HackerNews 编译，转载请注明出处： 苹果公司周五针对iOS、iPadOS、macOS、tvOS、watchOS、visionOS及其Safari网络浏览器发布了安全更新，以修复两个已被在野利用的安全漏洞。其中一个漏洞与谷歌本周初在Chrome浏览器中修复的漏洞相同。 漏洞信息如下： CVE-2025-43529（CVSS评分：暂无）：WebKit中的释放后使用漏洞，处理恶意构造的网页内容时可能导致任意代码执行。 CVE-2025-14174（CVSS评分：8.8）：WebKit中的内存损坏问题，处理恶意构造的网页内容时可能导致内存损坏。 苹果表示已意识到这些缺陷“可能已在针对iOS 26之前版本的特定目标个体的高度复杂攻击中被利用”。值得注意的是，CVE-2025-14174正是谷歌于2025年12月10日在其Chrome浏览器中修复的同一漏洞。谷歌将其描述为其开源图形层引擎库的Metal渲染器中存在的越界内存访问问题。 苹果安全工程与架构团队和谷歌威胁分析小组因发现并报告CVE-2025-14174漏洞获得致谢，而CVE-2025-43529漏洞由谷歌TAG发现。 考虑到这两个漏洞均影响WebKit渲染引擎（iOS和iPadOS上所有第三方浏览器包括Chrome、Microsoft Edge、Mozilla Firefox等均使用该引擎），它们很可能被用于高度定向的商业间谍软件攻击。 漏洞已在以下版本和设备中修复： iOS 26.2与iPadOS 26.2：iPhone 11及更新机型、第三代12.9英寸iPad Pro及更新机型、第一代11英寸iPad Pro及更新机型、第三代iPad Air及更新机型、第八代iPad及更新机型、第五代iPad mini及更新机型 iOS 18.7.3与iPadOS 18.7.3：iPhone XS及更新机型、13英寸iPad Pro、第三代12.9英寸iPad Pro及更新机型、第一代11英寸iPad Pro及更新机型、第三代iPad Air及更新机型、第七代iPad及更新机型、第五代iPad mini及更新机型 macOS Tahoe 26.2：运行macOS Tahoe的Mac电脑 tvOS 26.2：Apple TV HD与Apple TV 4K（所有型号） watchOS 26.2：Apple Watch Series 6及更新机型 visionOS 26.2：Apple Vision Pro（所有型号） Safari 26.2：运行macOS Sonoma与macOS Sequoia的Mac电脑 通过此次更新，苹果已在2025年累计修复了九个在野被利用的零日漏洞，包括CVE-2025-24085、CVE-2025-24200、CVE-2025-24201、CVE-2025-31200、CVE-2025-31201、CVE-2025-43200和CVE-2025-43300。 消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 华盛顿州皮尔斯县图书馆系统遭遇网络攻击，导致超过34万人的信息泄露。 皮尔斯县图书馆系统本周在其网站及多个州发布了违规通知信。这些信件涉及一起网络安全事件，该事件于4月21日首次被发现，迫使图书馆系统关闭了所有系统。 截至5月12日，该机构确认黑客入侵其系统并窃取了图书馆员工及客户信息。该图书馆系统共有19个分馆，服务西雅图郊外近百万人口的县区。 通知信称，调查显示黑客在4月15日至4月21日期间入侵了机构系统。泄露信息因用户身份而异：图书馆服务用户的姓名和出生日期遭泄露；当前或前任员工的失窃数据则包括社会安全号码、财务账户信息、驾照号码、信用卡信息、护照号码、健康保险信息及医疗数据。 今年5月，INC勒索软件团伙宣称对此次攻击负责。该团伙在2025年已针对政府系统发动多起严重攻击。 皮尔斯县此前曾在2023年遭遇针对公共巴士服务的勒索软件攻击，导致日均1.8万人使用的系统瘫痪。 近年来，公共图书馆系统反复遭受勒索软件团伙攻击，攻击者认为图书馆在线服务的需求将迫使政府支付赎金。 除了对大型系统等高知名度目标的大规模攻击外，美国多个州及加拿大的众多图书馆都曾因勒索软件攻击导致服务中断。 