苹果向AirPods全系列发布新版固件修复漏洞 攻击者借助漏洞可强行连接耳机

苹果向AirPods全系列发布新版固件修复漏洞 攻击者借助漏洞可强行连接耳机 通常情况下如果漏洞已经被黑客利用则苹果会在安全文档里说明，此次苹果并未提到这部分内容，说明漏洞应该还没有被黑客利用。虽然此次漏洞不会造成大范围的攻击，不过对使用 AirPods 系列耳机的用户来说还是尽快更新为好，避免有恶作剧者利用此漏洞连接你的耳机。示意图，固件为旧版本下面是不同机型的固件版本：第二代 AirPods Pro、PowerBeats Pro 和 Beats Fit Pro 固件版本为 6F8其他机型的固件版本为 6A326需要注意的是 AirPods Pro 固件更新是自动化的、用户无法手动干预，但用户可以连接 AirPods 后转到详情里检查固件版本号。如果你希望尽早更新固件可以尝试如下方法：将 AirPods Pro 放进充电盒中并连接电源将 AirPods Pro 连同充电盒靠近已经配对的 iPhone 或 Mac接下来某个时间 iPhone 或 Mac 将自动下载固件并传输到 AirPods Pro 执行更新查看固件版本号具体方法：打开已经配对的 iPhone 或 Mac，这里以 iPhone 为例当连接成功后打开 iPhone 设置、点击 AirPods Pro在详细页面中找到关于部分，这里会显示型号、序列号和固件版本信息 ... PC版： 手机版：

Notepad++ 多个漏洞让攻击者能执行任意代码

Notepad++ 多个漏洞让攻击者能执行任意代码 流行的开源代码编辑器 Notepad++ 发现了多个缓冲溢出漏洞，允许攻击者执行任意代码。Notepad++ 尚未发布补丁修复漏洞。 GitHub Security Lab 的安全研究员 Jaroslav Lobačevski 发现，Notepad++ 使用的部分函数和库存在堆缓冲区写溢出和堆缓冲区读取溢出漏洞，这些漏洞的风险评分从 5.5（中危）到 7.8（高危）不等。 他是在四月底报告了漏洞，但直到 Notepad++ 发布最新版本 v8.5.6 漏洞仍然没有修复，因此根据披露政策了漏洞和 PoC。

【微软发布漏洞修复补丁，部分漏洞可使得攻击者获取系统权限】

【微软发布漏洞修复补丁，部分漏洞可使得攻击者获取系统权限】 5月10日消息，微软发布漏洞修复补丁以修复发现的38项安全漏洞，其中代号为CVE-2023-29336的漏洞可使得攻击者获取系统权限；CVE-2023-29325是一个远程代码执行漏洞，允许攻击者通过发送特制电子邮件来入侵受害者的设备。

谷歌确认 Android 漏洞，该漏洞错误地显示持续的 WhatsApp 麦克风访问

谷歌确认 Android 漏洞，该漏洞错误地显示持续的 WhatsApp 麦克风访问 ，Android 版 WhatsApp 似乎在始终使用麦克风。这是 Android 上的一个错误，而不是应用程序对麦克风的访问超出了需要/请求的范围。 在今天Android 开发者推特发布推文承认了该错误，此问题是 Android 隐私信息中心（原生安卓-设置-隐私-隐私信息中心）的一个 bug 导致部分WhatsApp用户看到了错误的麦克风使用警报。 用户现在可以更新他们的 WhatsApp 应用程序来解决此问题。谷歌表示对此错误可能给用户造成的任何混淆表示歉意。 到目前为止，Google并未推送补丁修复这个问题。 来源：

谷歌修补商业间谍软件供应商利用的零日漏洞

谷歌修补商业间谍软件供应商利用的零日漏洞 谷歌已紧急修复 Chrome 中被商业间谍软件供应商利用的零日漏洞。 就在补丁发布前两天，谷歌威胁分析小组(TAG)的 Clement Lecigne 向 Chrome 团队报告了该漏洞。 谷歌，它已经意识到这个漏洞的存在，该漏洞被追踪为 CVE-2023-5217，并被描述为“libvpx 中 vp8 编码的堆缓冲区溢出”。 谷歌威胁分析小组(TAG)的研究员 Maddie Stone 在推特上，该 Chrome 漏洞已被利用来安装间谍软件。 该漏洞已在 Google Chrome 117.0.5938.132 中修复，该版本现已通过稳定桌面通道向 Windows、Mac 和 Linux 用户推出。

谷歌称“捕食者”间谍软件让政府黑客入侵 Chrome 和 Android

谷歌称“捕食者”间谍软件让政府黑客入侵 Chrome 和 Android 谷歌透露，政府支持的黑客正在使用可疑的间谍软件攻击其用户。 谷歌威胁分析小组的研究人员公布了三个使用名为 “Predator” 的间谍软件针对 Android 用户的入侵活动的详细信息。 根据该报告，总部位于北马其顿的私营公司 Cytrox 据称向政府背景的黑客出售了四个的访问权限，包括 Chrome 浏览器中的三个以及 Android 操作系统中的一个。 谷歌表示，购买这些信息的客户是多个国家与政府相关的威胁行为者。这些攻击者可能利用这些信息通过 Cytrox 公司开发的侵入性间谍软件“Predator”开展黑客活动。 谷歌的 TAG 团队称，他们去年发现的大多数零日漏洞都是由 Cytrox 等私人监控技术公司故意“开发”的。 #ThreatIntelligence