HackerNews 编译，转载请注明出处： SolarWinds 发布了安全更新，修复其 Web Help Desk 产品中存在的多个安全漏洞，其中包含四项可导致身份验证绕过及远程代码执行（RCE）的高危漏洞。 相关漏洞详情列表如下： · CVE-2025-40536（CVSS 评分：8.1）：安全控制绕过漏洞。未经认证的攻击者可借此访问某些受限制的功能。 · CVE-2025-40537（CVSS 评分：7.5）：硬编码凭证漏洞。攻击者可利用预设的“client”用户账户访问管理功能。 · CVE-2025-40551（CVSS 评分：9.8）：不可信数据反序列化漏洞。可导致远程代码执行，使未经认证的攻击者能够在主机上运行任意命令。 · CVE-2025-40552（CVSS 评分：9.8）：认证绕过漏洞。未经认证的攻击者可利用此漏洞执行特定操作与方法。 · CVE-2025-40553（CVSS 评分：9.8）：不可信数据反序列化漏洞。可导致远程代码执行，使未经认证的攻击者能够在主机上运行任意命令。 · CVE-2025-40554（CVSS 评分：9.8）：认证绕过漏洞。攻击者可利用此漏洞调用 Web Help Desk 内部的特定操作。 前三个漏洞由 Horizon3.ai 的 Jimi Sebree 发现并上报，后三个漏洞则由 watchTowr 的 Piotr Bazydlo 发现，相关贡献均已获官方确认。所有漏洞均已在其 Web Help Desk 2026.1 (WHD 2026.1) 版本中得到修复。 “CVE-2025-40551 和 CVE-2025-40553 均为高危不可信数据反序列化漏洞，” Rapid7 表示。“远程未授权攻击者可通过这两个漏洞在目标系统上实现远程代码执行，还能执行任意操作系统命令等恶意载荷。” “反序列化导致的远程代码执行是攻击者常用的高可靠攻击途径，且这两个漏洞均支持未授权利用，因此危害程度极大。” 该网络安全公司补充道，尽管 CVE-2025-40552 和 CVE-2025-40554 被归类为身份认证绕过漏洞，但同样可能被用以实现 RCE，从而产生与其他两个反序列化 RCE 漏洞同等的破坏性影响。 近年来，SolarWinds 已多次发布补丁修复 Web Help Desk 软件中的漏洞，包括 CVE-2024-28986、CVE-2024-28987、CVE-2024-28988 及 CVE-2025-26399。值得注意的是，CVE-2025-26399 修复的是 CVE-2024-28988 的补丁绕过漏洞，而 CVE-2024-28988 本身也是 CVE-2024-28986 的补丁绕过漏洞。 2024 年末，美国网络安全和基础设施安全局（CISA）已将 CVE-2024-28986 和 CVE-2024-28987 列入其“已知被利用漏洞”（KEV）目录，并指出已有确凿证据表明这些漏洞正遭在野利用。 Horizon3.ai 的 Sebree 在分析 CVE-2025-40551 的文章中描述称，该漏洞是又一个源于 AjaxProxy 功能的反序列化漏洞。 攻击者若要实现远程代码执行，需执行以下一系列操作： · 建立有效会话并提取关键值。 · 创建一个 LoginPref 组件。 · 设置该 LoginPref 组件的状态，以获取文件上传功能的访问权限。 · 利用 JSONRPC 桥接，在后台构造恶意的 Java 对象。 · 触发这些恶意 Java 对象。 鉴于 Web Help Desk 过往漏洞曾被恶意利用，相关用户需尽快将此服务台与 IT 服务管理平台升级至最新版本。   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 法国数据保护机构于周四宣布，对该国负责求职者登记、失业救济发放及就业安置帮扶的核心政府机构处以 500 万欧元（约合 600 万美元）罚款，处罚原因为该机构数据安全防护存在重大漏洞。 