HackerNews 编译，转载请注明出处： 知名朝鲜黑客组织Lazarus近日被曝在npm（Node包管理器）平台投放6个恶意软件包，目前已累计被下载330次。这些软件包通过窃取账户凭证、部署后门程序等手段，专门针对加密货币敏感信息实施窃取。 网络安全公司Socket研究团队发现，此次攻击行动与Lazarus组织过往的软件供应链攻击模式高度吻合。该组织长期潜伏于npm、GitHub和PyPI（Python软件包索引）等开发者平台，通过投毒攻击渗透目标系统。其惯用手法曾导致Bybit交易所遭遇15亿美元加密货币盗窃案，创下历史最高纪录。 六大恶意软件包特征   本次发现的恶意软件包均采用”仿冒拼写”策略诱导开发者误装：   1. is-buffer-validator：仿冒流行库is-buffer，实施凭证窃取   2. yoojae-validator：伪装验证工具窃取系统敏感数据   3. event-handle-package：伪装事件处理工具部署远程后门   4. array-empty-validator：窃取系统及浏览器凭证   5. react-event-dependency：伪装React工具植入恶意程序   6. auth-validator：窃取登录凭证与API密钥   据Socket报告披露，这些软件包内嵌的恶意代码具备多重窃取功能，包括劫持Chrome、Brave、Firefox浏览器的登录数据、Cookies及历史记录，窃取macOS系统密钥链信息，针对Solana钱包的id.json文件及Exodus钱包文件实施定向窃取，包括植入朝鲜黑客惯用的”BeaverTail”恶意软件和”InvisibleFerret”后门程序。 目前所有恶意软件包仍存在于npm及GitHub平台。安全专家建议开发者严格审查项目依赖包来源，重点排查开源代码中的混淆代码、非常规服务器连接请求并警惕名称与知名库相似的软件包。 此次事件再次凸显软件供应链安全风险。Lazarus组织自2023年起持续活跃，其攻击范围已覆盖金融、加密货币等多个关键领域。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 据 CyberArk 称，MassJacker 活动使用了至少 778,531 个加密货币钱包地址，从被攻破的计算机中窃取数字资产。 在分析时，与该操作相关的约 423 个钱包中包含 95,300 美元，但历史数据表明存在更大规模的交易。 此外，还有一个单独的 Solana 钱包，攻击者似乎将其用作中央收款中心，目前已积累了超过 300,000 美元的交易。 CyberArk 怀疑整个 MassJacker 操作与一个特定的威胁组织有关，因为从命令和控制服务器下载的文件名和用于解密文件的加密密钥在整个活动中相同。 然而，该操作仍可能遵循恶意软件即服务模式，中央管理员向不同网络罪犯出售访问权限。 CyberArk 称 MassJacker 是一种加密劫持操作，尽管该词通常与利用受害者处理/硬件资源进行未授权加密货币挖掘有关。 实际上，MassJacker 依赖于剪贴板劫持恶意软件（clippers），这种恶意软件监控 Windows 剪贴板上复制的加密货币钱包地址，并将其替换为攻击者控制的钱包地址。 通过这种方式，受害者在不知情的情况下将资金发送给攻击者，而非他们原本打算发送的对象。 Clippers 结构简单但效果显著，由于功能和操作范围有限，很难被检测到。 技术细节方面，MassJacker 通过 pesktop[.]com 分发，该网站托管盗版软件和恶意软件。 从该网站下载的软件安装程序会执行 cmd 脚本，触发 PowerShell 脚本，获取 Amadey bot 和两个加载程序文件（PackerE 和 PackerD1）。 Amadey 启动 PackerE，后者解密并加载 PackerD1 到内存中。 PackerD1 具有五种嵌入式资源，增强其规避和反分析性能，包括即时（JIT）挂钩、元数据令牌映射以混淆函数调用，以及用于命令解释的自定义虚拟机，而不是运行常规 .NET 代码。 PackerD1 解密并注入 PackerD2，最终解压缩并提取最终有效载荷 MassJacker，并将其注入到合法的 Windows 进程 ‘InstalUtil.exe’ 中。 MassJacker 使用正则表达式模式监控剪贴板上的加密货币钱包地址，如果找到匹配项，就从加密列表中替换为攻击者控制的钱包地址。 