全球图书馆频遭攻击的状况甚至促使美国官员采取专项措施，专门收集关于网络安全和高级防火墙服务的数据，以帮助图书馆更好地防御黑客攻击。 消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 据称与巴勒斯坦武装组织哈马斯有关联的黑客组织被指控使用含恶意软件的文档，入侵了与阿曼、摩洛哥及巴勒斯坦权力机构相关的政府及外交实体。 帕洛阿尔托网络公司旗下Unit 42团队周四发布了一份关于该组织（其称为“灰兔”）的报告。该公司发言人向新闻媒体表示，基于多年来对该组织活动的分析，他们将其归属于哈马斯，称其“活动始终与哈马斯的战略利益保持一致”。 Unit 42指出，该组织近期活动涉及一种名为AshTag的新型恶意软件，使其得以从中东多国关键实体窃取信息。报告称，自2020年以来，“灰兔”组织的攻击手段日益复杂，发展了包括基础设施混淆等更高级的黑客技术及新工具。 该恶意软件通常伪装成涉及土耳其与巴勒斯坦实体关系的合法文档。尽管在巴以冲突期间其他哈马斯关联的黑客活动有所减少，“灰兔”组织却持续活跃，甚至在2025年10月停火后仍未停止。 AshTag恶意软件已使用多年，在10月宣布的加沙停火后仍被用于攻击。Unit 42观察到停火后该组织在某些受害环境中的直接操作活动。该恶意软件允许黑客提取文件、在受害设备下载内容并执行进一步操作。 最新攻击活动中使用的文档聚焦于土耳其与巴勒斯坦政治实体的关系，研究人员称这一转变表明土耳其实体可能成为其新的关注目标。 诱饵文档标题涉及摩洛哥与土耳其的合作关系、土耳其国防计划、哈马斯在叙利亚的活动以及巴勒斯坦政府事务等。 攻击始于一个受感染的PDF诱饵文件，引导目标下载包含恶意负载的RAR压缩包。 该组织已进行多项改进以提升操作安全性，采用不同策略使其活动更隐蔽地混入正常网络流量中。 在多起案例中，该组织利用恶意软件入侵受害系统后，直接通过键盘操控进行数据窃取。Unit 42曾发现攻击者直接从受害者邮箱下载文档——重点获取特定的外交相关文件。 研究人员表示：“‘灰兔’组织仍是持续活跃的间谍行为体，其明显意图是在近期地区冲突中继续运作——这与活动显著减少的其他关联威胁组织不同。特别是近两年来，该威胁组织的活动凸显了其持续进行情报收集的执着力。” 其他网络安全公司以“WIRTE”为名追踪该组织活动，并将其与“加沙网络组织”“Molerats”等更大团伙关联。研究人员此前曾将哈马斯关联黑客与针对以色列教育机构的SysJoker恶意软件联系起来。 消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： OpenAI周三透露，模型性能的激增已重塑了公司的内部规划。 根据一份新报告，通过CTF进行的能力评估显示，其性能从2025年8月GPT-5的27%提升至2025年11月GPT-5.1-Codex-Max的76%。 OpenAI警告称，一些即将推出的系统可能达到其“准备框架”中的“高”能力水平，这意味着它们最终可能协助完成从复杂入侵操作到零日漏洞利用开发等任务。 ThreatAware联合创始人兼首席执行官乔恩·阿博特表示，这一警告突显了关注基础防护的必要性。 “OpenAI警告新模型带来‘高’网络安全风险，这正是为什么确保安全基础绝对关键。AI可能正在加速攻击步伐，但我们最好的防御方式仍然是首先夯实基础。” 该公司还表示，正在通过开发多层次防护措施来应对这种可能性，旨在将先进能力引导至防御性结果。OpenAI补充说，其主要目标是加强网络安全团队的地位，这些团队目前仍面临人手不足和资源匮乏的问题。 加强行业整体理解 为管理网络工作流程中固有的双重用途风险，该公司概述了一个基于多个组件的深度防御策略： 访问控制、基础设施加固、出口控制和监控 引导模型避开有害请求，同时保持对教育和防御的实用性培训 能够阻止或重定向不安全活动的全系统检测工具 由外部专家进行的端到端红队测试 “这些防护措施旨在随着威胁形势的发展而演变，”该公司表示。 阿博特指出，能力的提升使得长期存在的威胁更加危险。 “传统威胁与AI实现的规模和精度相结合，形成了一种特别有害的组合，”他解释道。 “随着模型能够开发可用的零日远程漏洞利用或协助复杂、隐蔽的入侵，犯罪分子的入门门槛已大幅降低。” OpenAI表示，正在与全球专家协调，以改进防御性AI的实际应用，并正在为合格用户准备可信访问计划。 另一项名为“Aardvark”的计划已进入封闭测试阶段。这一智能安全研究代理可以扫描代码库、识别漏洞并提出修复方案，并在开源项目中发现了新的CVE漏洞。 OpenAI表示，还将启动一个“前沿风险委员会”，就负责任的能力使用提供建议，并通过“前沿模型论坛”进一步合作，以完善共享威胁模型并改进整个生态系统的缓解策略。 消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现了一场涉及19个Visual Studio Code扩展的攻击活动，这些扩展在其依赖文件夹中嵌入了恶意软件。 该活动自2025年2月开始活跃，于12月2日被识别。攻击者利用一个合法的npm包来伪装恶意文件，并将恶意二进制文件捆绑在一个伪装成PNG图像的存档文件中。 ReversingLabs观察到的这种手法使攻击者能够绕过常规检查，直接针对开发人员。 网络钓鱼手段的演变 2025年以来，一波新的恶意VS Code扩展不断传播。ReversingLabs指出，VS Code Marketplace上的可疑上传数量持续上升。 一些扩展模仿流行工具，另一些则宣传新功能但暗中执行恶意代码。即使是受信任的扩展也可能被攻陷：今年7月，一个恶意拉取请求通过添加有害依赖项污染了一个合法项目。 在这次新的攻击活动中，攻击者在扩展的node_modules文件夹中嵌入了经过修改的npm包path-is-absolute。 该原始包自2021年以来已被下载超过90亿次，但修改后的版本包含一个类，旨在VS Code启动时触发恶意软件。其目的是解码存储在名为“lock”的文件中的JavaScript投放器。 攻击者还包含了一个名为banner.png的文件，该文件看似无害，但实际上是一个包含两个二进制文件的存档。 投放器通过常见的离地生存二进制文件（LOLBIN）cmstp.exe启动这些文件。其中一个可执行文件通过模拟按键操作来关闭进程，另一个则是基于Rust的木马程序，截至报道时仍在分析中。 对开发人员日益增长的威胁 ReversingLabs表示，虽然大多数恶意扩展依赖修改后的path-is-absolute依赖项，但其他四个扩展则利用了npm包@actions/io，将有效负载存储在TypeScript和映射文件中，而非使用伪装的PNG文件。 尽管技术手段不同，但目标一致：通过受信任的组件秘密执行恶意软件。 ReversingLabs警告称，检测恶意VS Code扩展已变得日益紧迫。该公司表示，检测数量从2024年的27个增加到2025年前10个月的105个。 为降低风险，建议团队： 在安装前检查扩展 审计所有捆绑的依赖项 使用能够评估包行为的安全工具 “保持安全并非完全避免使用扩展，而是要认识到即使受信任的组件也可能被篡改，”ReversingLabs表示。 “所有提及的扩展均已向微软报告。”   消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 安全研究人员借助一项已有 20 年历史的攻击方法，成功从一款经济型智能手表中提取了固件，该方法最初是被用于窃取网络设备的数据。 这项名为 “指示灯（Blinkenlights）” 的技术，已被改造适配现代薄膜晶体管屏幕。 Quarkslab的分析师从当地商店以约 12 欧元的价格购入一款智能手表，经检测发现其配备的是虚假健康传感器，无法实现血压测量和睡眠监测功能。 该设备搭载JieLi AC6958C6 系统级芯片，并通过低功耗蓝牙进行通信，这一特性最初被视为提取固件的可行途径。 在对智能手表展开分析后，研究人员发现了一个表盘解析器漏洞 —— 该解析器未能对偏移边界进行有效校验。 这一安全缺陷可被利用来制造越界读取的情形，迫使设备将任意内存内容直接显示在屏幕上。 夸克实验室分析师指出，他们是在对自定义表盘的上传流程进行逆向工程后发现这一漏洞的，同时还发现固件解析器未对超出表盘二进制数据范围的图像偏移量进行验证。 