CNIL在新闻稿中披露，2024年初，黑客利用社会工程学手段成功入侵了法国劳工局（France Travail）的计算机系统。 此次攻击导致攻击者得以接管负责残疾人就业支持与监测的相关组织账户。黑客窃取了长达20年间在该机构登记的所有人员的个人数据，攻击者未获取求职者的健康数据，但窃取了国民保险号码、电子邮箱地址、通信地址及手机号码等信息。 CNIL指出，罚款金额的确定基于法国劳工局“漠视核心安全原则、受影响人员规模、数据处理量及数据敏感程度”。调查发现的安全漏洞包括：身份验证流程不完善、日志核查机制不足无法识别异常行为、数据访问权限过度授予。 监管机构已责令法国劳工局立即落实有效的安全管控措施。 法国劳工局在回应中表示，“我们完全意识到此次事件的严重性，并承认自身在数据保护方面负有责任。”但同时称：“尽管我们不质疑CNIL的决定，但考虑到事件发生后，我们已全力投入网络安全建设及用户数据保护工作，仍对处罚力度表示遗憾。” 消息来源: therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 多个印度监控摄像头制造商的产品中被发现存在一个严重的安全漏洞。该漏洞可能允许攻击者无需身份验证即可访问视频流并窃取账户凭证。 美国网络安全和基础设施安全局（CISA）于2025年12月9日发布了警报，警报代码为ICSA-25-343-03。 该漏洞影响范围包括来自D-Link印度有限公司、Sparsh Securitech和Securus CCTV等厂商的设备。 漏洞详情 该漏洞被归类为“关键功能缺少身份验证”（CWE-306），已分配编号 CVE-2025-13607，其CVSS v4评分为9.3分（严重等级）。 下表概括了该漏洞的关键信息： 项目 详情 CVE编号 CVE-2025-13607 CVSS v4 评分 9.3（严重） CVSS v3 评分 9.4（严重） 漏洞类型 关键功能缺少身份验证 CWE编号 CWE-306 攻击向量 网络 该漏洞使远程攻击者能够在无需身份验证的情况下，利用一个脆弱的URL端点，从而未经授权访问敏感的摄像头配置数据，包括管理账户凭证。 已确认受影响的设备为D-Link DCS-F5614-L1摄像头型号，其固件版本为v1.03.038及更早版本。 尽管Sparsh Securitech和Securus CCTV的具体受影响型号尚未明确，但使用这些厂商摄像头的组织面临相似的风险。 攻击向量与风险 此漏洞构成了严重威胁，因为它易于通过网络访问且攻击复杂度低。恶意攻击者无需特殊权限或用户交互即可利用此漏洞，使得远程攻击者可以轻而易举地执行攻击。 成功的利用将导致信息泄露，包括摄像头账户凭证的获取，可能危及监控基础设施并使得未授权系统访问成为可能。 厂商回应与建议措施 D-Link：已为受影响设备发布了安全更新并发布了安全公告。厂商强烈敦促立即安装补丁，并强调通过比对设备界面上的固件版本来验证更新是否成功。 Sparsh Securitech 与 Securus CCTV：CISA报告称，这些厂商未回应协调请求。因此，相关组织应直接联系厂商技术支持，以确定哪些型号受影响并获取修复指导。 CISA推荐了关键的防御措施，包括： 最小化网络暴露：将摄像头与互联网隔离。 加强访问控制：将摄像头置于防火墙之后进行访问限制，并对必需的远程访问实施VPN解决方案。 进行评估：在部署防御措施前，组织应进行影响分析。 目前，CISA尚未收到该漏洞在公开领域被主动利用的报告。但由于该漏洞严重且易于利用，受影响的监控系统需要立即进行修补和安全加固，以保护印度各地的企业和关键基础设施。 