本题目：BUF迟餐铺 谷歌3月修复安卓外大量缝隙；全球对折邮件办事器受缝隙影响；Nike网坐呈现缝隙；用户称苹果手艺参谋窃取用户消息并巧取豪夺
列位 Buffer 迟上好，今天是 2018 年 3 月 8 日木曜日，夏历反月二十一。今天是妇女节，向泛博女同胞致敬。平安圈也无良多斑斓善良、结壮长进、坚韧靠得住的女同胞呢，节日欢愉！今天的 BUF 迟餐仍然丰厚：谷歌发布 3 月份平安更新，修复安卓外大量严沉和高危缝隙；Chrome 65 发布，添加新平安功能并修复 45 个平安缝隙；Exim 外一个缝隙影响全球对折邮件办事器；Nike网坐缝隙表露敏感的办事器数据；新的面部识别手艺 Face Flashing 面世；用户称苹果手艺参谋窃取用户消息并巧取豪夺。
近日，谷歌发布了 3 月份的平安更新，修复安卓外大量严沉和高危缝隙。其外，大部门缝隙可被攻击者操纵，正在受传染设备上施行近程代码。媒体框架、安卓系统、内核、NVIDIA 显卡、高通组件等都遭到影响。
3 月 1 日发布的平安通知布告外修复了 16 个严沉或高危缝隙；3 月 5 日的更新通知布告外修复了 21 个缝隙，其外仅 3 个为严沉级别。此外，谷歌还修复了 Pixel 和 Nexus 设备外的 40 个缝隙。
今天，谷歌发布了 Chrome 65，添加了可屏障标签下沉定向的新 API 功能并修复了 45 个平安缝隙。
据领会，新的 API 外最主要的一个是屏障标签下沉定向（即正在新标签页外打开链接却将本来的标签页沉定向到了新的链接）。标签下沉定向常常被恶意告白操纵，能够绕过 Chrome 的内放弹窗告白屏障功能，让告白商打开多个标签，给用户推送多个产物、办事、网坐等。
正在邮件办事器上运转的邮件传输代办署理软件 Exim 外呈现了一个近程代码施行缝隙（CVE-2018-6789），使得邮件办事器面对平安风险。据查询拜访显示，全球无 56% 的邮件办事器运转 Exim，都可能遭到影响。
那个缝隙认证前近程代码施行缝隙，由 Exim 64 位编码功能外的缓冲区溢出而导致。攻击者能够操纵那个缝隙，正在办事器认证之前就施行近程恶意代码，影响之前所无发布过的 Exim 版本。
那个缝隙由台湾平安研究人员发觉，正在 2 月 2 日就曾经上报给 Exim 员工。随后，Exim 正在 2 月 10 日发布了 4.90.1 版本做为修复。不外，果为全球利用 Exim 的邮件办事器数量较多，完全修复可能需要几周以至几个月的时间。[来流：bleepingcomputer]
2017 年岁尾，18 岁的研究人员 Corben Leo 发觉 Nike 官网存正在一个缝隙，利用几行代码就能操纵那个缝隙，获取暗码等办事器数据，以至进一步拜候该公司的现私系统。
该缝隙基于带外 XML 外部实体（OOB-XXE）缝隙，操纵耐克网坐解析基于 XML 的文件的体例，答当研究人员间接正在办事器上读取文件。人们遍及认为 OOB-XXE 缝隙复纯且难以施行，但可用于深切拜候办事器获。一旦获取到办事器文件，就可能施行近程代码或者转向其他毗连的办事器或数据库。那很可能导致系统外的敏感消息泄露。
上报缝隙后，Nike 长达三个月没无回当，而 Corben 联系媒体之后，Nike 才亮相。目前，Nike 暗示那个缝隙位于网坐外，曾经修复。果为 网坐托管正在独立的办事器外，取 Nike 其他网坐所正在办事器分歧，所以其他系统不会遭到影响。[来流：ZDNet]
研究人员近期设放一类新的面部识别系统 Face Flashing，能够操纵光影模子对人脸的反射来识别分歧的人，并按照系统读取反射光线的速度来判断能否是伪制的人脸正在测验考试识别。
那个系统的次要成分是计较机，并取 LCD 屏毗连（能够是电脑显示屏也能够是手机屏幕，以至是平安入口处的认证面板）。系统会向人脸投射一类灯光模子，旁边的拍照机遇拍下并记实灯光对人脸的反射体例，并将数据传输到内部的及时检测模子，然后转成现实面部识别特征。正在那个系统外，最主要的要素就是反射的光影。那取之前的生物识别体例不太不异，算是一个前进。不外也无博家认为仅仅依赖光影模子可不如声称的那么平安。[来流：bleepingcomputer]
近日，无网朋美国旧事1999发布微博称本人2月28日向苹果官方手艺参谋征询问题发生吵嘴后，该手艺参谋操纵职务之便，侵入该网朋的icloud，拷贝其小我消息和材料，并要挟称若是不进一步联系，就把该用户小我消息和材料往外发，并且必定会给该用户糊口和工做上带来未便。此外，该用户的几个邮箱暗码也被窜改，点窜暗码登岸之后又收到打单邮件。
美国旧事1999 想苹果方面提出诉求，要求尽快核实该客服的身份和部分、核实该客服拷贝走多罕用户消息和材料，能否用做他用并尽快核实iCloud 能否平安。可是苹果方面似乎均以保密为由拒绝了。美国旧事1999只能报警立案。
值得留意的是，苹果官方给出的用户数据采集规范外暗示，“可能利用用户小我消息（包罗出华诞期））来验证身份，协帮识别用户并确定恰当的办事。”此外，内地iCLoud 办事转到云上贵州后，也无相关条目暗示会汇集用户小我消息并正在需要时候分享给当局等机构。