当今社会物联网设备已经逐步渗透到人们生产生活的方方面面，为人们及时了解自己周围环境以及辅助日常工作带来便利。但随着互联紧密度的增高，物联网设备的安全性问题也逐渐影响到人们的正常生活，甚至生命安全，物联网设备安全不容小觑。
以下为近日的物联网安全新闻内容。
修补太慢：WebKit 中的 AudioWorklet 漏洞仍影响 iOS 与 macOS 设备
尽管修复程序已发布数周，但苹果尚未完成对 iOS 和 macOS 中存在的 WebKit 漏洞的修补。Apple Insider 指出，该漏洞由网络安全初创公司 Theori 研究人员首先发现，问题主要与 WebKit 中的 AudioWorklets 实现有关。除了可能引发 Safari 浏览器的崩溃，Theori 也警告它是一个可被利用的类型混淆漏洞。
AudioWorklet 接口允许者控制、渲染和输出音频，但也为攻击者利用此漏洞在设备上执行恶意代码而敞开了门。
不过恶意攻击者仍需绕过指针验证码（PAC），才能在现实世界中发起攻击。作为一套缓解措施，PAC 强制需要密码签名，才能在内存中执行代码。
开源者已于 5 月初修复了 AudioWorklet 漏洞（GitHub 传送门），但 Theori 研究人员 Tim Becker 警告称，该漏洞仍存在于最新版本的 iOS 和 macOS 中。
在理想情况下，从公开补丁到稳定版发布的时间间隔会尽可能小，但 AudioWorklet 漏洞还是让新版 iOS 设备用户在几周内易受攻击。
在 Tim Becker 看来，缺乏修复程序的“空窗缺口”是开源领域的一个重风险。
由谷歌 Project Zero 安全团队披露的数据可知，自 2021 年初以来，苹果系统有 7 个漏洞在野外被积极利用，且其中已修复的多个都与 WebKit 有关。
详文阅读：
http://hackernews.cc/archives/35484
蓝牙两规范被爆安全漏洞 可被黑客利用进行中间人攻击
蓝牙核心规范（Bluetooth Core）和蓝牙网状网络连接技术（Mesh Profile）规范近日被爆安全漏洞，可被网络犯罪分子利用进行中间人（man-in-the-middle）攻击。根据卡内基梅隆学 CERT 协调中心的报告，“支持Bluetooth Core 和 Mesh 规范的设备存在漏洞，容易受到冒名攻击和AuthValue泄露，这可能使攻击者在配对期间冒充合法设备”。
这两个蓝牙规范确保了多对多蓝牙通信的协议，并使设备之间通过临时网络共享数据。蓝牙冒充攻击（Bluetooth Impersonation AttackS），也称为 BIAS，允许网络犯罪分子与受害者建立安全连接，并有效绕过蓝牙的认证机制。
负责监管蓝牙标准制定的蓝牙特别兴趣组 (Bluetooth SIG) 也在今天早些时候发布安全公告，指出了针对影响这两个易受攻击标准的每个安全缺陷的建议。Bluetooth SIG 表示，该组织机构正在就该漏洞及其修复方案与会员企业广泛沟通详情，并鼓励它们快速集成任意必要补丁。和之前一样，蓝牙用户应确保安装了操作系统厂商最新推荐的更新版本。
详文阅读：
http://hackernews.cc/archives/35472
苹果修复 macOS 11.4 零日漏洞：可被攻击者秘密截屏或录制视频
Apple Insider 报道称，苹果刚刚为 macOS Big Sur 11.4 修复了一个零日漏洞。早前的概念验证表明，攻击者可通过劫持现有应用程序的权限，来秘密截取屏幕画面或录制视频。率先曝光此事的 Jamf 安全研究人员称：为控制应用程序能够访问哪些系统功能，苹果特地在 macOS 中实施了“透明许可与控制”框架，但该零日漏洞还是为此类攻击敞开了门。
更糟糕的是，Jamf 指出，该漏洞似乎已在野外被积极利用。他们在研究名为 XCSSET 的 Mac 恶意软件时发现了该缺陷，可知 XCSSET 是通过受感染的 Xcode 项目而让 macOS 者躺的。
在利用该漏洞劫持了其它应用程序的权限之后，恶意软件将使得攻击者达成许多目的，比如挂接到具有视频录制权限的 Zoom 云视频会议软件中。然而只有在利用该漏洞进行屏幕截图的时候，它才会被用户所察觉。
详文阅读：
http://hackernews.cc/archives/35455
有证据表明高通驱动中的 4 个漏洞已经被黑客利用 数百万台设备受影响
有证据标明存在于高通和 Mali GPU 内核驱动中的漏洞已经被黑客利用，至少有数百万台 Android 设备受到影响。到目前为止，Google Pixel 设备是唯一得到修补的设备，但其他 Android 设备延迟更新的长期问题仍然存在。
本月早些时候，安全公司 Check Point 发现，为数亿台 Android 设备提供动力的高通芯片存在一个关键的安全漏洞。在本周更新的 5 月 Android 安全公告中，表示 5 月 1 日披露的漏洞中有 4 个已经被黑客利用发起攻击。
在安全公告中，罗列了不少于 42 个漏洞，这些漏洞在 2021 年 5 月的安全更新中被修补，但当时该公司并不知道有任何漏洞被积极利用。而最新数据标明，其中 4 个漏洞可能处于“有限、有针对性的利用”中。
其中两个漏洞影响到数百个芯片组中的高通 GPU，包括最新的支持 5G 的芯片组，如骁龙 768G 和骁龙 888。另外两个漏洞影响到Arm Mali GPU（用于数百万安卓设备）的内核驱动，其严重性不可低估，因为它们允许攻击者完全控制你的手机。
安全公司Zimperium的裁Asaf Peleg告诉Ars Technica，”从提升默认情况下的权限到执行当前进程现有沙盒之外的代码，设备将被完全破坏，没有数据是安全的”。
详文阅读：
http://hackernews.cc/archives/35437
Eufy 确认其服务器出现错误 让用户看到其他家庭的安全摄像头
一些Eufy家庭安全摄像头的用户发现，由于一个明显的安全故障，他们能够访问其它家庭的智能摄像头的画面和从未见过的用户保存的视频。这个问题在Reddit的一个帖子中被曝光，来自世界各地的用户在其中详细描述了他们的经历。
“基本上我可以看到每一个摄像头，他们的前门和后门、主卧室、客、车库、厨房、他们的运动记录……基本上是一切，”一位Eufy的所有者指出。”我想知道发生了什么事，因为这些视频仍然有我的电子邮件和名字作为签名，同时我还注意到一些未知的电子邮件，我猜是夏威夷主人的，在我的共享访客账户中。一个安全产品变得完全不安全，这是相当令人担忧的。”
一些人报告说，登出他们的账户并重新登录可以解决这种行为；到现在，不管是什么问题导致了这种问题，似乎都已经解决了。但是，许多用户仍然担心，他们自己的摄像机和画面可能在他们不知情的情况下被曝光。
详文阅读：
http://hackernews.cc/archives/35406
标签：