消息来源：cybersecuritynews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 英国连锁零售商 Co-op（合作社集团）表示，今年 4 月遭遇的网络攻击不仅导致门店货架空置，还造成客户数据被盗，最终使其营收减少 2.06 亿英镑（约合 2.74 亿美元）。 此次攻击是今年春季影响英国企业的多起重大网络安全事件之一，零售巨头玛莎百货（Marks & Spencer，简称 M&S）也在受影响之列。7 月，警方逮捕了 4 名与 Co-op、玛莎百货及哈罗德百货（Harrods）黑客攻击事件相关的人员，其中包括 1 名未成年青少年。据悉，这些黑客被认为与 “分散蜘蛛”（Scattered Spider）团伙有关 —— 该团伙是由一群年轻网络犯罪分子组成的松散组织。 在周四提交的财报中，Co-op 指出其食品业务受此次事件冲击最为严重，“由于（公司）主动将系统下线，商品库存可用性大幅下降”。事件被发现后的数周内，门店供货情况明显受影响，Co-op 首席执行官希琳・胡里 – 哈克（Shirine Khoury-Haq）曾向消费者表示，员工正 “夜以继日地工作，以保护我们的系统并推动运营恢复正常”。 该公司在财报中称：“门店虽持续营业，但受到多重因素影响：商品库存不足、竞争对手趁机抢占市场份额，以及核心交易系统与促销活动暂时无法正常运行。” 据悉，Co-op 通过断开网络连接，避免了其系统被勒索软件锁定的风险。尽管如此，该公司 650 万会员的全部数据仍在此次事件中被盗。 Co-op 表示，今年上半年，这起网络攻击造成的总利润损失达 8000 万英镑（约合 1.067 亿美元）。   消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国网络安全和基础设施安全局（CISA）披露，威胁行为者利用 GeoServer 中一个未修补的漏洞，攻破了一家美国联邦民用机构的网络。 攻击者利用的漏洞编号为 CVE-2024-36401（CVSS 评分 9.8），这是一个严重的远程代码执行（RCE）漏洞。该漏洞于 2024 年 6 月 30 日被公开，多名研究人员随后在网上发布了概念验证（PoC）利用代码。[1, 2] GeoServer 是一款开源服务器，允许用户共享和编辑地理空间数据。2024 年 7 月中旬，CISA 已将该漏洞列入其“已知被利用漏洞”（KEV）目录。 在一起事件中，该联邦文职机构的终端检测与响应（EDR）工具在 7 月 11 日检测到潜在恶意活动，CISA 随后展开应急响应调查。结果发现，攻击者早在三周前就通过该漏洞入侵了机构的 GeoServer。 根据 CISA 公布的通告：“CISA 在该联邦机构展开事件响应工作，是因为其 EDR 工具发现了潜在的恶意活动。调查发现，网络威胁行为者通过利用 CVE-2024-36401 攻陷了一个 GeoServer。在随后的三周时间里，黑客再次利用该漏洞攻入第二个 GeoServer，并横向移动至另外两台服务器。” 攻击者横向扩散至一台 Web 服务器和一台 SQL 服务器，部署了 WebShell，以及用于持久化、远程访问和提权的脚本。同时，他们还使用 “以合法工具作恶”（LOTL） 技术来规避检测。 调查显示，攻击者先用 Burp 工具扫描对外开放的 GeoServer，然后通过虚拟专用服务器（VPS）和公开工具利用该漏洞，在两台 GeoServer 上实现远程代码执行。他们通过 eval 注入上传 WebShell，创建定时任务（cron）和新账户以维持持久化，并尝试使用公开的 dirtycow 提权工具提升权限。 CISA 分享了他们总结的经验教训： 第一，漏洞未能及时修复； 第二，机构未对事件响应计划（IRP）进行测试或演练，IRP 也未能确保能及时引入第三方并授予必要权限； 第三，EDR 警报未被持续监控，部分对外系统缺乏终端防护。   