Google  Project Zero 安全团队的研究员 Tavis Ormandy 报告，微软鲜为人知的 CTF 协议存在漏洞，很容易利用，已在受害者计算机获得立足之地的黑客或恶意程序可以利用该漏洞劫持任何 Windows 应用，接管整个操作系统。

CTF 代表什么 Ormandy 没有查到，它是 Windows Text Services Framework (TSF) 的一部分，该系统用于管理 Windows 或 Windows 应用程序内的文本展示。当用户启动一个应用，Windows 会启动一个 CTF 客户端，这个客户端会从一个 CTF 服务器接收有关操作系统语言和键盘输入方法的指令。如果操作系统输入方法从一种语言切换到另一种语言， CTF 服务器会通知所有  CTF 客户端，实时改变语言。

漏洞在于  CTF 服务器和客户端之间通信是不安全的，没有正确的身份验证。攻击者可以劫持另一个应用的 CTF 会话，伪装成服务器向客户端发送指令。如果应用运行在高权限上，攻击者可以控制整个操作系统。

漏洞影响到 XP 以来的所有 Windows 版本，不清楚微软是否或何时会释出补丁。

来源：solidot.org

更多资讯

第一资本银行的黑客还窃取了另外 30 家公司的数据

前亚马逊 AWS 雇员 Paige A. Thompson 上个月底遭到逮捕，被控从第一资本银行窃取了一亿多用户的数据。本周递交到法庭的诉状显示她还窃取了另外 30 家公司的数据。检察官 Brian Moran 在诉状中没有披露这些公司的名字，只是表示目前对数据的分析显示不包含个人信息。

来源：solidot.org
详情链接：https://www.dbsec.cn/blog/article/4915.html 

DDoS 攻击 Tor 的成本分析

Tor 是最流行的匿名通信系统，它被普通公民、记者和活动人士用于绕过审查和保护隐私，也被网络罪犯用于非法活动隐藏个人身份。它也日益成为破坏、审查和攻击的目标。有许多方法可以阻止用户使用 Tor，如流量过滤、流量指纹、流量关联等等。

来源：威锋网
详情链接：https://www.dbsec.cn/blog/article/4916.html 

首都网警：关于 Windows RDP 服务远程代码执行漏洞的预警通报

2019年8月14日，国家信息安全漏洞共享平台（CNVD）收录了Microsoft远程桌面服务远程代码执行漏洞。攻击者利用该漏洞，可在未授权的情况下远程执行代码，存在被不法分子利用进行蠕虫攻击的可能。目前，微软公司已发布官方补丁。

来源：IT之家
详情链接：https://www.dbsec.cn/blog/article/4917.html 

安全漏洞导致 Suprema Biostar 2 百万人指纹数据曝光

近年来发生的多起大规模信息泄露事件，使得网络用户不得不修改那些不再安全的账户密码。但若安全性更高的指纹数据被曝光，那后果就更加严重了。遗憾的是，这正是 Suprema Biostar 2 指纹锁身上所发生的事情。

来源：cnBeta.COM
详情链接：https://www.dbsec.cn/blog/article/4919.html 

（信息来源于网络，安华金和搜集整理）