CyberArk 呼吁网络安全研究界更深入地研究像 MassJacker 这样的大型加密劫持操作，尽管其造成的财务损失看似较低，但可能揭示许多威胁行为者的宝贵识别信息。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 苹果公司近日紧急发布安全更新，修复编号为CVE-2025-24201的零日漏洞。该漏洞存在于WebKit跨平台网页浏览器引擎中，影响Safari浏览器及多款运行于macOS、iOS、Linux和Windows系统的应用程序。 “此次更新是对iOS 17.2版本已防御攻击的补充修复。”苹果在周二发布的安全公告中表示，”我们确认该漏洞在iOS 17.2之前版本中，已被用于针对特定人群实施高度复杂的定向攻击。” 经证实，攻击者可通过特制恶意网页内容突破Web内容沙箱限制。目前苹果已通过强化检测机制修复了该越界写入漏洞，相关补丁包含在iOS 18.3.2、iPadOS 18.3.2、macOS Sequoia 15.3.2、visionOS 2.3.2和Safari 18.3.1更新中。 受影响的设备型号包括： – iPhone XS及后续机型 – iPad Pro全系（13英寸/12.9英寸第三代起/11英寸第一代起） – iPad Air第三代起 – iPad第七代起 – iPad mini第五代起 – 运行macOS Sequoia系统的Mac设备 – Apple Vision Pro 苹果暂未透露漏洞发现者信息，也未披露相关攻击行动的具体细节。虽然该漏洞目前主要用于定向攻击，但安全专家强烈建议用户立即更新系统以防范潜在攻击。 这是苹果本年度修复的第三个零日漏洞，此前分别于1月（CVE-2025-24085）和2月（CVE-2025-24200）修复两处漏洞。2024全年苹果共修复6个野外利用漏洞，而2023年漏洞修复量达20个，其中包含： – 11月：CVE-2023-42916、CVE-2023-42917 – 10月：CVE-2023-42824、CVE-2023-5217 – 9月：5个漏洞（CVE-2023-41061等） – 7月：CVE-2023-37450、CVE-2023-38606 – 6月：CVE-2023-32434等3个 – 5月：CVE-2023-32409等3个 – 4月：CVE-2023-28206等2个 – 2月：WebKit漏洞CVE-2023-23529   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国网络安全和基础设施安全局（CISA）周一根据在野活跃利用的证据，将影响Advantive VeraCore和Ivanti Endpoint Manager（EPM）的五个安全漏洞添加到了已知被利用漏洞（KEV）目录中。 漏洞列表如下： – CVE-2024-57968：Advantive VeraCore中的无限制文件上传漏洞，允许远程未认证的攻击者通过upload.aspx上传文件到意外的文件夹。 – CVE-2025-25181：Advantive VeraCore中的SQL注入漏洞，允许远程攻击者执行任意SQL命令。 – CVE-2024-13159：Ivanti EPM中的绝对路径遍历漏洞，允许远程未认证的攻击者泄露敏感信息。 – CVE-2024-13160：Ivanti EPM中的绝对路径遍历漏洞，允许远程未认证的攻击者泄露敏感信息。 – CVE-2024-13161：Ivanti EPM中的绝对路径遍历漏洞，允许远程未认证的攻击者泄露敏感信息。 VeraCore漏洞的利用被归因于可能是一个名为XE Group的越南威胁行为者，该组织已被观察到投放反向shell和web shell以维持对受感染系统的持久远程访问。 另一方面，目前没有公开报告说明三个Ivanti EPM漏洞在现实攻击中是如何被利用的。上个月，Horizon3.ai发布了一个概念验证（PoC）利用。这家网络安全公司将它们描述为“凭证强迫”漏洞，可能允许未认证的攻击者危及服务器。 鉴于活跃利用的情况，联邦民用执行分支（FCEB）机构必须在2025年3月31日之前应用必要的补丁。 这一发展正值威胁情报公司GreyNoise警告CVE-2024-4577的大规模利用，这是一个影响PHP-CGI的严重漏洞，攻击活动激增，针对日本、新加坡、印度尼西亚、英国、西班牙和印度。 “过去30天内针对CVE-2024-4577的IP中，超过43%来自德国和中国，”GreyNoise表示，并补充说，它“检测到2月份针对多个国家网络的协调性利用尝试激增，表明对易受攻击目标的额外自动化扫描。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 中国台湾地区公司摩莎（Moxa）发布了一项安全更新，以解决其PT交换机中的一个关键安全漏洞，该漏洞可能允许攻击者绕过认证。 该漏洞被追踪为CVE-2024-12297，CVSS v4评分为9.2（满分10.0）。 摩莎在上周发布的一份咨询报告中表示：“由于授权机制中的缺陷，多款摩莎PT交换机容易出现认证绕过漏洞。” “尽管有客户端和后端服务器验证，但攻击者可以利用其实现中的漏洞。该漏洞可能使暴力破解攻击得以进行，以猜测有效凭证，或者利用MD5冲突攻击伪造认证哈希，从而可能危及设备的安全。” 成功利用这一漏洞，可能会导致认证绕过，允许攻击者获得未经授权的访问权限，进入敏感配置或中断服务。 受影响的版本包括： – PT-508系列（固件版本3.8及更早版本） – PT-510系列（固件版本3.8及更早版本） – PT-7528系列（固件版本5.0及更早版本） – PT-7728系列（固件版本3.9及更早版本） – PT-7828系列（固件版本4.0及更早版本） – PT-G503系列（固件版本5.3及更早版本） – PT-G510系列（固件版本6.5及更早版本） – PT-G7728系列（固件版本6.5及更早版本） – PT-G7828系列（固件版本6.5及更早版本） 该漏洞的补丁可通过联系摩莎技术支持团队获得。该公司感谢莫斯科Rosatom自动化控制系统（RASU）的Artem Turyshev报告了这一漏洞。 除了应用最新修复程序外，使用受影响产品的公司还被建议使用防火墙或访问控制列表（ACL）限制网络访问，强制执行网络分段，尽量减少直接暴露于互联网，对访问关键系统实施多因素认证（MFA），启用事件日志记录，并监控网络流量和设备行为以发现异常活动。 值得注意的是，摩莎在2025年1月中旬已经解决了以太网交换机EDS-508A系列（固件版本3.11及更早版本）中的同一漏洞。 这一修复措施是在两个月前摩莎推出其蜂窝路由器、安全路由器和网络安全设备的补丁（CVE-2024-9138和CVE-2024-9140）之后不久，这些补丁可防止权限提升和命令执行。 上个月，摩莎还解决了影响各种交换机的多个高严重性漏洞（CVE-2024-7695、CVE-2024-9404和CVE-2024-9137），可能导致拒绝服务（DoS）攻击或命令执行。   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 卡巴斯基在 2024 年观察到，南亚和东南亚、中东和非洲的海事和物流公司成为了被称作 SideWinder 的高级持续性威胁（APT）组织的攻击目标。 这些攻击活动遍布孟加拉国、柬埔寨、吉布提、埃及、阿拉伯联合酋长国和越南。其他攻击目标还包括南亚和非洲的核电站和核能基础设施，以及电信、咨询、IT 服务公司、房地产代理和酒店。 在看似更广泛地扩展其受害者范围的情况下，SideWinder 还针对了阿富汗、阿尔及利亚、保加利亚、中国、印度、马尔代夫、卢旺达、沙特阿拉伯、土耳其和乌干达的外交实体。针对印度的攻击尤为显著，因为之前曾怀疑该威胁行为者来自印度。 “值得注意的是，SideWinder 不断努力改进其工具集，以领先于安全软件的检测，延长在受感染网络中的持续存在，并隐藏在受感染系统中的痕迹，”研究人员 Giampaolo Dedola 和 Vasily Berdnikov 说，他们将其描述为“一个高度先进且危险的对手”。 SideWinder 之前在 2024 年 10 月曾是俄罗斯网络安全公司进行广泛分析的主题，记录了该威胁行为者使用名为 StealerBot 的模块化后利用工具包，从受感染的主机中捕获广泛敏感信息的情况。2024 年 7 月，BlackBerry 也强调了该黑客组织针对海事部门的攻击。 最新的攻击链与之前报告的情况相符，鱼叉式网络钓鱼电子邮件作为渠道，投放利用微软 Office 公式编辑器（CVE-2017-11882）中已知安全漏洞的陷阱文档，以激活多阶段序列，进而使用名为 ModuleInstaller 的 .NET 下载器，最终启动 StealerBot。 