消息来源：securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 思科发布了安全更新，以修复其 Cisco IOS 和 IOS XE 软件 中一个正在被利用的高危零日漏洞。 该漏洞编号为 CVE-2025-20352，源于受影响 IOS 和 IOS XE 软件中 简单网络管理协议（SNMP）子系统的栈缓冲区溢出缺陷，凡是启用 SNMP 的设备都可能受影响。 根据思科通报，经过身份验证的低权限远程攻击者可以利用此漏洞在未打补丁的设备上触发 拒绝服务（DoS）攻击。而高权限攻击者则可能通过在受影响的 Cisco IOS XE 系统上以 root 用户身份执行代码，从而获得对系统的完全控制。 思科在周三的安全公告中指出：“攻击者可以通过向受影响设备发送特制的 SNMP 数据包（可通过 IPv4 或 IPv6 网络），来利用这一漏洞。” 思科产品安全事件响应团队（PSIRT）已确认，在部分本地管理员凭据泄露后，攻击者已在野外成功利用该漏洞。思科强烈建议客户立即升级至修复版本以解决该问题。 目前，除了应用思科发布的补丁外，没有其他解决方法。思科表示，如果管理员无法立刻升级，可以暂时通过 限制 SNMP 访问仅限可信用户 来降低风险。 思科在公告中强调：“要彻底修复该漏洞并避免未来的风险，思科强烈建议客户升级到公告中指明的修复软件版本。” 除了此次零日漏洞，思科今天还修复了另外 13 个安全漏洞，其中包括两个已公开概念验证（PoC）利用代码的漏洞： CVE-2025-20240：一个 Cisco IOS XE 的反射型跨站脚本（XSS）漏洞，未经身份验证的远程攻击者可利用它从受影响设备窃取 Cookie。 CVE-2025-20149：一个拒绝服务漏洞，允许经过身份验证的本地攻击者迫使受影响设备重启。 此外，今年 5 月，思科还修复了一处 IOS XE 的最高严重等级漏洞，该漏洞影响无线局域网控制器（WLC），攻击者可利用系统内置的 硬编码 JSON Web Token (JWT)，在未经身份验证的情况下远程接管设备。 消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 位于拉斯维加斯的大型博彩公司Boyd披露，近日遭遇了一起网络安全事件，导致员工及其他部分人员的个人数据被泄露。 9月23日，Boyd公司向美国证券交易委员会（SEC）提交的8-K文件中报告了这一事件。文件显示，一名未经授权的第三方访问了其内部IT系统。 公司在文件中写道：“公司已确认，未经授权的第三方从公司的IT系统中窃取了部分数据，其中包括员工信息以及数量有限的其他个人信息。公司正在通知受影响的个人，并已或将按要求通知相关监管机构和其他政府部门。” 目前尚未披露被盗数据的具体性质，或受影响人员的数量。截至2024年底，Boyd公司共有16,129名员工。该公司在内华达州、密西西比州、伊利诺伊州、印第安纳州和路易斯安那州共拥有29家赌场和酒店。 公司表示，已在顶级网络安全专家的协助下，并与美国联邦执法部门合作，采取措施进行补救。关于事件发生的具体时间并未透露。 公司补充称，其认为此次事件不会对Boyd的财务状况或经营结果产生重大不利影响。 Boyd还表示：“公司已投保全面的网络安全保险，我们预计该保险将涵盖事件响应和取证调查相关费用，以及业务中断、法律诉讼和监管罚款（如有），但需受限于保单额度和免赔额。” 值得注意的是，2023年，另一场震动业界的事件中，拉斯维加斯的两大赌场和酒店运营商 MGM国际酒店集团和 凯撒娱乐公司在几天之内相继遭遇网络攻击。 这些勒索软件攻击被认为与“Scattered Spider”黑客组织有关，给受害公司带来了巨额成本和业务中断。     消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 阿姆斯特丹自由大学（Vrije Universiteit Amsterdam）的学术研究人员证实，在现实场景中，可利用 CPU 瞬时执行漏洞（transient execution CPU vulnerabilities）从公共云服务上运行的虚拟机（VM）中窃取内存数据。 