研究人员发现 iOS 12.1.2 新漏洞 新一代 iPhone 越狱有望
两位研究人员发现了 iOS 12.1.2 中的新安全漏洞，且其影响新一代的全系列 iPhone 机型，包括 iPhone XS / XS Max 和 iPhone XR 。Min Zheng 和 Xialong Bai 在 Twitter 上披露了他们的工作细节，演示可通过“面向端口编程”（POP）攻击，获得所有 2018 年发布的 iPhone XS Max 的 root 访问权限。
参考链接：http://hackernews.cc/archives/24744
流行 WordPress 插件被愤怒的前雇员劫持
一个非常受欢迎的 WordPress 插件被愤怒的前雇员劫持，网站遭到纂改，客户收到了群发的邮件，称插件存在未修复的安全漏洞。被劫持的插件是 WPML (WP MultiLingual)，是最流行的 WordPress 多语言插件，有超过 60 万付费用户，它甚至无需借助免费插件来宣传自己。
但上周六，该插件遭遇了 2007 年发布至今最严重的安全事故。
前雇员利用其留下的后门访问了服务器和客户数据库，然后向客户群发邮件称有安全研究人员向 WPML 团队报告了多个漏洞，但遭到忽视，邮件督促客户检查自己的网站是否遭到入侵。
参考链接：http://www.youxia.org/2019/01/44176.html
购买993.36 GB的电子邮箱ID和密码仅需40美元
据外媒报道，最近发生了重大的数据泄露事件，目前已有约7.73亿个密码被盗，文件大小约1T。这些用户名和密码早先在深网（deep web）上售卖，但交易现在转到了Mega网盘上。
此次售卖的数据大约有7.73亿个用户名和密码，而且买家看不到卖家信息。由于sanixer卖家帐户在互联网上出售大量用户名和密码，且影响范围很广，该账户现在已被销售数据的网站cracked.to禁用。
国际网络安全研究所的数字取证专家称，名为sanixer的卖家以40美元的价格出售电子邮件密码合集。根据cracked.to网站的数据，购买了这个数据合集的人数非常多。一些公司或个人购买这些数据应该是用于制造垃圾邮件。
参考链接：https://www.easyaq.com/news/370772683.shtml
俄罗斯黑客被保加利亚引渡到美国
据外媒报道，俄罗斯大使馆在俄罗斯的社交网络VK上公布了一则消息，美国法院起诉一名俄罗斯黑客参与策划了一项庞大的黑客活动，保加利亚已将他引渡到美国。
俄罗斯驻华盛顿大使馆称，俄罗斯黑客Alexander Zhukov于1月18日被引渡，这名黑客目前被关押在纽约布鲁克林的一所监狱里。俄罗斯驻华盛顿大使馆工作人员表示驻纽约总领事馆的工作人员很快就会去探望他。
Zhukov被指控参与一项巨大的广告欺诈，利用广告和恶意软件来危害计算机网络。2018年11月，全球执法机构与谷歌、WhiteOps等公司联手，终结了规模最大、技术最先进的数字广告诈骗活动——3ve。3ve广告欺诈涉及的基础设施规模非常庞大，据专家称，欺诈者用恶意软件感染了170多万台电脑。攻击者利用数千台服务器和1万多个假冒网站冒充合法的网络出版商，还利用6万多个账户销售广告库存，每天产生30亿到120亿的广告投标请求。
参考链接：https://www.easyaq.com/news/1785602404.shtml
思科的关键漏洞让小型商业网络处于危险之中
据外媒报道，思科小型商业交换机软件有一个关键漏洞（CVE-2018-15439），攻击者可以未经身份验证远程控制设备。
该漏洞的CVSS严重级别为9.8，它与设备上的特权用户账户等默认配置有关。特权用户帐户是为初始登录而创建的，因而无法从思科小型商业交换机设备中删除。
思科发布的通告中有一个解决方案，即在设备配置中添加一个具有15级访问权限级别的用户帐户来禁用特权帐户。用户可以将admin作为用户ID来配置新帐户，将访问权限设置为15级，并用一个复杂密码替换强密码。
受影响的思科交换机有：小型商业200系列智能交换机、250系列智能交换机、300系列托管交换机、350系列托管交换机、思科350X系列可堆叠托管交换机、500系列可堆叠托管交换机和550X系列可堆叠托管交换机。
参考链接：https://www.easyaq.com/news/237472982.shtml
62亿台设备受影响 黑客无需点击就能破解你的WiFi
根据Embedi安全研究专家Denis Selianin今天披露的报告，Marvell Avastar 88W8897无线芯片组固件存在安全漏洞，导致全球数十亿台使用该芯片的笔记本、智能手机、游戏设备、路由器和物联网设备存在安全隐患。
在报告中，Selianin描述了如何在不需要用户任何交互的情况下，利用88W8897无线芯片组上安装的ThreadX固件来执行恶意代码。ThreadX是一种实时操作系统（RTOS），已经作为数十亿台设备的固件。
云天安全订阅号
云天安全服务号
鲁公网安备 37010202002190号