AirTag“丢失模式”存安全漏洞：能引导用户跳转到恶意/钓鱼网站-低调大师

AirTag“丢失模式”存安全漏洞：能引导用户跳转到恶意/钓鱼网站

2021-09-29 531

根据 KrebsOnSecurity分享的一份最新安全报告，苹果允许任何智能手机用户扫描丢失的 AirTag 以定位所有者的联系信息，该功能可能被滥用于网络钓鱼诈骗。当一个 AirTag 被设置为丢失模式时，它会生成一个 URL“https://found.apple.com”，它让 AirTag 所有者输入联系电话或电子邮件地址。

任何扫描该 AirTag 的人都会被自动引导到有主人联系信息的 URL，查看所提供的联系信息不需要登录或个人信息。

据 KrebsOnSecurity 称，丢失模式并不能防止用户在电话号码字段中注入任意的计算机代码，因此扫描 AirTag 的人可能会被转到一个虚假的 iCloud 登录页面或其他恶意网站。不知道查看 AirTag 的信息不需要个人信息的人，可能会被骗提供他们的 iCloud 登录信息或其他个人信息，或者被重定向到试图下载恶意软件。

这个 AirTag 缺陷是由安全顾问 Bobby Raunch 发现的，他告诉 KrebsOnSecurity，该漏洞使 AirTags 变得危险。他说：“我不记得还有另一个例子，像这样低成本的小型消费级追踪设备可以被武器化”。

Rauch 于 6 月 20 日联系了苹果公司，苹果公司花了几个月时间进行调查。苹果上周四告诉罗奇，它将在即将到来的更新中解决这一漏洞，并要求他不要在公开场合谈论这个问题。

苹果公司没有回答他的问题，即他是否会得到奖励，或者他是否有资格参加漏洞赏金计划，所以他决定分享这个漏洞的细节，因为苹果公司缺乏沟通。

Rauch 说：“我告诉他们，如果你们能提供一些细节，说明你们计划何时补救这个问题，以及是否会有任何表彰或漏洞赏金，我愿意与你们合作。但是他们的回应基本上都是‘如果你不泄露这个，我们会很感激’”。

上周，安全研究员丹尼斯·托卡雷夫(Denis Tokarev)在苹果公司忽视他的报告并在几个月内未能修复这些问题后，公开了几个零日的 iOS 漏洞。此后，苹果公司进行了道歉，但该公司因其漏洞赏金计划和对报告的反应迟缓而继续受到批评。

鸿蒙官方战略合作共建――HarmonyOS技术社区

【责任编辑：赵宁宁 TEL：（010）68476606】

微信关注我们

原文链接：http://netsecurity.51cto.com/art/202109/684079.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

微软将于2022年10月正式弃用Exchange Online基本身份验证

微软宣布，从2022 年10月1 日起，将关闭所有租户的基本身份验证，以提高Exchange Online 的安全性。2021 年2月25日，微软曾推迟租户正在使用的协议，并将禁用基本身份验证至下半年，但继续对未使用的协议禁用基本身份验证。 Exchange Online 团队本周表示“今天，我们宣布，自 2022 年 10 月 1 日起，我们将永久关闭所有租户的基本身份验证，无论使用情况如何(SMTP 身份验证除外，此后仍可重新启用)。” 据悉，今年6月微软已经开始为未使用的租户禁用基本身份验证，并向受到影响的用户解释了如何重新启用其协议。微软在两年前透露现代身份验证将跨 Exchange Online 租户强制执行，而禁用基本身份验证，并使用 MFA 进行现代身份验证是当务之急。此更改仅影响 Exchange Online，并不会更改 Exchange Server 本地产品中的任何内容。为什么基本身份验证被禁用? 虽然微软没有具体说明本周决定发布此公告的具体原因，但据推测原因可能是因为一份来自网络安全公司Guardicore的报告，该报告揭示了数十万个 Windows 域凭证...

2021-09-29

620

近日，应用交付网络(ADN)领域厂商F5，宣布以6800万美元现金收购威胁检测公司Threat Stack。该交易将在F5的2022财年第一季度(截至2021年12月31日)完成，预计在2022财年增加约1500万美元的收入。据了解，Threat Stack提供一个监控云、混合云、多云和容器化环境的平台，可以自动关联安全事件并识别可疑活动。F5表示，其应用程序和API保护解决方案将与Threat Stack的云安全功能相结合，以增强跨应用程序基础架构和工作负载的可见性，提升跨应用程序的安全性。 F5安全执行副总裁Haiyan Song表示：“应用程序是现代企业的支柱，保护它们对我们的客户来说是至关重要的任务。Threat Stack带来了技术和人才，这些技术和人才将加强F5的安全能力，并通过更广泛的云可观察性和安全洞察，来进一步推进我们的自适应应用程序愿景。” 【本文是51CTO专栏作者“安全牛”的原创文章，转载请通过安全牛（微信公众号id:gooann-sectv）获取授权】戳这里，看该作者更多好文【责任编辑：赵宁宁 TEL：（010）68476606】点赞 0

2021-09-29

564

资源下载

更多资源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。