瑞士 BPC 的银行支付系统 SmartVista 存在 SQL 注入漏洞
HackerNews.cc 10 月 12 日消息，安全公司 Rapid7 研究人员于今年 5 月发现瑞士 BPC 团队所创建的银行支付基础设施与管理系统 SmartVista 存在一处 SQL 注入漏洞，允许黑客侵入 SmartVista 前端的身份验证接口后窃取数据库敏感信息，其中包括用户账号与密码。不过，由于安全研究人员在上报该漏洞至 BPC 团队后至今尚未获得回应，因此他们于近期公开披露银行软件平台 SmartVista 易遭黑客 SQL 注入攻击。
美国 CERT 协调中心与瑞士证券交易委员会在漏洞公开披露后发布警示，宣称由于该攻击活动只能通过经身份验证的前端用户触发，因此攻击者可以通过该漏洞后入侵系统、窃取重要信息。
Rapid7 专家发现，对于访问 Transaction 接口的平台需要用户提供卡号、帐号，以及交易日期三个字段。然而，由于 SmartVista 前端缺乏输入验证，因此不会对交易模块中输入的卡号或帐号进行检测。不过，卡号仅接受确切的字段以便提供输出。如果事先并不知道卡号，攻击者也可通过该字段启动 布尔型 SQL 注入。但倘若提供了正确的注入语句（如’或’1’=’1）时，数据库将延迟五秒，从而产生一个基于时间的 SQL 注入向量。此外，攻击者还可利用该漏洞强制查询数据库，从而导致访问信息在线暴露。
目前，Rapid7 安全专家建议使用 SmartVista 的企业安全更新系统至最新版本，同时采用 Web 应用程序防火墙，以便保护平台免受 SQL 注入攻击。
原作者：Pierluigi Paganini，译者：青楚
本文由 HackerNews.cc 翻译整理，封面来源于 *** ；
转载请注明“转自 HackerNews.cc ” 并附上原文链接。
“瑞士 BPC 的银行支付系统 SmartVista 存在 SQL 注入漏洞” 的相关文章
SentinelLabs 敦促 Azure Defender for IoT 用户尽快安装补丁
SentinelOne 的 SentinelLabs 去年就曾发现 Microsoft Azure 的 Defender 存在多个安全漏洞，其中部分漏洞的严重程度和影响被评为“关键”。微软已经为所有的漏洞发布了补丁，但 SentinelLabs 敦促 Azure Defender for IoT 用...
美将 Ronin 网络 6.25 亿美元加密货币被盗事件归咎于朝鲜黑客组织
据Vice的报道，美财政部将Ronin网络6.25亿美元加密货币被盗事件归咎于朝鲜黑客组织。据悉，该网络是支持Axie Infinity游戏的区块链。当地时间周四，财政部更新了制裁措施，其中包括收到资金的钱包地址并将其归于Lazarus集团。 开发商集团Sky Mavis拥有的Ronin网络在关于...
Emotet 垃圾邮件软件在全球范围内攻击邮箱
Hackernews编译，转载请注明出处： Emotet恶意软件在中断十个月后，于15日开始运行，该软件通过多次垃圾邮件攻击向全球邮箱发送恶意文档。 Emotet是一种恶意软件感染，通过带有恶意附件的垃圾邮件攻击传播。如果用户打开附件，恶意宏或JavaScript文件，将下载Emotet DLL并...
FritzFrog P2P 僵尸网络攻击医疗、教育和政府部门
Hackernews 编译，转载请注明出处： 一个P2P的Golang僵尸网络在一年多后重新浮出水面，在一个月内侵入了医疗、教育和政府部门实体的服务器，感染了总共1500台主机。 Akamai 的研究人员在与 The Hacker News 共享的一份报告中称，这种名为 FritzFrog 的“分...
BlackMatter 团伙窃取1tb数据，勒索新合作社590万美元
BlackMatter勒索软件团伙袭击了爱荷华州的一家农业企业“新合作社”，并要求590万美元的赎金。 周一，几名安全研究人员最先关注了对这次黑客攻击事件，该公司也坦诚自己遭到了网络攻击，并相应地关闭了自己的系统。这是继5月份REvil团伙对JBS发起勒索软件攻击之后，对农业行业的又一次重大打击。研...
一项调查发现大多数人仍然在多个网站上重复使用密码
一项新的调查显示，70%成年人仍在使用同一个密码做一件以上事情。在对1041名18岁或以上美国居民的调查中，PCMag发现，25%的人承认有时会重复使用同一个密码，24%的人说他们大部分时间都这样做，而21%的人承认一直这样做。 重复使用密码是黑客喜欢的事情，尤其是许多网站和服务使用电子邮件地址作为...
评论列表
发表评论
