Bleeping Computer 网站消息，威胁分析专家披露开放自动化软件（OAS）平台存在安全漏洞，漏洞可导致设备访问、拒绝服务和远程代码执行受到严重影响。 众所周知，OAS 平台是一个广泛使用的数据连接解决方案，它将工业设备（PLC、OPC、Modbus）、SCADA 系统、物联网、网络点、自定义应用程序、自定义 API 和数据库结合在一个整体系统下。 另外，OAS 平台还是一个灵活的多功能硬件和软件连接解决方案，能够促使来自不同供应商的专有设备和应用程序之间数据传输，并将数据连接到公司特定的产品、定制软件等。 目前，包括米其林、沃尔沃、英特尔、JBT AeroTech、美国海军、Dart Oil and Gas、General Dynamics、AES Wind Generation等在内的一些高知名度工业实体，都在使用 OAS。 鉴于 OAS 用户众多，平台中的漏洞可能会使关键工业部门面临中断和机密信息泄露的风险。 严重漏洞 根据思科 Talos 的一份报告显示，OAS 平台 16.00.0112 及以下版本容易受到一系列高危漏洞的影响，可能会带来破坏性的网络攻击。 其中最危险的 CVE-2022-26833 漏洞，严重性等级为 9.4（满分 10 分），主要涉及 OAS 中未经授权的访问和使用 REST API功能。 思科表示，REST API 旨在为“默认”用户提供对配置更改和数据查看的编程访问权限，但 Talos 研究人员能够通过发送一个带有空白用户名和密码的请求来进行身份验证。 未使用任何凭据进行身份验证 攻击者可以通过向易受攻击的端点，发送一系列特制的 HTTP 请求来利用该漏洞。 另外一个关键漏洞追踪为 CVE-2022-26082，评级为 9.1（满分 10 分），是 OAS 引擎 SecureTransferFiles 模块的一个文件写入漏洞。 据思科称，向有漏洞的端点发送一系列特制的网络请求可能导致任意远程代码执行。思科 Talos 表示，通过向 OAS 平台发送格式正确的配置消息，有可能将任意文件上传到底层用户允许的任何位置。 默认情况下，这些消息可以被发送到 TCP/58727，一旦成功，将由具有正常用户权限的用户 oasuser 处理。这种情况使得远程攻击者能够将新的 authorized_keys 文件上传到 oasuser 的 .ssh 目录中，从而可以通过 ssh 命令访问系统。 Cisco Talos 发现的其他高严重性漏洞（CVSS：7.5）如下： CVE-2022-27169：通过网络请求获得目录列表 CVE-2022-26077：针对账户凭证的信息泄露 CVE-2022-26026：拒绝服务和丢失数据链接 CVE-2022-26303和CVE-2022-26043：外部配置更改和创建新用户和安全组 针对上述漏洞，思科提供了一些缓解建议，主要包括禁用服务和关闭通信端口，如果用户不能立刻升级到较新版本，这些措施是个不错的选择。 当然，最好的修复方式还是升级到较新版本，上述两个关键漏洞已在 16.00.0.113 版本中得到修复，建议立刻升级到最新版本。   转自 FreeBuf，原文链接：https://www.freebuf.com/news/334469.html 封面来源于网络，如有侵权请联系删除