研究表明，2018 年 1 月披露的英特尔处理器漏洞L1 终端故障（L1TF，又称 Foreshadow），以及被认为无法在新一代 CPU 上利用的 “半幽灵”（half-Spectre）漏洞组件（此前认为其无法直接泄露机密数据），二者结合后可用于从公共云环境中窃取数据。 上个月，这些研究人员发布了名为 “L1TF Reloaded” 的漏洞报告（PDF 文档）。该漏洞通过结合 L1TF 与 “半幽灵” 技术，绕过了当前广泛部署的软件防护措施，成功从谷歌云（Google Cloud）的虚拟机监控程序（hypervisor）及同一物理机上的其他租户（co-tenant）系统中窃取敏感数据。 研究人员指出：“我们基于一种新颖的‘指针追踪’技术（通过主机与客户机进行指针遍历），获取了在软件中手动执行‘二维页表遍历’所需的全部信息；借助这一能力，我们可将客户机的任意虚拟地址转换为主机物理地址，进而通过 L1TF 漏洞窃取受害者内存中的任意字节数据。” 漏洞背景与影响 L1TF 漏洞于 2018 年披露，披露当天恰逢臭名昭著的 “Spectre（幽灵）” 与 “Meltdown（熔断）” 漏洞公开。这三类漏洞的最终危害一致：攻击者可获取 CPU 在执行指令时意外访问、且已缓存到内存中的机密数据。 研究人员表示，尽管这类漏洞以往的现实影响有限（因攻击者需具备 “远程代码执行” 能力，才能触发 CPU 中的相关指令），但 “L1TF Reloaded” 的测试结果表明，公共云服务商面临的这类攻击具有实际可行性 —— 本质上，公共云服务商向客户提供的 “云服务”，相当于 “远程代码执行即服务”（remote code execution as a service）。 在云环境中，客户的虚拟化系统虽运行在同一硬件上，但彼此应被视为 “不可信对象”，因此需要针对 “Spectre” 等瞬时执行漏洞部署所有合理的防护措施。 攻击测试与结果 研究人员在谷歌云的 “单租户节点”（sole-tenant node，指仅分配给单个客户使用的物理服务器）上开展测试，结果显示：在 “高干扰环境”（noisy conditions）下，即便对主机或客户机的细节一无所知，仍能窃取目标虚拟机中 Nginx 服务器的 TLS 密钥，平均耗时 14.2 小时。 此次攻击的核心逻辑是：针对 Linux 系统 KVM（基于内核的虚拟机）子系统中的 “半幽灵” 漏洞组件，通过 “推测执行”（speculative execution）将内存中的数据加载到 L1 缓存中，随后利用 L1TF 漏洞从 L1 缓存中窃取这些机密数据。 具体而言，攻击者可从恶意虚拟机出发，实现三层数据窃取： 从主机操作系统（host OS）中窃取数据，识别该物理机上运行的其他虚拟机； 从目标客户机操作系统（guest OS）中窃取数据，了解目标虚拟机上正在运行的进程； 最终从目标虚拟机的 Nginx 服务器中窃取私有 TLS 密钥。 研究人员还在亚马逊云（AWS）上进行了相同攻击测试，但由于 AWS 部署了深度防御机制，最终仅能窃取非敏感的主机数据，无法获取核心敏感信息。 奖励与防护建议 谷歌为研究人员提供了测试所需的 “单租户节点”，并向其颁发了 151,515 美元奖金 —— 这是谷歌云漏洞奖励计划（Google Cloud VRP）的最高级别奖励，谷歌方面同时指出，这也是该计划首次发放此级别奖金。 研究人员强调：“我们的攻击表明，若仅针对单个瞬时执行漏洞进行孤立防护，效果十分有限 —— 攻击者可通过组合利用多个漏洞，不仅能绕过现有防御措施，还能构建更具破坏力的攻击原语（attack primitives）。