卡巴斯基表示，一些诱饵文档与核电站和核能机构有关，而其他文档则包含提及海事基础设施和各个港口当局的内容。 “他们不断监测其工具集被安全解决方案检测到的情况，”卡巴斯基说，“一旦他们的工具被识别，他们会在不到五小时的时间内生成新的恶意软件版本。” “如果出现行为检测，SideWinder 会尝试更改用于维持持续性和加载组件的技术。此外，他们还会更改恶意文件的名称和路径。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 根据 Cato CTRL 团队的新发现，未修复的 TP-Link Archer 路由器已成为一个新的僵尸网络活动的目标，该活动被称为 Ballista。 “该僵尸网络利用 TP-Link Archer 路由器中的远程代码执行（RCE）漏洞（CVE-2023-1389），通过互联网自动传播自身。” 安全研究员 Ofek Vardi 和 Matan Mittelman 在与 The Hacker News 共享的技术报告中表示。 CVE-2023-1389 是影响 TP-Link Archer AX-21 路由器的高严重性安全漏洞，可能导致命令注入，从而为远程代码执行铺平道路。 最早利用该漏洞的证据可以追溯到 2023 年 4 月，当时未知的威胁行为者利用它来投放 Mirai 僵尸网络恶意软件。从那以后，它还被用来传播 Condi 和 AndroxGh0st 等其他恶意软件家族。 Cato CTRL 表示，他们于 2025 年 1 月 10 日检测到了 Ballista 活动，最近一次利用尝试记录在 2 月 17 日。 攻击序列涉及使用恶意软件投放器，一个名为 “dropbpb.sh” 的 shell 脚本，设计用于在目标系统上获取并执行适用于各种系统架构（如 mips、mipsel、armv5l、armv7l 和 x86_64）的主要二进制文件。 一旦执行，恶意软件会在 82 端口建立加密的命令和控制（C2）通道，以控制设备。 “这允许运行 shell 命令以进行进一步的远程代码执行和拒绝服务（DoS）攻击。” 研究人员表示，“此外，恶意软件还会尝试读取本地系统上的敏感文件。” Ballista 僵尸网络 支持的一些命令包括： flooder，触发洪水攻击 exploiter，利用 CVE-2023-1389 漏洞 start，与 exploiter 一起使用的可选参数，用于启动模块 close，停止触发功能的模块 shell，在本地系统上运行 Linux shell 命令 killall，用于终止服务 此外，它能够在执行开始时终止之前的实例并擦除自身存在。它还设计用于通过尝试利用该漏洞传播到其他路由器。 使用 C2 IP 地址位置（2.237.57[.]70）和恶意软件二进制文件中存在意大利语字符串，表明涉及未知的意大利威胁行为者，网络安全公司表示。 尽管如此，似乎该恶意软件正在积极开发中，因为该 IP 地址已不再有效，并且存在一个新的投放器变体，使用 TOR 网络域而不是硬编码的 IP 地址。 在攻击面管理平台 Censys 上的搜索显示，超过 6000 台设备被 Ballista 感染。感染主要集中在巴西、波兰、英国、保加利亚和土耳其。 该僵尸网络被发现针对美国、澳大利亚、中国和墨西哥的制造业、医疗/保健、服务和科技组织。 “虽然这个恶意软件样本与其他僵尸网络有相似之处，但它仍然与广泛使用的 Mirai 和 Mozi 僵尸网络不同。” 研究人员表示。   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 被称为 Blind Eagle 的威胁行为者自 2024 年 11 月以来，与一系列针对哥伦比亚机构和政府实体的持续攻击活动有关。 “监控到的攻击活动针对哥伦比亚司法机构以及其他政府或私人组织，感染率很高。” Check Point 在一项新分析中表示。 “在 2024 年 12 月 19 日左右进行的一次攻击活动中，超过 1600 名受害者受到影响。考虑到 Blind Eagle 的定向 APT 方法，这一感染率非常显著。” 自 2018 年以来一直活跃的 Blind Eagle ，也被称为 AguilaCiega、APT-C-36 和 APT-Q-98。它以对南美实体，特别是哥伦比亚和厄瓜多尔的超针对性攻击而闻名。 