据Bleeping Computer网站5月26日消息，VMware 已在近期发布了安全更新，以解决影响 Workspace ONE Access、VMware Identity Manager (vIDM) 或 vRealize Automation 的 CVE-2022-22972 漏洞。该漏洞属于多个 VMware 产品中的一个关键身份验证绕过漏洞，能允许攻击者获得管理员权限。 随着漏洞被修补，Horizon3 安全研究人员在26日发布了针对该漏洞的概念验证 (PoC) 漏洞利用和技术分析。 研究人员表示，CVE-2022-22972是一个相对简单的主机标头漏洞，攻击者可以较为容易的开发针对此漏洞的利用。虽然Shodan 搜索引擎仅显示了有限数量的 VMware 设备受到针对此漏洞的攻击，但仍有一些医疗保健、教育行业和政府组织成为攻击目标的风险正在增加。 具有严重后果的安全漏洞 VMware曾警告：“此漏洞的后果很严重。鉴于漏洞的严重性，我们强烈建议立即采取行动。”美国网络安全和基础设施安全局 (CISA)也曾发布新的紧急指令进一步强调了此安全漏洞的严重程度，该指令命令联邦民事执行局 (FCEB) 机构紧急更新或从其网络中删除 VMware 产品。 今年4 月，VMware 修复了 VMware Workspace ONE Access 和 VMware Identity Manager 中的另外两个严重漏洞：一个远程代码执行错误 (CVE-2022-22954) 和一个root权限提升漏洞(CVE-2022-229600)。尽管 CVE-2022-22972 VMware auth bypass 尚未在野外被利用，但攻击者已能够在这两个漏洞披露的 48 小时内部署了系统后门和植入了挖矿木马。 网络安全机构表示，CISA 预计攻击者能够迅速开发出针对这些新发布的漏洞，在相同受影响的 VMware 产品中进行利用的能力。 延伸消息：博通宣布将以610亿美元收购VMware 当地时间5月26日，无线通信巨头博通公司（Broadcom）宣布，已经就收购VMware达成了协议，收购金额达到了610亿美元，并承担VMware 80亿美元的债务。一旦收购完成，博通软件部门将更名为VMware继续运营，并将现有的基础设施和安全软件解决方案与VMware产品进行整合。CNBC称，这是仅次于微软收购动视暴雪，戴尔收购EMC之后的全球第三大科技行业并购。   转自 FreeBuf，原文链接：https://www.freebuf.com/news/334457.html 封面来源于网络，如有侵权请联系删除

据The Hacker News消息，昵称为h4x0r_dz的安全研究人员在支付巨头PayPal的汇款服务中发现了一个未修补的大漏洞，可允许攻击者窃取用户账户中的资金。其攻击原理是利用点击劫持技术诱导用户进行点击，在不知不觉中完成交易，最终达到窃取资金的目的。 所谓点击劫持技术，指的是不知情的用户被诱骗点击看似无害的网页元素（如按钮），目的是下载恶意软件、重定向到恶意网站或泄露敏感信息。 而在PayPal的漏洞中，这个技术被用来完成交易。黑客利用了不可见的覆盖页面或显示在可见页面顶部的HTML元素。在点击合法页面时，用户实际上是在点击由攻击者控制的覆盖合法内容的恶意元素。 2021年10月，h4x0r_dz向PayPal报告了这一漏洞，证明攻击者可以通过利用 Clickjacking 窃取用户的资金。 h4x0r_dz是在专为计费协议设计的“www.paypal[.]com/agreements/approve”端点上发现了该漏洞。他表示，“按照逻辑，这个端点应只接受 billingAgreementToken，但在深入测试后发现并非如此，我们可以通过另一种令牌类型完成，这让攻击者有机会从受害者的 PayPal 账户中窃取资金。” 这意味着攻击者可以将上述端点嵌入到iframe中，如下图所示，此时已经登录Web浏览器的受害者点击页面的任何地方，就会自动向攻击者所控制的PayPal 帐户付款。 更令人担忧的是，这次攻击可能会对和PayPal集成进行结账的在线门户网站造成灾难性后果，从而使攻击者能够从用户的PayPal账户中扣除任意金额。 h4x0r_dz在社交平台上发布的帖子写到，“有一些在线服务可以让你使用 PayPal 将余额添加到你的帐户中，我可以使用相同的漏洞并强迫用户向我的帐户充值，或者我可以利用此漏洞让受害者为我创建/支付 Netflix帐户。” 目前，有安全专家表示，该漏洞尚未完成修复工作，用户应保持足够的警惕。   转自 Freebuf，原文链接：https://www.freebuf.com/news/334074.html 封面来源于网络，如有侵权请联系删除

Security Affairs 网站披露，思科解决了一个影响 iOS XR 软件的中等严重性漏洞，该漏洞在野外被积极利用。 近日，思科发布安全更新，解决影响 iOS XR 软件的一个中等严重程度漏洞，该漏洞被追踪为 CVE-2022-20821 （CVSS评分：6.5），分析结果显示，威胁攻击者在野外攻击中积极利用了这一漏洞。 据悉，该漏洞存在于思科 iOS XR 软件的健康检查 RPM 中，远程攻击者可以利用该漏洞，在未经认证的情况下，访问在 NOSi 容器中运行的 Redis 实例。 从思科发布的安全公告来看，漏洞之所以存在，主要是因为健康检查 RPM 在激活时默认打开 TCP 6379 端口，这时候，攻击者可以通过连接到开放端口的 Redis 实例来利用这一漏洞。 当攻击者成功利用这一漏洞后，就可以任意写内容到 Redis 内存数据库里，写任意文件到容器文件系统中，并检索有关 Redis 数据库的信息。但是，鉴于 Redis 实例运行配置的沙盒容器，远程攻击者将无法执行远程代码或滥用思科 iOS XR 软件主机系统的完整性。 漏洞其他详情 经研究发现，该漏洞主要影响安装了健康检查 RPM，并处于活动状态的思科 8000 系列路由器。至于怎样确定设备是否存在安全漏洞，用户可以发出  run docker ps CLI  命令，如果输出返回了名称为  NOSi  的 docker 容器，则该设备存在漏洞。 漏洞解决方法如下: 选项1：禁用健康检查并明确禁用用例。 选项2：使用基础设施访问控制列表（iACLs），阻止 6379 端口。 值得一提的是，思科 PSIRT 已经意识到，部分攻击者企图在野外利用这个漏洞，强烈建议客户应用合适的解决方法，或者升级到固定的软件版本，迅速补救这个漏洞，以免造成严重后果。 转自 Freebuf，原文链接：https://www.freebuf.com/news/333973.html 封面来源于网络，如有侵权请联系删除