而以下防护措施可有效阻止此类攻击：AWS 已部署的‘跨页表防护（XPFO）’与‘进程本地内存’机制，以及业内提议的‘地址空间隔离’或‘无机密数据虚拟机监控程序’方案。”   消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 三家主流网络安全解决方案提供商已决定不参与 MITRE（米特雷公司）2025 年度的终端检测与响应（EDR）解决方案年度测试。 微软于 6 月宣布将不参与 “MITRE Engenuity ATT&CK 评估：2025 企业版” 测试，随后在 9 月 12 日，SentinelOne 与帕洛阿尔托网络公司（Palo Alto Networks）也确认将退出今年的该测试。 这些决定引发了网络安全界对该评估项目未来走向及相关性的担忧。此举尤为出人意料，因为这三家均为行业内的主流厂商，且在 2024 年的测试中表现优异 —— 微软的解决方案位列榜首，SentinelOne 排名第五，帕洛阿尔托排名第十二。 值得注意的是，微软的退出决策更显意外：就在 2024 年 12 月，该公司还曾利用其在 MITRE 测试中的排名，推广旗下解决方案 Microsoft Defender XDR。 有趣的是，三家公司为退出测试给出的理由如出一辙，均表示希望将重点优先放在产品开发与创新上。 然而，专家指出，背后可能还存在其他因素，例如该测试正逐渐被视为 “宣传工具”，而非能真正推动安全能力提升的评估机制。 《信息安全》（Infosecurity）杂志采访了 MITRE 首席技术官兼 MITRE 实验室高级副总裁查尔斯・克兰西（Charles Clancy）。克兰西分享了该评估测试的发展演变细节，或许能为理解厂商退出决策（2025 年测试结果将于 12 月公布）提供参考。 一、ATT&CK 评估：企业版的背景 MITRE 公司是总部位于美国的非营利组织，运营着多个网络安全项目，其中部分项目是受美国政府委托开展。 2015 年，MITRE 推出 ATT&CK 框架，该框架迅速成为网络安全行业的标准工具，用于梳理现实世界中网络攻击者的技术、战术与流程（TTPs）。 克兰西表示，2019 年 MITRE ATT&CK 启动首个评估项目，旨在 “填补安全测试市场的空白”。 他解释道：“当时市场上已有多种网络安全产品第三方测试，但每种测试都有自己的流程和评分方法，导致结果不一致且缺乏严谨性，无法推动行业进步。” “MITRE Engenuity ATT&CK 评估：企业版” 是所有评估测试中最常规的一项，自启动以来每年举办一次。 CrowdStrike 公司工程总监伊加尔・戈夫曼（Igal Gofman，曾任职于微软和 Tenable，担任安全研究员）在领英（LinkedIn）帖子中称，该测试堪称 “网络安全界的奥运会”。 克兰西向《信息安全》透露，MITRE 网络安全业务板块共有 1000 名工作人员，其中 133 人专职负责 MITRE ATT&CK 相关工作，而参与评估测试的人员有 12 至 15 人。 每年，测试项目团队会根据 ATT&CK 框架中梳理的攻击者 TTPs，从多个真实攻击者案例中选取一个或多个，以及对应的攻击链作为测试场景。 随后，他们使用 MITRE 自研的自动化攻击者模拟平台 Caldera，对参与厂商的 EDR 解决方案进行模拟攻击测试，并依据多项标准评分，包括检测结果、误报率（假阳性）与漏报率（真阴性）等。 尽管该测试可用于对比不同 EDR 解决方案的有效性，但克兰西强调，不应将其视为 “纵向基准”，因为每年的测试内容与前一年存在显著差异。 他表示：“我们希望通过测试传递的核心理念是，评估单一产品对特定威胁攻击者的检测能力。每年模拟不同的攻击者，对于了解各类新兴威胁至关重要。” 二、2024 与 2025 年测试详情 2024 年的 “MITRE ATT&CK 评估：企业版” 中，测试团队模拟了三类攻击者的行为： 与朝鲜相关的已知黑客组织：涉及 7 类战术中的 14 项技术； CL0P 勒索软件团伙：涉及 7 类战术中的 16 项技术； LockBit 勒索软件团伙：涉及 11 类战术中的 31 项技术。 