火绒安全周报:中国企业简历信息泄露5.9亿 黑客滥用谷歌云攻击 D-Link 路由器
1、研究人员发现中国企业简历信息泄露:涉5.9亿份简历
外媒报道称,中国企业今年前3个月出现数起简历信息泄露事故,涉及5.9亿份简历。主要是因为MongoDB和ElasticSearch服务器安全措施不到位,不需要密码就能在网上看到信息,或者是因为防火墙出现错误导致。研究人员向中国国家计算机应急响应小组(CNCERT)报告了该问题。四天后,该数据库得到了保护。
来源:hackernews
2、黑客滥用Google Cloud攻击 D-Link 路由器
有研究人员表示,在过去三个月中,谷歌云平台遭到黑客滥用,针对 D-Link、ARGtek、DSLink、Secutech 和 TOTOLINK 路由器进行三次 DNS 劫持攻击,该劫持会导致路由器流量被重定向并发送到恶意网站。
来源:cnbeta
3、研究人员披露WiFi WPA3标准中的“龙血”漏洞
近日有研究人员发现WiFi WPA3标准中存在名为“龙血”的漏洞。漏洞共有五个,包括拒绝服务攻击、两个降级攻击和两个侧通道信息泄露漏洞。拒绝服务攻击漏洞危害程度较低,只会导致使用WPA3的接入点崩溃,其他四个可用于获取用户密码。在研究人员发布漏洞信息后,WiFi联盟表示WPA3标准已经添加了安全更新,修复了漏洞。
来源:zdnet
4、流行开发工具 Bootstrap-Sass 被修改植入后门
安全研究人员在官方的 RubyGems 库发现了后门版本的网站开发工具 Bootstrap-Sass,该后门允许攻击者远程执行代码。受影响的版本是 v3.2.0.3,研究人员呼吁用户尽可能快的更新。目前该工具的下载量高达 2800 万次。
来源:solidot
5、三分之二的酒店网站泄露客人预订详情并允许访问个人数据
有安全厂商近日发文称,酒店网站可能会泄露客人的预订详情,允许其他人查看客人的个人数据,甚至取消他们的预订。
研究人员测试了多个网站(包括54个国家/地区的1500多家酒店 )以确定这个隐私问题的常见程度。这些网站中有三分之二(67%)无意中将预订参考代码泄露给第三方网站,如广告客户和分析公司。共享的信息可以允许这些第三方服务登录预订,查看个人详细信息,甚至完全取消预订。
来源:hackernews