研究团队在最终采用 “指示灯” 技术前，尝试了多种提取方案。 他们先是对杰理芯片的空中升级功能展开探索，却发现该功能仅支持固件上传，不支持固件下载。 设备所采用的认证机制基于蓝牙的 E1 传统功能，且内置硬编码参数，研究人员虽成功复现了这一机制，但这条路径最终未能实现固件提取。 现代版 “指示灯” 技术的实现方案 该团队搭建了一套定制硬件装置，核心为一块超频至 200 兆赫兹的树莓派 Pico 开发板，用于捕获智能手表主芯片向 NV3030B 屏幕控制器传输的数据。 这款屏幕采用 25 兆赫兹时钟，以 RGB565 格式传输像素数据，这就需要通过高速采样来精准获取信息。 研究人员将直径仅 0.1 毫米的导线焊接至屏幕连接器，并利用树莓派 Pico 的可编程输入输出（PIO）功能，在时钟上升沿对数据比特进行采样。 为保障高采样率下的运行效率，这款 PIO 程序仅设计了两条指令。 捕获的数据会先存储在树莓派 Pico 的 145000 字节缓冲区中，再通过 USB 串口传输至主机电脑。 为触发固件提取，研究人员制作了恶意自定义表盘，通过篡改偏移量数值，让智能手表读取并显示超出表盘预设数据区域的内存内容。 整个提取过程需要生成多款自定义表盘，每一款针对不同的内存地址。 研究人员在每个表盘里嵌入了包含同步字（0xa5a5a5a5）和魔术字节（0xdeadbeef）的特殊头文件，以此识别捕获到的数据块并验证数据对齐情况。 同时，团队开发了 Python 脚本，实现表盘生成、数据收集以及从零散内存切片中重建完整固件的自动化流程。 这项研究表明，当老旧的攻击技术与创新的漏洞利用手段相结合时，依然能对现代嵌入式设备构成威胁。 相较于昂贵的逻辑分析仪，此次采用的低成本硬件方案（除树莓派 Pico 外几乎无额外开销），在该场景下具备更高的实用性。 消息来源：cybersecuritynews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 根据最新研究，一种新发现的安卓恶意软件正在针对西班牙语用户发动攻击，能够将受害者锁在手机外并勒索赎金。 移动安全公司Zimperium的一份报告称，这种被命名为DroidLock的恶意软件，通过推送模仿合法安卓软件包的虚假应用程序的钓鱼网站进行传播。用户被诱骗安装一个投放器应用，该应用随后会部署包含实际恶意软件的次级有效载荷。 一旦激活，DroidLock可以完全控制受害者的手机，在屏幕上显示一条勒索软件风格的信息，威胁用户如果在24小时内不支付赎金就将删除所有文件。 该恶意软件并不加密数据，但研究人员警告，它有能力更改设备的PIN码、密码或生物识别设置——这实际上会使手机无法使用。该恶意软件还利用设备管理员权限来删除数据、静默通知，并利用手机前置摄像头拍摄图像。 此外，DroidLock会使用一个假的安卓更新界面来阻止用户交互，同时恶意活动在后台进行，并且它可以秘密记录受害者的屏幕活动并传输到远程服务器。 Zimperium没有说明有多少用户被感染或支付了赎金，也没有透露谁是这次攻击活动的幕后黑手。 随着黑客部署新技术来欺骗受害者和规避安全措施，移动恶意软件正在迅速发展。 今年10月，研究人员发现了一种名为Herodotus的新型安卓银行木马，它在受感染设备上进行远程控制操作时，通过模仿人类行为来规避检测。 另一种最近被观察到的恶意软件Sturnus，则可以拦截来自包括WhatsApp、Telegram和Signal在内的应用程序的解密信息。 消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一个匿名黑客组织据称入侵了一家据信参与了俄罗斯统一征兵数据库建设工作的、名不见经传的俄罗斯科技公司的服务器。 据俄罗斯反战人权组织“走开”（Idite Lesom）的负责人格里戈里·斯维尔德洛夫称，黑客与他取得了联系，并移交了大量Mikord公司的内部文件，包括源代码、技术和财务记录，以及内部通信。斯维尔德洛夫表示，该组织声称已持续访问Mikord的系统数月之久，并已破坏了该公司部分基础设施。 “走开”组织旨在帮助俄罗斯人逃避征兵和动员，已被莫斯科列为“外国代理人”。