支付宝×B站高危漏洞，弱密码盗刷支付宝

支付宝×B站高危漏洞，弱密码盗刷支付宝图1漏洞文字说明（具体思路、潜在危害、防护措施）视频1采用不抓包方式登录支付宝账号13081851006（赵泽成）并进行小额支付，成功视频2采用抓包方式登录支付宝账号18649652996（陈靖宇）视频3使用支付宝账号18649652996（陈靖宇）进行大额支付，失败视频4支付宝账号18649652996（陈靖宇）后续修改该账号密码，登录状态仍然存在小编：B站你在干什么？转载请注明频道@Vzhibei

蓝牙身份验证漏洞可让黑客控制 Apple、Android 和 Linux 设备

蓝牙身份验证漏洞可让黑客控制Apple、Android和Linux设备无人机技术公司SkySafe的软件工程师表示，存在多年的蓝牙身份验证绕过漏洞允许不法分子连接到Apple、Android和Linux设备并注入击键来运行任意命令。马克·纽林(MarcNewlin)发现了该漏洞并将其报告给了公司，他表示，该漏洞编号为CVE-2023-45866，不需要任何特殊硬件即可利用，并且可以使用常规蓝牙适配器从Linux机器上对Apple、Google、Canonical和蓝牙SIG发起攻击。该攻击允许附近的入侵者在受害者的设备上注入击键并执行恶意操作，只要他们不需要密码或生物识别身份验证。在周三发布的中，bug猎人这样描述了该安全漏洞：“这些漏洞的工作原理是欺骗蓝牙主机状态机在未经用户确认的情况下与假键盘配对。蓝牙规范中定义了底层的未经身份验证的配对机制，并且特定于实现的错误将其暴露给攻击者。”——

知名多因素身份验证器Authy发生数据泄露，涉及3,342万用户敏感信息

知名多因素身份验证器Authy发生数据泄露，涉及3,342万用户敏感信息Authy，一个广受欢迎的多因素认证工具，近期遭遇了数据泄露事件，影响了3,342万名用户。此次泄露并非由于黑客入侵，而是由于Authy的API接口缺乏严格的身份验证，导致攻击者能够通过批量生成手机号码匹配并获取用户数据。泄露的信息包括账户ID、电话号码、账户状态和设备数量等。尽管用户账号密码未被泄露，但手机号码的泄露可能引发针对性的钓鱼攻击或更复杂的SIM换卡攻击。Authy的开发商Twilio已确认数据泄露事件的真实性，并建议用户转移到其他身份验证器，并关闭Authy的手机号码登录功能以防范潜在的SIM换卡攻击。目前，对于已泄露的数据没有有效的补救措施，用户需提高警惕，采取必要措施保护自己的信息安全。关注频道@ZaiHuaPd频道爆料@ZaiHuabot

流媒体服务器软件Emby 警告有黑客利用漏洞渗透到了用户自托管

流媒体服务器软件Emby警告有黑客利用漏洞渗透到了用户自托管服务器2023年5月25日Emby官方发布自部署服务器安全警告的通知。该通知告知用户从2023年5月中旬开始，一名黑客设法渗透了用户托管的EmbyServer服务器，这些服务器可通过公共互联网访问，并且管理用户帐户的配置不安全。结合最近在beta通道中修复的“代理标头漏洞”，这使攻击者能够获得对此类系统的管理访问权限。最终，这使得攻击者可以安装自己的自定义插件，从而在EmbyServer的运行过程中建立后门。问题原因：大量emby搭建者会开启本地无需密码登录等不安全设置，但是服务器存在标头漏洞，攻击者可以通过伪造标头来实现无密码登录，再通过插件安装实现后门安装，后门会持续性的转发每次登录的密码/用户名到攻击者的后台——，

支付宝上线睡觉防盗刷功能 交易需再次验证

支付宝上线睡觉防盗刷功能交易需再次验证近日，支付宝APP支付宝新增了两项安全功能，分别是“夜间保护”和“大额保护”。据了解，打开夜间保护功能后，在保护时段内的每笔交易，需再次进行身份验证，时间可设置从21:00开始至次日早上7:00结束。而大额保护功能则是在单笔交易达到保护金额时，需进行身份验证，保护金额最低1000元，最高10000元。用户可以在进入支付宝App后，依次点击“我的-用户保护中心-前往安全中心-安全锁”就能找到这两项功能。六位数密码能保护你两位数资产吗

密码管理软件KeePass出恶性漏洞

密码管理软件KeePass出恶性漏洞近日，开源密码管理软件KeePass就被爆出存在恶性安全漏洞，攻击者能够在用户不知情的情况下，直接以纯文本形式导出用户的整个密码数据库。据悉，KeePass采用本地数据库的方式保存用户密码，并允许用户通过主密码对数据库加密，避免泄露。但刚刚被发现的CVE-2023-24055漏洞，能够在攻击者获取写入权限之后，直接修改KeePassXML文件并注入触发器，从而将数据库的所有用户名和密码以明文方式全部导出。这整个过程全部在系统后台完成，不需要进行前期交互，不需要受害者输入密码，甚至不会对受害者进行任何通知提醒。目前，KeePass官方表示，这一漏洞不是其能够解决的，有能力修改写入权限的黑客完全可以进行更强大的攻击。