每日安全简讯(20201126)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 特斯拉Model X的致命漏洞可导致车辆被盗

近日，一名安全研究人员成功地通过蓝牙连接重写了特斯拉Model X的密钥卡固件，从密钥卡上提取解锁代码，并在几分钟内窃取了该辆Model X。该安全人员发现的两个最严重的漏洞分别是密钥卡固件更新和新密钥卡与电动车配对缺乏验证，这表明Model X车型无钥匙进入系统的安全设计与其实施方式之间存在明显的脱节。


https://www.wired.com/story/tesla-model-x-hack-bluetooth/

---

2 研究人员发现廉价视频门铃存在多个安全漏洞

一项对11个相对便宜的视频门铃的分析发现，所有这些门铃都存在高风险漏洞。研究人员希望在这个假期需要购买视频门铃的消费者最好还是选择信誉良好且值得信赖的品牌。研究人员最近通过对在线市场（如亚马逊和eBay）出售的近十种廉价视频门铃的审查发现，每台设备都存在多个安全漏洞。其中最严重的是一些设备在没有明显原因的情况下将Wi-Fi名称、密码、位置信息、照片、视频、电子邮件和其他数据发送回制造商。


https://www.darkreading.com/iot/ ... ells/d/d-id/1339523

---

3 VMWare管理平台产品存在命令注入漏洞

VMware公布旗下多个工具存在重大风险漏洞。攻击者可以通过8443端口访问管理配置器，并拥有配置器管理帐户的有效密码，可以在底层操作系统上以不受限制的权限执行命令。该命令注入漏洞被跟踪为CVE-2020-4006，其CVSS评分为9.1，并影响VMware Workspace One Access，Access Connector，Identity Manager和Identity Manager Connector。


https://thehackernews.com/2020/1 ... e-flaw-affects.html

---

4 研究团队发现3.8亿条涉及Spotify用户数据的记录

vpnMentor的研究团队发现了一起疑是凭证填充的攻击活动，影响了一些拥有Spotify账户的在线用户。凭据填充是一种黑客技术，利用了消费者在网络上使用（经常重复使用）的弱密码。研究团队发现了一个Elasticsearch数据库，其中包含3.8亿条记录，包括登录凭据和其他已通过Spotify服务验证的用户数据。数据库的来源以及黑客者如何针对Spotify都是未知的。研究团队称黑客可能正在使用从另一个平台、应用程序或网站窃取的登录凭据来访问Spotify帐户。


https://www.vpnmentor.com/blog/report-spotify-scam/

---

5 房地产公司科可兰集团大量客户信息遭受泄露

6月17日，研究人员发现了一个包含大量记录的数据集，这些记录显然与一家房地产和一家房屋销售经纪公司有关，有3070万份文件暴露给任何能上网的人。经过进一步的调查，研究人员可以看到有许多记录提到了业主、物理地址、名字，似乎是内部记录。安全令牌文件被命名为eCorcoran，有许多其他迹象表明该数据库可能属于科可兰集团。


https://securethoughts.com/real- ... to-meow-bot-attack/

---

6 黑客组织Anonymous攻击了乌干达警察网站

在逮捕Robert Kyagulanyi Ssentamu引发的抗议活动之后，黑客组织Anonymous关闭了乌干达警察网站，乌干达警察网站的访问者被重定向到显示以下消息的其他地址：“无法访问此站点。”Anonymous于11月20日通过其Twitter帐户@YouAnonCentral分享了以下消息 ：“Anonymous已关闭@PoliceUg的网站，以回应近期政府暴力镇压和杀害。Anonymous呼吁警察尊重人的生命以及和平集会和抗议的自由。”


https://www.infosecurity-magazin ... acks-uganda-police/

---