近日，苹果发布了安全更新以解决一项新的零日漏洞，黑客可以利用该漏洞对Mac和Apple Watch设备发起攻击。 5月16日发布的安全报告中，苹果方面透露，公司已经意识到这个安全漏洞“可能正被积极利用”。 该漏洞是一项AppleAVD（音频和视频解码的内核扩展）中的越界写入问题，追踪代码为CVE-2022-22675，它允许应用程序以内核权限执行任意代码。该漏洞由匿名研究人员报告，随后苹果在macOS Big Sur 11.6、watchOS 8.6和 tvOS 15.5系统中对其修复并改进了边界检查。 受该漏洞影响的设备包括Apple Watch Series 3及更新的机型、运行macOS Big Sur的Mac、Apple TV 4K、Apple TV 4K（第2代）和Apple TV HD等。 虽然苹果公司披露了一些关于网络攻击的报告，但并没有发布任何关于这些攻击的额外信息。 外界推测，苹果公司很可能是希望通过隐瞒信息进而在攻击者发现零日漏洞的细节并将它利用于其他攻击之前，让安全更新覆盖尽可能多的Macs和Apple Watch设备。 虽然这个零日漏洞很可能只能被运用于针对性进攻，但苹果公司仍然强烈建议尽快安装macOS和watchOS的安全更新以阻止攻击企图。 2022零日漏洞一览 今年1月，苹果对另外两个被在野利用的零日漏洞进行了修补，一个漏洞使攻击者能够利用内核权限执行人任意代码（追踪编号为CVE-2022-22587），另一个漏洞使攻击者能够跟踪网页浏览活动和用户身份（追踪编号为CVE-2022-22594）。 一个月后，苹果发布了一项新的安全更新，以修补另一个零日漏洞，漏洞的追踪编号为CVE-2022-22620，被用来攻击iPhone、iPad和Macs设备，导致操作系统崩溃，并在受损的苹果设备上远程执行代码。 今年3月，英特尔图形驱动程序和AppleAVD解码器中也发现了两个活跃的零日漏洞，追踪编码分别为CVE-2022-22674和CVE-2022-22675，后者如今依旧活跃在旧版本macOS、watchOS 8.6和tvOS 15.5系统中。 这5个零日漏洞会影响iPhone（iPhone 6s及以上）、运行macOS Monterey的Mac和多种iPad型号的设备。 转自 Freebuf，原文链接：https://www.freebuf.com/news/333384.html 封面来源于网络，如有侵权请联系删除

