的库，包含各种攻击战术或类别，以及可以利用的常规系统管理员行为。在ATT&CK框架的帮助下，安全团队对攻击者的行为有了更广泛的了解，从而可以针对这些技术测试缓解和检测方法。MITRE ATT&CK已成为许多网络安全学科的有用工具，用于提供情报、红队对手仿真测试，以及改进网络和系统防御入侵的能力。不断进化的MITRE ATT&CK框架解决了信息安全社区面临的紧迫问题：面对大量有关对手行为、恶意软件和漏洞利用的数据，如何理解它?现有的网络安全产品和入侵防护检测的能力(有效性)怎么样?MITRE ATT&CK框架为从业者和用户创建了一个明确的，可衡量可量化的行业标准和通用语言，以评估其安全工具、安全风险和安全能力。 “ATT&a...

2020-08-12

915

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。