作为 EDR 领域的头部厂商之一，CrowdStrike 并未参与 2024 年的测试。CrowdStrike 某 Reddit 子论坛上有一名自称该公司员工的用户表示，评估测试的时间恰好在 7 月 19 日该公司 EDR 产品全球宕机事件后不久，这可能是其退出的原因。 2024 年测试中，微软、ESET 与 Cybereason 位列前三，紧随其后的是 ThreatDown、SentinelOne 与 Bitdefender。 克兰西承认，每年参与测试的厂商会有变化，但他强调 “回头客” 仍占多数，厂商对测试的信任度总体稳定。 三、厂商为何退出 MITRE 测试？ 然而，今年（结果预计 12 月公布）的测试将缺少三家关键厂商：微软、SentinelOne 与帕洛阿尔托网络公司。 6 月 13 日，微软宣布不参与今年测试，称该决策 “能让我们将所有资源集中在‘安全未来计划’（Secure Future Initiative）上，并为客户交付产品创新成果”。 9 月 12 日，SentinelOne 与帕洛阿尔托发布了类似声明： SentinelOne 表示，希望 “将产品与工程资源优先投入以客户为中心的项目，同时加快平台路线图推进”； 帕洛阿尔托则解释，该决策 “能让我们进一步加速关键平台创新，直接应对客户最紧迫的安全挑战，并更快速地响应不断演变的威胁态势”。 《信息安全》杂志试图联系三家公司获取更多评论，其中 SentinelOne 与帕洛阿尔托拒绝进一步置评，微软则未回应采访请求。 不过，MITRE 的克兰西表示，他与这三家厂商保持着密切沟通，并认为自己了解他们退出的深层原因： 首先，正如厂商在声明中提及的，参与 MITRE ATT&CK 评估项目需要投入大量资源 —— 这意味着用于测试的时间和人力，会占用其他项目的资源。 其次，克兰西指出，测试团队每年都会努力提高测试难度，他坦言今年可能 “用力过猛”。 他解释道：“为了推动整个行业进步，我们每年都会设计比前一年更难的测试。因为测试能为厂商提供机会：准备测试时升级产品，拿到结果后进一步优化。但有时，我们确实没能把握好难度平衡。” ManageEngine 公司终端安全产品高级产品经理维沙尔・桑塔拉姆（Vishal Santharam）在接受《信息安全》采访时，进一步阐释了克兰西的观点。 他提到：“2024 年，MITRE 开始在评估中统计警报数量，这对厂商来说始终是个难题 —— 需要精准调整警报机制。警报越多，安全人员的‘警报疲劳’就越严重。” 桑塔拉姆此处引用的是弗雷斯特研究公司（Forrester）一份基于警报数量解读 2024 年 MITRE 企业版评估的报告。 此外，桑塔拉姆指出，2025 年企业版评估纳入了 “云环境” 场景，“这是未经测试的新领域，需要厂商投入更多精力应对”。 最后，克兰西向《信息安全》透露，过去团队每年都会举办 “厂商论坛”，为 “MITRE ATT&CK 评估：企业版” 测试做准备。 他承认：“这个论坛每年都有助于我们与行业合作确定测试目标，但在过去几年里，论坛逐渐停办了。” CrowdStrike 的戈夫曼则在领英上直言，MITRE 评估测试最初是衡量安全解决方案的优秀举措，但近年来已沦为 “厂商表演秀”。 他表示：“厂商投入巨额资源，只为赢得公关优势，而非实现真正的安全提升。加之 MITRE 和美国网络安全与基础设施安全局（CISA）面临预算削减与调整压力，部分厂商可能认为这是退出的好时机。” 他补充道：“基于 TTP 的测试理念仍有价值，但如今的测试方式已逐渐过时、过度聚焦终端，且与现实威胁脱节，价值大不如前。” 漏洞检测公司 VulnCheck 的漏洞研究员帕特里克・加里蒂（Patrick Garrity）也认同这一观点。