该威胁行为者策划的攻击链涉及使用社会工程学手段，通常以鱼叉式网络钓鱼电子邮件的形式，获取对目标系统的初始访问权限，并最终投放现成的远程访问木马，如 AsyncRAT、NjRAT、Quasar RAT 和 Remcos RAT。 最新的入侵行为因三个原因而引人注目：使用了针对微软 Windows 漏洞（CVE-2024-43451）的变种利用，采用了新兴的 “打包即服务”（PaaS）HeartCrypt，以及通过 Bitbucket 和 GitHub 分发有效载荷，超越了谷歌硬盘和 Dropbox。 具体来说，HeartCrypt 用于保护恶意可执行文件，这是 PureCrypter 的一个变种，然后负责启动托管在现已被删除的 Bitbucket 或 GitHub 存储库上的 Remcos RAT 恶意软件。 CVE-2024-43451 指的是微软在 2024 年 11 月修复的 NTLMv2 哈希泄露漏洞。据 Check Point 称，盲鹰在补丁发布后仅六天就将其变种纳入攻击武器库，导致毫无戒心的受害者在手动点击通过网络钓鱼电子邮件分发的恶意.URL 文件时推进感染。 “虽然这个变种实际上并不会暴露 NTLMv2 哈希，但它会通知威胁行为者文件是由同一异常用户文件交互下载的。” 这家网络安全公司表示。 “在易受 CVE-2024-43451 影响的设备上，即使在用户手动与文件交互之前，也会触发 WebDAV 请求，表现出同样的异常行为。同时，在已打补丁和未打补丁的系统上，手动点击恶意.URL 文件会启动下一阶段有效载荷的下载和执行。” Check Point 指出，这种 “快速反应” 有助于突出该组织的技术专长以及其在面对不断演变的安全防御时适应和追求新攻击方法的能力。 作为威胁行为者起源的铁证，GitHub 存储库显示该威胁行为者在 UTC-5 时区运营，与南美多个国家一致。 不仅如此，似乎出现了一次操作失误，对存储库提交历史的分析发现了一个包含 1634 个唯一电子邮件地址的账户密码对文件。 尽管名为 “Ver Datos del Formulario.html” 的 HTML 文件于 2025 年 2 月 25 日从存储库中删除，但发现它包含与个人、政府机构、教育机构和在哥伦比亚运营的企业相关的详细信息，如用户名、密码、电子邮件、电子邮件密码和 ATM PIN 码。 “其成功的关键因素之一是能够利用合法的文件共享平台，包括谷歌硬盘、Dropbox、Bitbucket 和 GitHub，使其能够绕过传统安全措施并秘密分发恶意软件。” Check Point 表示。 “此外，其使用地下犯罪软件工具如 Remcos RAT、HeartCrypt 和 PureCrypter 加强了其与网络犯罪生态系统的深厚联系，提供了访问 sophisticated 逃避技术和持续访问方法的途径。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 日本电信巨头 NTT 近日遭遇数据泄露事件，波及近 1.8 万家企业的客户信息。 2 月 5 日，NTT 安全团队在其“订单信息分发系统”中检测到可疑活动，并立即限制了对设备 A 的访问。根据公司发布的数据泄露通知，2 月 5 日 NTT 通信公司（NTT Com）发现其设施遭到了非法访问，并于 2 月 6 日确认部分信息可能已经泄露（以下简称“事件”）。公司表示：“通过内部调查，我们发现存储在内部系统（即订单信息分发系统 *1）中的部分企业客户服务信息可能已经外泄。请注意，个人客户的服务信息未包含在内。” 进一步调查显示，2 月 15 日还发现了另一台设备的未授权访问，该公司随后封锁了该设备。调查结果显示，此次事件共泄露了 17,891 家企业的数据，公司将通知受影响客户。 可能泄露的信息包括合同编号、客户名称（合同名称）、客户联系人姓名、电话号码、电子邮件地址、地址及与服务使用相关的信息。不过，事件并未涉及 NTT Docomo 直接提供的企业智能手机和移动电话合同。 NTT 表示将加强安全措施，提高服务质量，并在保护客户隐私的前提下及时披露最新进展。这并非 NTT 首次遭遇数据泄露。2020 年 5 月，NTT 通信公司曾披露一起数据泄露事件，影响了数百名客户。 当时，公司在 5 月 7 日发现部分系统遭到未授权访问后启动调查，并于几天前确认攻击者可能窃取了部分信息。根据当时的数据泄露通知，NTT Com 在 5 月 7 日检测到攻击者对其设备的未授权访问，并于 5 月 11 日确认部分信息可能已经外泄。 