斯维尔德洛夫本人因涉嫌散布关于俄罗斯军队的“假新闻”而面临刑事指控。 Mikord公司的网站已瘫痪数日，仅显示一条维护信息。本月早些时候，该公司的主页曾被黑客涂改，黑客当时声称打算将窃取的材料交给记者，之后会公开披露。 这家为政府机构和大型企业提供软件开发和自动化服务的公司，从未公开承认参与开发俄罗斯的新兵役登记系统。但总部位于拉脱维亚的调查媒体《重要故事》（iStories）表示，他们已经核实了泄露的材料，并确认Mikord参与了该项目。 Mikord的负责人拉米尔·加布德拉赫马诺夫向iStories承认公司遭到了黑客攻击。“听着，这种事谁没遇到过？现在很多人都被攻击了，”他告诉该媒体。但对于公司是否参与了军事数据库的工作，他拒绝置评。 俄罗斯国防部周四驳斥了这些报道，称有关入侵的说法“不属实”。该部表示，登记系统“运行正常”，没有发生个人数据泄露事件。该部补充说，该系统经常成为攻击目标，但所有攻击都已被“成功阻止”。 统一征兵数据库中存储了所有适龄服役公民的详细个人数据。该系统旨在简化动员流程，取代地方征兵办公室使用的苏联时期的纸质登记系统。 该黑客组织的身份和来源不明。Recorded Future News无法独立核实黑客提供给俄罗斯媒体和人权组织的文件的真实性。 12月初，疑似俄罗斯黑客曾针对乌克兰的多个国家登记系统——这些系统存储着生物特征数据、财产记录、法院判决、商业信息和税务文件——并短暂中断了乌克兰的数字兵役应用程序“Reserve+”。 消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 根据 Wiz 发布的新发现，Gogs 中存在一个高严重性且未修复的安全漏洞正遭到主动利用，已有超过700个可通过互联网访问的实例被入侵。 该漏洞编号为 CVE-2025-8110（CVSS 评分：8.7），是这一基于 Go 语言的自托管 Git 服务在其文件更新 API 中存在的一个文件覆写案例。据称，针对该问题的修复程序目前正在开发中。Wiz公司表示，他们是在2025年7月调查一名客户机器上的恶意软件感染时，意外发现了这个零日漏洞。 根据 CVE.org 上的漏洞描述：”Gogs 中 PutContents API 对符号链接的处理不当，允许本地代码执行。“ 这家云安全公司指出，CVE-2025-8110 实际上是对一个先前已修复的远程代码执行漏洞（CVE-2024-55947，CVSS 评分：8.7）的绕过。该漏洞允许攻击者向服务器上的任意路径写入文件，并获取服务器的 SSH 访问权限。CVE-2024-55947 已于 2024 年 12 月由维护者修复。 Wiz 表示，攻击者可以利用 Git（以及因此的 Gogs）允许在 git 仓库中使用符号链接，并且这些符号链接可以指向仓库外的文件或目录这一事实，来绕过 Gogs 为解决 CVE-2024-55947 而实施的修复。此外，Gogs 的 API 允许在常规 Git 协议之外修改文件。 因此，攻击者可以利用这种未能妥善处理符号链接的缺陷，通过一个四步过程实现任意代码执行： 创建一个标准的 git 仓库。 提交一个指向敏感目标的单个符号链接。 使用 PutContents API 向该符号链接写入数据，导致系统跟随链接并覆写仓库外的目标文件。 覆写 “.git/config” 文件（特别是 sshCommand 配置）以执行任意命令。 至于在此次攻击活动中部署的恶意软件，据评估是基于 Supershell 的有效负载。Supershell 是一个开源命令与控制框架，常被中国黑客组织使用，能够建立到攻击者控制服务器（”119.45.176[.]196″）的反向 SSH shell。 Wiz 称，利用 CVE-2025-8110 的攻击者在感染后本可以采取措施删除或在客户云工作负载上留下的已创建仓库（例如 “IV79VAew / Km4zoh4s“），但他们并没有这么做。这种粗心大意表明这可能是一场”打了就跑”式的攻击活动。 总体而言，互联网上暴露着大约 1,400 个 Gogs 实例，其中超过 700 个已显示出被入侵的迹象，特别是存在由8个字符随机组成的所有者/仓库名称。