谷歌在 Gmail 漏洞公布七小时后部署了缓解措施
早在 4 个月前，安全研究员 Allison Husain 就已经向谷歌通报了一个影响 Gmail 或 G Suite 客户的电子邮件欺诈漏洞。遗憾的是，尽管给足了 137 天的时间，谷歌仍选择拖到 9 月份的某个时候再修复这个 Bug 。讽刺的是，在 Allison Husain 将详情公布后不久，谷歌团队就于 7 小时内在服务器端部署了缓解措施，以便能够撑到 9 月的正式修复。
据悉，该漏洞使得攻击者可发送模仿任何 Gmail 或 G Suite 客户的欺骗性电子邮件。
此外 Allison Husain 指出，该 bug 还使得邮件附件能够骗过发件人策略框架（SPF）和基于域的消息身份验证（DMARC）这两项更先进的邮件安全标准。
遗憾的是，搜索巨头在漏洞修复上有些不够积极，甚至一度想拖到 9 月份再正式修复。直到 Allison Husain 于自己的博客上披露了概念验证漏洞代码，谷歌工程师才于昨日改变了主义。
博文上线 7 小时后，谷歌向 Allison Husain 表示，该公司已在服务器端部署了缓解措施。
至于这个 Gmail（G Suite）Bug 本身，实际上是两个因素的结合，首先是攻击者可将欺骗性的电子邮件发送到后端网关。
其次是利用自定义邮件路由规则、以接收传入的电子邮件并将其转发，同时借助变更收件人的本地功能来骗过 Gmail 或 G Suite 客户。
利用此功能转发的好处是，Gmail / G Suite 会遵从 SPF 和 DMARC 安全标准来验证欺骗性转发的电子邮件。因源于 Google 后端，其垃圾邮件评分也可能较低，从而减少了被过滤系统拦截的可能。
Allison Husain 指出，这两个 bug 都是谷歌独有，如果漏洞未得到及时修补，其很有可能被恶意邮件发送者滥用。庆幸的是，通过在服务器端部署缓解措施，用户这边无需执行任何附加操作。
（稿源：cnBeta，封面源自 *** ）
“谷歌在 Gmail 漏洞公布七小时后部署了缓解措施” 的相关文章
荷兰白帽黑客轻松攻破电网控制系统 捧走其第四座 Pwn2Own 奖杯
在本周于佛罗里达州迈阿密举办的 Pwn2Own 2022 大会上，两名来自荷兰的白帽黑客获得了第四次胜利。作为这场年度黑客大会的大赢家，Dean Keuper 和 Thijs Alkemade 获得了 90000 美元奖励、且捧走了冠军奖杯。此前这对搭档曾于 2012、2018 和 2021 年创下...
乌克兰安全局关闭了五个在公民中传播恐慌和错误信息的机器人农场
据Techspot报道，乌克兰国家安全局（SBU）宣布，自俄罗斯入侵该国以来，该机构已发现并关闭了5个运营10万个社交媒体账户的机器人农场，这些账户传播与入侵有关的假新闻。 SBU在一份新闻稿中写道，这些农场位于包括哈尔科夫、切尔卡瑟、捷尔诺皮尔和外喀尔巴阡在内的地区，被用于 “大规模信息破坏”，...
俄乌冲突引发顾虑 五眼网络安全部门建议盟友增强关键基础设施防护
以美国为首的“五眼”网络安全部门，刚刚向其盟友（包括英国、加拿大、澳大利亚和新西兰）发出了关键网络基础设施的维护警告。美国家安全局（NSA）给出的理由是 —— 受俄罗斯支持的黑客组织，或对乌克兰境内外的组织构成更大的风险 —— 因而建议各组织对相关网络威胁保持高度警惕，并遵循联合咨询中提当过的缓解...
美国联邦调查局通缉 23 岁俄罗斯黑客
Hackernews 编译，转载请注明出处： 一名23岁的俄罗斯人在美国被起诉，并被列入美国联邦调查局网络通缉名单，因为他被指控是一家网络犯罪论坛 Marketplace A的管理员，该论坛出售被盗的登录凭证、个人信息和信用卡数据。 伊戈尔 · 德赫蒂亚克(Igor Dekhty...
微软分享针对 Mac 的 UpdateAgent 复杂木马的细节
网络安全仍然是一个不断发展的领域，对威胁者和安全专家来说都是如此。尽管如此，最近产生的一个积极因素是，公司更愿意与合作伙伴、专家和更大的社区分享信息，共同应对威胁。这方面的一个例子是，微软与苹果合作修补macOS设备中的”Shrootless”漏洞。微软已经提供了有关一个针对Mac的复杂木马的详细信...
4 个近期猖獗的新兴勒索软件团体曝光 对企业和关键基础设施构成严重威胁
本周二，网络安全研究人员揭开了 4 个近期比较猖獗的新兴勒索软件团体，它们可能对企业和关键基础设施构成严重威胁。最近勒索软件事件激增的连锁反应表明，攻击者在从受害者那里获取报酬方面正变得越来越复杂，越来越有利可图。 在分享给 The Hacker News 的一份报告中，Palo Alto Net...
评论列表
发表评论
