知識星球
谷歌的Project Zero團隊以其在公司內部以及其他公司生產的產品中發現並披露安全漏洞的能力而聞名。其成員在軟體中找到缺陷，私下向製造商報告，併在公開披露之前給他們90天的時間來解決問題。去年，該團隊發現了Windows 10 S和Microsoft Edge的漏洞。現在，它暴露了macOS核心中的“高嚴重性”缺陷。
谷歌Project Zero的一名安全研究人員發現，儘管macOS的核心XNU在某些情況下允許寫入時複製（COW）行為，但任何複製的記憶體都不可用於源行程的修改。雖然COW是一種本質上沒有缺陷的資源管理技術，但還是留下了一些問題。
Project Zero發現，如果修改了使用者擁有的已掛載檔案系統映像，則不會通知虛擬管理子系統這些更改，這意味著攻擊者可以採取惡意操作，而無需掛載的檔案系統瞭解它。
這種寫時複製行為不僅適用於匿名記憶體，還適用於檔案對映。這意味著，在標的行程開始從傳輸的儲存區讀取之後，儲存器壓力可能導致保留傳輸的儲存器的頁面被從頁面快取中逐出。稍後，當再次需要被驅逐的頁面時，可以從後備檔案系統重新載入它們。
這意味著如果攻擊者可以在不通知虛擬管理子系統的情況下改變磁碟檔案，由此形成了一個高危安全漏洞。 macOS允許普通使用者掛載檔案系統映像。當安裝的檔案系統映像直接發生變化時（例如，透過在檔案系統映像上呼叫pwrite（）），此資訊不會傳播到已安裝的檔案系統中。
研究人員向蘋果公司通報了發現於2018年11月的這一缺陷，但該公司在超過90天的最後期限之後仍未修複，這就是為什麼這個漏洞現在以“高嚴重性”標簽公開。不過，蘋果已經收到了這個問題，正在與Project Zero合作開發未來macOS版本的補丁。
您還可以在此處檢視專用網頁上演示此問題的概念驗證程式碼。
*來源：cnBeta.COM
更多資訊
◈ 國外男子販賣破解版PS4和遊戲 索尼要求賠償2萬多美元
去年10月，國外男子Eric David Scales因為在eBay上販賣被破解的PS4和盜版PS4遊戲而被索尼告上法庭，要求1萬6800美元的賠償金以及3500美元的官司費用，共計2萬300美元。當時被告沒有出席法庭陳述他的案情，索尼最近又向法院提交了一個缺席判決。
來源：3DMGame
詳情：http://t.cn/EIIBfC3
◈ Windows 10十月更新引入Retpoline 改善Spectre補丁的效能影響
Windows 10十月更新獲得KB4482887累積更新之後，系統版本號升至Build 17763.348，除了修複Action Center的BUG之外還引入了非常重要卻未被註意的重要調整。在安裝該累積更新之後，微軟為部分Windows 10十月更新（Version 1809）裝置引入了“Retpoline”，並且計劃推廣至更多裝置。
來源：cnBeta.COM
詳情：http://t.cn/EIIB6KH
◈ 周鴻禕:望網路安全單位聯合起來 統一大資料守衛安全
3月3日晚間訊息，“我今年的提案會關註網路安全。當前中國面臨的網路攻擊威脅，只有透過統一大資料來感知網路中未知的攻擊才能解決” ，全國政協委員、360集團董事長周鴻禕在十三屆全國政協二次會議上透露了他本次會議的提案方向。
來源：新浪科技
詳情：http://t.cn/EIIB9tc
◈ 微軟,蘋果,Facebook,Twitter都被報告違反GDPR 罰單已在路上
歐盟的通用資料保護法規或GDPR旨在為使用者提供對其個人資料的更多控制。而該法律在提出和透過過程中就被廣泛詬病制定過嚴，有“嚴格立法，普遍違法”的嫌疑。很快，在施行後不久，科技公司就發現他們在收集和共享使用者資料方面的行為會給他們帶來麻煩。
來源：cnBeta.COM
詳情：http://t.cn/EIIBOHa
（資訊來源於網路，安華金和蒐集整理）