所有已识别的仓库均创建于 2025年7月10日 左右。 研究人员 Gili Tikochinski 和 Yaara Shriki 表示：”这表明单一的攻击者，或者可能是一组都使用相同工具的攻击者，应对所有感染负责。“ 鉴于该漏洞目前没有修复补丁，用户必须禁用公开注册功能，限制其暴露在互联网上，并扫描实例中是否存在具有8字符随机名称的仓库。 此次披露之际，Wiz 同时警告，威胁行为者正将泄露的 GitHub 个人访问令牌作为高价值入口点，用以获取对受害者云环境的初始访问权限，甚至利用它们实现从 GitHub 到云服务提供商控制平面的跨云横向移动。 当前的核心问题是，拥有通过 PAT 获得的基本读取权限的威胁行为者，可以利用 GitHub 的 API 代码搜索功能，发现直接嵌入在工作流 YAML 代码中的密钥名称。更复杂的是，如果被利用的 PAT 具有写入权限，攻击者就可以执行恶意代码并清除其恶意活动的痕迹。 研究员 Shira Ayal 表示：”攻击者利用被盗的 PAT 在代码库中发现 GitHub Action Secrets 的名称，并在新创建的恶意工作流中使用这些名称来执行代码并获取 CSP 密钥。我们还观察到威胁行为者将密钥外泄到他们控制的一个 Webhook 端点，完全绕过了 Action 日志。“ 消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 多个印度监控摄像头制造商的产品中被发现存在一个严重的安全漏洞。该漏洞可能允许攻击者无需身份验证即可访问视频流并窃取账户凭证。 美国网络安全和基础设施安全局（CISA）于2025年12月9日发布了警报，警报代码为ICSA-25-343-03。 该漏洞影响范围包括来自D-Link印度有限公司、Sparsh Securitech和Securus CCTV等厂商的设备。 漏洞详情 该漏洞被归类为“关键功能缺少身份验证”（CWE-306），已分配编号 CVE-2025-13607，其CVSS v4评分为9.3分（严重等级）。 下表概括了该漏洞的关键信息： 项目 详情 CVE编号 CVE-2025-13607 CVSS v4 评分 9.3（严重） CVSS v3 评分 9.4（严重） 漏洞类型 关键功能缺少身份验证 CWE编号 CWE-306 攻击向量 网络 该漏洞使远程攻击者能够在无需身份验证的情况下，利用一个脆弱的URL端点，从而未经授权访问敏感的摄像头配置数据，包括管理账户凭证。 已确认受影响的设备为D-Link DCS-F5614-L1摄像头型号，其固件版本为v1.03.038及更早版本。 尽管Sparsh Securitech和Securus CCTV的具体受影响型号尚未明确，但使用这些厂商摄像头的组织面临相似的风险。 攻击向量与风险 此漏洞构成了严重威胁，因为它易于通过网络访问且攻击复杂度低。恶意攻击者无需特殊权限或用户交互即可利用此漏洞，使得远程攻击者可以轻而易举地执行攻击。 成功的利用将导致信息泄露，包括摄像头账户凭证的获取，可能危及监控基础设施并使得未授权系统访问成为可能。 厂商回应与建议措施 D-Link：已为受影响设备发布了安全更新并发布了安全公告。厂商强烈敦促立即安装补丁，并强调通过比对设备界面上的固件版本来验证更新是否成功。 Sparsh Securitech 与 Securus CCTV：CISA报告称，这些厂商未回应协调请求。因此，相关组织应直接联系厂商技术支持，以确定哪些型号受影响并获取修复指导。 CISA推荐了关键的防御措施，包括： 最小化网络暴露：将摄像头与互联网隔离。 加强访问控制：将摄像头置于防火墙之后进行访问限制，并对必需的远程访问实施VPN解决方案。 进行评估：在部署防御措施前，组织应进行影响分析。 目前，CISA尚未收到该漏洞在公开领域被主动利用的报告。但由于该漏洞严重且易于利用，受影响的监控系统需要立即进行修补和安全加固，以保护印度各地的企业和关键基础设施。 消息来源：cybersecuritynews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文