他在另一条领英帖子中表示：“听起来，这种基准测试活动已变成巨大的干扰 —— 厂商为了宣传曝光，牺牲了打造更优质产品的精力。” 尽管存在这些担忧，克兰西仍确认，已有 12 家网络安全厂商确认参与 2025 年的测试。 四、MITRE 计划 2026 年重启厂商论坛 克兰西向《信息安全》透露，团队计划在 “2026 年 MITRE ATT&CK 评估：企业版” 测试前，重新举办厂商论坛。 他表示：“我们已着手准备，为 2026 年测试重启这一论坛。” 在 SentinelOne 与帕洛阿尔托宣布退出 2025 年测试后，克兰西于 9 月 18 日在领英上发布帖子，公开了这一计划。 桑塔拉姆也向《信息安全》表示，ManageEngine 正在研发一款 EDR 解决方案，并计划参与 2026 年的 “MITRE Engenuity ATT&CK 评估：企业版”。 他介绍：“ManageEngine 的‘高级反恶意软件’与‘下一代杀毒软件’产品，首次参与测试便获得了 AV-Comparatives（国际权威杀毒软件测试机构）认证。该解决方案为我们下一代 EDR 产品奠定了基础，同时能提供全面的恶意软件与勒索软件防护。” “我们还在为参与即将到来的‘Gartner 终端保护平台（EPP）魔力象限’评估与 MITRE ATT&CK 测试做准备。这些独立评估不仅能证明我们技术的稳健性与可靠性，也能帮助客户建立对我们 EDR 能力的信心。”   消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全公司SonicWall 敦促客户在影响MySonicWall 帐户的安全漏洞中暴露防火墙配置备份文件后重置凭据。 该公司表示，近期检测到针对防火墙云备份服务的可疑活动，未知威胁行为者访问了约5%客户存储在云中的备份防火墙偏好设置文件。 “虽然文件中的凭证经过加密，但其中包含的信息可能让攻击者更容易利用相关防火墙。”该公司强调此次事件并非针对其网络的勒索软件攻击，目前未发现任何文件被威胁行为者在线泄露。“这是一系列旨在获取备份偏好设置文件的暴力攻击，可能被威胁行为者进一步利用。”目前尚不清楚攻击者身份。 该公司建议客户立即采取以下措施： 第一，登录com验证是否启用云备份。 第二，检查账户中受影响序列号是否被标记。 第三，通过限制WAN服务访问、关闭HTTP/HTTPS/SSH管理、禁用SSL VPN和IPSec VPN、重置防火墙保存的密码和动态令牌（TOTP），以及审查日志和近期配置变更来启动遏制修复程序。 此外，还建议受影响客户将SonicWall提供的新首选项文件导入防火墙。新的首选项文件包含以下变更： 所有本地用户密码随机化 重置动态令牌绑定（如已启用） IPSec VPN密钥随机化 公司还发出以下通知：“SonicWall提供的修改版偏好设置文件基于云存储中的最新文件创建。若该文件不符合您的设置需求，请勿使用。” 此次事件披露之际，隶属Akira勒索软件组织的威胁行为者持续利用已存在一年的安全漏洞（CVE-2024-40766，CVSS评分：9.3） targeting未修复的SonicWall设备获取初始网络访问权限。 本周，网络安全公司Huntress详细披露了一起涉及SonicWall VPN漏洞的Akira勒索软件事件：威胁行为者利用包含其安全软件恢复代码的明文文件绕过多因素认证（MFA），压制事件可见性，并试图移除端点防护。 “此次事件中，攻击者使用暴露的Huntress恢复代码登录门户，关闭活动警报并卸载EDR代理，有效的蒙蔽企业防御系统使其易受后续攻击。”研究人员迈克尔·埃尔福德和查德·哈德森表示，“此类访问权限可被武器化以禁用防御、操纵检测工具并执行恶意操作。企业应将恢复代码视为与特权账户密码同等敏感的凭证。”   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文