NTT Com 的专家最初在一台 Active Directory 服务器上发现了可疑活动，随后发现攻击者入侵了一台运营服务器和一台存储客户信息的信息管理服务器。内部调查显示，攻击者最初瞄准了一台位于新加坡的服务器，然后利用其进行横向移动，进而渗透到日本的基础设施。 针对该事件，公司关闭了受影响的服务器，以防止恶意软件传播并与外部服务器通信。据 NTT 称，此次安全漏洞可能影响 621 家公司的信息，这些信息均存储在该信息管理服务器上。公司还宣布，已采取额外措施以防止未来发生类似攻击。   消息来源：Security Affairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 广泛使用的 Python JSON Logger 库中披露的一个漏洞，通过依赖链缺陷，暴露了约 4300 万个安装，使其面临潜在的远程代码执行（RCE）攻击风险。该漏洞编号为 GHSA-wmxh-pxcx-9w24，CVSS v3 严重程度评分为 8.8/10，源于一个未注册的依赖项（”msgspec-python313-pre”），攻击者可能利用它劫持软件包安装。 安全研究员 Omnigodz 发现，攻击者可能利用此漏洞在使用受影响版本（3.2.0 和 3.2.1）日志工具的系统中执行任意代码。维护者在研究员通过 GitHub 安全咨询程序负责任地披露问题后，发布了修复版本 3.3.0。 该漏洞是一个典型的依赖混淆攻击案例，攻击者利用软件供应链中的漏洞。Python JSON Logger 的 pyproject.toml 配置文件包含一个名为 msgspec-python313-pre 的可选开发依赖项，用于 Python 3.13 兼容性。然而，由于原始维护者删除了该包，其名称在 PyPI 上未注册，形成了命名空间真空。 如 Omnigodz 的概念验证研究所示，任何 PyPI 用户都可以声明被遗弃的包名并发布恶意代码。当开发者在 Python 3.13 环境中通过 pip install python-json-logger[dev] 安装日志记录器的开发依赖项时，包管理器会自动获取攻击者控制的 msgspec-python313-pre（如果存在于公共存储库中）。研究人员通过临时注册一个良性版本的包（v0.0.0.1）确认了这一攻击路径，但没有证据表明在漏洞窗口期间发生了恶意利用。 根据 PyPI 的 BigQuery 计量，Python JSON Logger 每月下载量超过 4600 万次，其广泛采用放大了此漏洞的潜在影响。成功利用该漏洞将通过 RCE 能力授予攻击者完整的系统控制权，根据 CVSS 计量标准，这将危及机密性、完整性和可用性。这种攻击只需要较低的复杂度——只需在 PyPI 上发布一个恶意包——但取决于受害者是否在启用了开发依赖项的情况下使用 Python 3.13，这在 CI/CD 管道和开发人员工作站中是一种常见配置。 值得注意的是，尽管一个月前的缓解提交（1ce81a3）从项目的源代码中移除了有问题的依赖项，但该漏洞仍然存在。因为这个修复直到 3.3.0 版本才被包含在官方的 PyPI 发布中，所以所有使用标准包管理流程的安装仍然处于脆弱状态。这凸显了在开源维护周期中，将存储库更新与 PyPI 包发布同步的关键需求。 Python JSON Logger 的维护者通过两项并行措施解决了该漏洞： 发布了 v3.3.0，完全消除了 msgspec-python313-pre 依赖项。 与 Omnigodz 协调转移了争议软件包名称的所有权，有效防止了命名空间劫持。 安全团队建议立即使用 pip install –upgrade python-json-logger==3.3.0 升级至 v3.3.0。无法立即更新的组织应审核其 Python 环境。 “开发人员必须将依赖项视为攻击面，”Omnigodz 在他们的会议论文中指出，“特别是那些可选的依赖项，尽管具有完整的执行权限，但它们经常逃脱安全扫描器的检测。” 根据 ESET 的 2025 年威胁报告显示，供应链攻击正以每年 78% 的速度增长。该漏洞突出了 Python 生态系统在平衡可用性和安全性方面面临的持续挑战。尽管尚未有任何数据泄露事件与此具体漏洞相关联，但其发现促使主要开源社区重新审视依赖管理实践。   消息来源：Cybersecurity News； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文