新发现的HTTP/2漏洞使服务器面临DoS攻击风险 单个TCP连接即可实现

新发现的HTTP/2漏洞使服务器面临DoS攻击风险单个TCP连接即可实现在thehackernews的报道中，安全研究员BartekNowotarski于1月25日向卡内基梅隆大学计算机应急小组（CERT）协调中心报告了这一问题。该漏洞被称为"HTTP/2CONTINUATIONFlood"，它利用了配置不当的HTTP/2实现，这些实现未能限制或净化请求数据流中的CONTINUATION帧。CONTINUATION帧是一种用于延续报头块片段序列的方法，允许报头块在多个帧中分割。当服务器收到一个特定的END_HEADERS标志，表明没有其他CONTINUATION或其他帧时，先前分割的报头块就被视为已完成。如果HTTP/2实现不限制单个数据流中可发送的CONTINUATION帧的数量，就很容易受到攻击。如果攻击者开始向未设置END_HEADERS标志的易受攻击服务器发送HTTP请求，该请求将允许攻击者向该服务器持续发送CONTINUATION帧流，最终导致服务器内存不足而崩溃，并导致成功的拒绝服务(DoS)攻击。CERT还列举了该漏洞的另一个变种，即使用HPACKHuffman编码的CONTINUATION帧造成CPU资源耗尽，同样导致DoS攻击成功。Nowotarski指出，这意味着单台机器甚至单TCP连接都有可能破坏服务器的可用性，造成从服务崩溃到性能下降等各种后果。分布式拒绝服务（DDoS）攻击会创建大规模僵尸网络，通过纯粹的流量来压垮网络，而DoS攻击则不同，它可以通过向传输控制协议（TCP）连接发送大量请求来耗尽目标服务器的资源，从而利用单个设备制造虚假网络流量。与该新漏洞有关的几个常见漏洞和暴露(CVE)记录已经创建。这些记录包括：CVE-2024-2653-amphp/httpCVE-2024-27316-ApacheHTTPServer:HTTP/2DoSbymemoryexhaustiononendlesscontinuationframesCVE-2024-24549-ApacheTomcat:HTTP/2headerhandlingDoSCVE-2024-31309-ResourceexhaustioninApacheTrafficServerCVE-2024-27919-HTTP/2:memoryexhaustionduetoCONTINUATIONframefloodCVE-2024-30255)-HTTP/2:CPUexhaustionduetoCONTINUATIONframefloodCVE-2023-45288-HTTP/2CONTINUATIONfloodinnet/httpCVE-2024-28182-ReadingunboundednumberofHTTP/2CONTINUATIONframestocauseexcessiveCPUusageCVE-2024-27983-node::http2::Http2Session::~Http2Session()leadstoHTTP/2servercrashCVE-2024-2758-TempestaFWratelimitsarenotenabledbydefault建议用户将受影响的软件升级到最新版本，以减轻潜在威胁。在没有修复程序的情况下，建议考虑暂时禁用服务器上的HTTP/2。根据w3techs.com的一项调查，目前约有35.5%的网站使用HTTP/2。...PC版：https://www.cnbeta.com.tw/articles/soft/1426407.htm手机版：https://m.cnbeta.com.tw/view/1426407.htm

蓝牙身份验证漏洞可让黑客控制 Apple、Android 和 Linux 设备

蓝牙身份验证漏洞可让黑客控制Apple、Android和Linux设备无人机技术公司SkySafe的软件工程师表示，存在多年的蓝牙身份验证绕过漏洞允许不法分子连接到Apple、Android和Linux设备并注入击键来运行任意命令。马克·纽林(MarcNewlin)发现了该漏洞并将其报告给了公司，他表示，该漏洞编号为CVE-2023-45866，不需要任何特殊硬件即可利用，并且可以使用常规蓝牙适配器从Linux机器上对Apple、Google、Canonical和蓝牙SIG发起攻击。该攻击允许附近的入侵者在受害者的设备上注入击键并执行恶意操作，只要他们不需要密码或生物识别身份验证。在周三发布的中，bug猎人这样描述了该安全漏洞：“这些漏洞的工作原理是欺骗蓝牙主机状态机在未经用户确认的情况下与假键盘配对。蓝牙规范中定义了底层的未经身份验证的配对机制，并且特定于实现的错误将其暴露给攻击者。”——