近期，QNAP发布了几项安全公告，其中一项针对严重的安全问题，该问题允许在易受攻击的QVR系统上远程执行任意命令，该公司的视频监控解决方案托管在NAS设备上。QVR IP视频监控系统支持多重频道和跨平台视频解码，专为监控家庭和办公环境而设计。该漏洞编号为CVE-2022-27588，严重程度得分为9.8。它会影响早于5.1.6 build 20220401的QVR版本。 根据QNAP发布的公告，该漏洞会影响运行QVR的QNAP VS系列NVR。如果被利用，此漏洞允许远程攻击者运行任意命令。这种类型的安全漏洞允许攻击者在目标上执行命令以更改设置、访问敏感信息或控制设备。它甚至还可以被当成深入目标网络的踏板。正如我们过去所见，当漏洞利用公开可用时，QNAP系统中的关键漏洞几乎立即在网络攻击中被利用。 目前BleepingComputer表示已与QNAP联系，要求提供有关 CVE-2022-27588是否被积极利用的信息，并将根据公司的回应做出及时报道。 除了QVR 中的严重问题外，QNAP还解决了其他产品中的8个漏洞，严重程度介于中到高之间。 以下是修复的完整列表： CVE-2022-27588：QNAP QVR 中的严重RCE CVE-2021-38693：thttpd中的中等严重性路径遍历漏洞，影响 QTS、QuTS hero 和 QuTScloud。 CVE-2021-44055：中等严重性缺陷，允许远程访问某些 Video Station 版本中的数据。 CVE-2021-44056：中等严重性缺陷，允许远程访问某些 Video Station 版本中的数据。 CVE-2021-44057：运行 Photo Station 的 QNAP NAS 中的高危漏洞。 CVE-2021-44051：高严重性命令注入漏洞，允许在 QTS、QuTS hero 和 QuTScloud 中执行任意远程命令。 CVE-2021-44052：高严重性链接解析漏洞，允许在 QTS、QuTS hero 和 QuTScloud 中执行恶意文件操作。 CVE-2021-44053：高严重性跨站点脚本 (XSS) 漏洞，允许在 QTS、QuTS hero 和 QuTScloud 中进行远程代码注入。 CVE-2021-44054：高严重性开放重定向漏洞，允许用户重定向到 QTS、QuTS hero 和 QuTScloud 中带有恶意软件的页面。 目前，QNAP尚未提供缓解指南，因此建议您将软件更新到最新的可用版本。 转自 FreeBuf ，原文链接：https://www.freebuf.com/articles/332343.html 封面来源于网络，如有侵权请联系删除

近日，Nozomi Networks发出警告，uClibc库的域名系统 (DNS) 组件中存在一个高危漏洞，编号为CVE-2022-05-02，该漏洞将影响所有版本uClibc-ng库的域名系统（DNS），因此，数百万台使用uClibc库的物联网设备都也将受到影响。 资料显示，uClibc库专门为OpenWRT设计的一个分支，OpenWRT 是用于各种关键基础设施部门的路由器的通用操作系统。 通过该漏洞，攻击者可以进行DNS中毒或DNS欺骗攻击，并将受害者重定向到恶意网站而不是合法网站。Nozomi Networks在报告中写到，该漏洞是由库生成的DNS请求中包含的事务ID的可预测性引起，可能允许攻击者对目标设备执行DNS中毒攻击。 目前，uClibc库被广泛应用于各大厂商，包括Linksys、Netgear和Axis，或嵌入式Gentoo等Linux发行版。安全专家尚未透露该漏洞的细节，因为供应商暂时没有解决该问题。 Nozomi的研究人员通过查看物联网设备在其测试环境中执行的DNS请求跟踪发现了这个问题。他们从Wireshark 的输出中确定执行DNS请求的模式，事务ID首先是递增的，然后重置为0x2值，然后再次递增。请求的事务ID是可预测的，这种情况可能允许攻击者在某些情况下发起DNS中毒攻击。 研究人员分析了可执行文件，发现创建DNS请求的问题出现在C标准库uClibc 的0.9.33.2版本。 Nozomi报告中写到，研究人员通过源代码审查发现，uClibc库通过调用位于源文件“/libc/inet/resolv.c”中的内部“__dns_lookup”函数来实现DNS请求。鉴于交易ID的可预测性，攻击者想要利用该漏洞，就需要制作包含正确源端口的DNS响应，并赢得来自DNS服务器的合法DNS响应的竞争。由于该函数不应用任何显式源端口随机化，如果操作系统配置为使用固定或可预测的源端口，则很可能以可靠的方式轻松利用该问题。 如果操作系统使用源端口的随机化，则利用该问题的唯一方法是通过发送多个DNS响应，暴力破解16位源端口值，同时赢得与合法响应的竞争。 最后，Nozomi报告总结道，截止该报告发布时，该漏洞仍未修复。开发者似乎无法修复该漏洞，自2022年1月以来，CERT/CC 向200多家受邀参与VINCE案例的供应商披露了该漏洞，并在公开发布前30天通知他们。   转自 FreeBuf ，原文链接：https://www.freebuf.com/news/332069.html 封面来源于网络，如有侵权请联系删除

