82亿蓝牙设备受威胁这8个"0 day"或为罪魁-低调大师

82亿蓝牙设备受威胁这8个"0 day"或为罪魁

2017-09-03 477

安全公司Armis识别出了8个零日漏洞，共同称为BlueBorne，它们有着损坏蓝牙可用设备的隐患。Armis公司认为漏洞的数字可能会随着调查研究进展而继续增加。

Armis标出了其中四个隐患最为重要。这几个漏洞使攻击者可以控制用户的设备、盗窃机密数据、进入公司网络、进行远程编码执行和MITM攻击、向邻近的设备传播恶意软件，甚至是进入未联网的电脑。

所有这些攻击都可以被无线操作，空中下载技术(airborne)是蓝牙技术的一个优势。这便是为什么这些漏洞被称为BlueBorne。

受到影响的硬件设备包括一些日常使用的设备，例如使用安卓、iOS、Windows、Linux操作系统的智能手机、平板电脑、个人电脑以及其他IoT设备。蓝牙SIG估算一共有大约82亿蓝牙兼容的设备。根据研究者的调查，这几乎是所有蓝牙设备。

Armis研究者更加细致的描述介绍了BlueBorne。他们认为攻击的进行需要设备的蓝牙功能被打开。不需要设备与攻击者匹配，即使目标设备是不可发现的攻击也可以进行。

BlueBorne可以在未联网的状态下从一台设备转播到另一台设备的能力是十分危险的。它还可以作为创立大型僵尸网络的平台，例如Mirai和WireX。

什么设备将受到BlueBorne的影响?

“Armis公司公布的漏洞可以影响所有安卓、Linux、Windows和iOS 10之前版本的设备，无论使用哪种蓝牙的版本”，研究者在博客中写道。

从四月起，研究者已经通知了谷歌、微软、苹果、三星和Linux公司，并与他们合作寻找解决方案。于九月十二日发表了协调后的公开声明。

iOS

iOS设备的漏洞只出现在iOS 9.3.5以及更早的版本。对于Apple TV，则是7.2.2以及更早的版本。对于iOS 10，鉴于漏洞已经被移除，则不再需要补丁。

安卓

所有安卓设备，除了只用Bluetooth Low Energy的设备以外，都受到BlueBorne中四个漏洞(CVE-2017-0781, CVE-2017-0782, CVE-2017-0785, CVE-2017-0783)的影响。

漏洞会影响到包括谷歌Pixel、三星Galaxy、Pumpkin Car Audio系统在内的设备。你可以从Google Play上下载Armis BlueBorne Scanner应用程序来检查你的安卓设备是否被影响。

谷歌在九月安全公告板中发布了安卓Nougat和Marshmallow的安全补丁，但没有提到安卓Oreo。

Windows

自Vista之后发布的Windows版本都受到漏洞“Bluetooth Pineapple”(CVE-2017-8628)的影响。它可以被用来进行MITM攻击。

微软通过它们的“周二补丁”更新于九月十二日发布了修补方案。

Linux

目前还没有Linux设备可用的补丁，Linux位于不同操作系统的核心，这通常被称为Linux分布。

研究者称，运行BlueZ程序的设备会被信息泄露漏洞(CVE-2017-1000250)影响。自2011年十月(3.3-rc1)后发布的Linux设备会被远程编码执行漏洞(CVE-2017-1000251)影响。

受到影响的设备包括三星Gear S3、三星智能TV和三星Family Hub智能冰箱。

如何及时保护我的设备不受BlueBorne影响?

根据研究者表明，BlueBorne漏洞可以通过新的方式传播。所以，传统的安全措施，包括防火墙、移动数据管理、网络安全解决方法、端点保护，面对那样的攻击都不够有效，因为它们致力于抵抗来自互联网的威胁。

首先以及最重要的是，如果制造商会提供安全补丁，你应该更新你的设备。

保证你设备的蓝牙功能在不需要的时候被关闭。当你使用手机的蓝牙功能时，应该格外的注意，对看似不可疑的活动也要保持警惕。

本文转自d1net（转载）

微信关注我们

原文链接：https://yq.aliyun.com/articles/220385

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Android项目实战（三十三）：AS下获取获取依赖三方的jar文件、aar 转 jar

使用 Android studio 开发项目中，有几种引用三方代码的方式：jar 包，类库，gradle.build 的compile依赖。大家会发现github上不少的项目只提供compile依赖的方式，但是当用到jar包使用过的情况且该项目不提供jar包的时候怎么办？其实Android Studio 在compile方式依赖三方项目的时候就已经在本地有了该项目的jar包了，我们只需要去本地找到那个jar包就可以了。查找方法：一、项目大纲路径下的：External Libraries ,会发现很多我们当前项目中用的三方。二、选择其中的一个右键：选中 Library Properties... 三、可以看到该三方项目的jar包在本地中的路径位置，只需要在该路径下找到该jar包即可四、可以在该路径下找到jar文件了。五、resource.jar 与 jar 大家实际操作起来会发现，有的三方我们能找到它的resource.jar 和 jar两种jar包，而有的三方我们只能找到resource.jar包而没有jar包 resource.jar 文件 ...

2017-09-04

665

本文讲的是移动应用错误配置将导致安全泄漏事故，根据来自Gartner的报告，到2017年，75 %的移动安全漏洞将是移动应用程序错误配置的结果。与此同时，Gartner还预测，端点数据泄漏事故的重点将转移到平板电脑和智能手机，出售给消费者的移动设备数量仍然在持续上升，Gartner预测在2014年将有近22亿台平板电脑和智能手机出售给用户。 “应用程序水平的错误配置和滥用是移动设备安全泄漏事故的主要原因，而不是因为对移动设备的技术攻击，”Gartner公司首席研究分析师Dionisio Zumerle表示，“错误配置的典型例子是通过智能手机和平板电脑上的应用程序滥用个人云服务。当用来传输企业数据时，这些应用程序会导致数据泄漏，企业仍然没有意识到这些移动设备的普遍性。” Gartner表示，最好的防御做法是通过MDM政策确保移动设备部署了安全配置，同时利用应用程序屏蔽和“安全容易”来保护重要数据越狱和生根也可能让恶意设备被下载到设备，并引发各种各样的恶意活动，包括提取企业数据。越狱后的移动设备还可能引发对密码的蛮力攻击。最常见的平台感染是iOS系统越狱或对Andr...

2017-09-04

574

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。