任天堂多款游戏存在致命漏洞 2022年中已逐步修复

任天堂多款游戏存在致命漏洞2022年中已逐步修复一位发现漏洞的用户在推特上介绍道：“ENLBufferPwn是多款第一方3DS、WiiU和NS游戏存在的服务器漏洞。该漏洞允许攻击者仅通过在线游戏会话就在受害主机上执行远程控制代码。”“与其它操作系统漏洞相结合之后，该漏洞可以让攻击者获得主机的完全控制权限，窃取敏感数据或录制音频和视频。在CVSS3.1评分系统中，该漏洞得分9.8/10，属于致命漏洞。”该用户继续说明白哦是“任天堂已在2022年期间为受影响的游戏发布补丁”，而且“可以在漏洞报告中找到已知在某个时候存在漏洞的游戏列表”。受到影响的游戏包括《马里奥赛车8：豪华版》、《动物森友会》、《ARMS》、《斯普拉遁2》、《斯普拉遁3》和《超级马里奥制造2》。目前还不知道任天堂会不会对WiiU等旧主机上的游戏发布修复补丁。...PC版：https://www.cnbeta.com.tw/articles/soft/1337035.htm手机版：https://m.cnbeta.com.tw/view/1337035.htm

［安全: 小米手机发现漏洞允许远程安装恶意程序］

［安全:小米手机发现漏洞允许远程安装恶意程序］小米开发的Android定制系统MIUI发现了一个高危漏洞，允许中间人攻击者在目标设备上以系统权限远程执行任意代码。小米已经释出了修正版本，推荐用户立即升级。发现漏洞的IBM研究人员公布了漏洞的细节：漏洞存在于MIUI的分析包中，使用该分析包的应用都易被中间人远程执行代码，研究人员在包括内置浏览器在内的多个应用中发现了漏洞，如果应用有系统级权限，那么攻击者就能以系统级权限执行代码。漏洞存在的主要原因是MIUI的应用升级是通过HTTP连接。https://securityintelligence.com/remote-code-execution-in-xiaomi-miui-analytics/

［软件漏洞让手机和移动网络面临被攻击者控制的风险］

［软件漏洞让手机和移动网络面临被攻击者控制的风险］安全专家警告，一个新发现的软件漏洞允许攻击者控制手机和移动网络基础设施。这个堆溢出漏洞存在于通信产品广泛使用的代码库中，涉及的通信产品包括手机塔无线电、路由器、交换机和手机基带芯片。利用该漏洞比较困难，需要丰富的知识和大量的资源，但成功利用该漏洞的攻击者能在几乎所有这些设备上执行恶意代码。该代码库由ObjectiveSystems开发，用于实现电话标准ASN.1。ASN.1是今天移动电话系统的支架。发现漏洞的研究人员警告说，漏洞能被远程触发，不需要任何的验证。漏洞除了影响消费者的手机外，还会危及移动运营商的网络设备。http://arstechnica.com/security/2016/07/software-flaw-puts-mobile-phones-and-networks-at-risk-of-complete-takeover/

【CertiK：微软高危零日漏洞可执行任意代码，建议用户使用硬件钱包】

【CertiK：微软高危零日漏洞可执行任意代码，建议用户使用硬件钱包】CertiK安全团队发现，近日，微软Office中一个被称为"Follina"的零日漏洞（编号CVE-2022-30190）被发现。攻击者可使用微软的微软支持诊断工具（MSDT），从远程URL检索并执行恶意代码。微软Office的系列套件和使用MSDT的产品目前仍有可能受该零日漏洞的影响。由于该漏洞允许攻击者绕过密码保护，通过这种方式，黑客能够查看并获得受害者的系统和个人信息。这个零日漏洞允许黑客进一步攻击，提升黑客在受害者系统里的权限，并获得对本地系统和运行进程的额外访问，包括目标用户的互联网浏览器和浏览器插件，如Metamask。CertiK安全团队建议，正确保护你的设备和个人信息。