近日名为 Nimbuspwn 的漏洞组合被曝光，可以让本地攻击者在 Linux 系统上提升权限，部署从后门到勒索软件等恶意软件。微软的安全研究人员在今天的一份报告中披露了这些问题，并指出它们可以被串联起来，在一个脆弱的系统上获得 root 权限。 Nimbuspwn 存在于 networkd-dispatcher 组件，该组件用于在 Linux 设备上发送连接状态变化，目前已经以 CVE-2022-29799 和 CVE-2022-29800 进行追踪。 发现这些漏洞是从“监听系统总线上的消息”开始的，这促使研究人员审查 networkd-dispatcher 的代码流。微软研究员Jonathan Bar Or在报告中解释说，Nimbuspwn 的安全缺陷是指目录穿越、符号链接竞赛和检查时间-使用时间（TOCTOU）竞赛条件问题。 一个引起兴趣的观察结果是，networkd-dispatcher守护进程在启动时以系统的根权限运行。研究人员注意到，该守护进程使用了一种名为”_run_hooks_for_state”的方法，根据检测到的网络状态发现并运行脚本。 它使用名为 subprocess.Popen 的进程运行上述位置的每个脚本，同时提供自定义环境变量。微软的报告解释说，”_run_hooks_for_state”有多个安全问题。 ● 目录遍历（CVE-2022-29799）：流程中没有一个函数对OperationalState或AdministrativeState进行消毒。这些状态被用来建立脚本路径，因此一个状态可能包含目录遍历模式（例如”…/…/”），以逃离”/etc/networkd-dispatcher”基本目录。 ● 符号链接竞赛：脚本发现和subprocess.Popen都遵循符号链接。 ● 检查时间-使用时间（TOCTOU）竞赛条件（CVE-2022-29800）：脚本被发现和它们被运行之间有一定时间。攻击者可以滥用这个漏洞，将networkd-dispatcher认为由root拥有的脚本替换成不属于root的脚本。     转自 cnBeta，原文链接：https://www.cnbeta.com/articles/tech/1263423.htm 封面来源于网络，如有侵权请联系删除

近日 Android 设备被爆存在安全漏洞，但根源来自于苹果的无损音频编解码器（ALAC）。目前，美国市场 95% 的 Android 设备来自于高通和联发科，安全公司 Check Point 指出尚未安装 2021 年 12 月 Android Security Patch 的设备都存在“Out-of-Bounds”安全漏洞，容易被黑客控制。 该漏洞存在于 ALAC 中，它通常被称为苹果无损音频编解码器。ALAC 是苹果公司早在 2004 年就推出的一种音频格式。顾名思义，该编解码器承诺在互联网上提供无损音频。 虽然苹果公司设计了自己的 ALAC 专利版本，但存在一个开源版本，高通公司和联发科在Android智能手机中依赖该版本。值得注意的是，这两家芯片组制造商都在使用一个自 2011 年以来没有更新过的版本。 在一篇试图解释安全漏洞的博客文章中，Check Point写道： 我们的研究人员发现的 ALAC 问题可以被攻击者用来通过畸形的音频文件对移动设备进行远程代码执行攻击（RCE）。RCE 攻击允许攻击者在计算机上远程执行恶意代码。RCE 漏洞的影响范围很广，从恶意软件的执行到攻击者获得对用户多媒体数据的控制，包括从被攻击机器的摄像头中获得流媒体。 高通公司一直在用 CVE 识别标签 CVE-2021-30351 追踪该漏洞，而联发科则使用 CVE ID CVE-2021-0674 和 CVE-2021-0675。撇开技术术语不谈，开源版苹果无损检测中的漏洞可被无特权的Android应用利用，将其系统权限升级到媒体数据和设备麦克风。这基本上意味着应用程序不仅可以窃听电话交谈，还可以窃听附近的谈话和其他环境声音。 转自 cnBeta ，原文链接：https://www.cnbeta.com/articles/tech/1261179.htm 封面来源于网络，如有侵权请联系删除

区块链分析公司 Peck Shield 于周日上午发布警告称，一名攻击者设法从 Beanstalk Farms 中提取了价值约 1.82 亿美元的加密货币。据悉，作为一个旨在平衡不同加密货币资产供需的去中心化金融（DeFi）项目，攻击者利用了 Beanstalk 的“多数投票治理系统”，这也是诸多 DeFi 协议的核心功能。 扣去执行攻击所需注入的一些资金，预计黑客的“净利润”在 8000 万美元左右。不久后，Beanstalk 在一条推文中证实了这轮攻击，并声称会在调查后尽快向社区发布公告。 Beanstalk 自诩为“就与分布式信用的稳定币协议”、且运行着一套协议。参与者通过向中央资金池（筒仓 / silo）注入资金而获得奖励，而该资金池会借助 bean 代币实现币值的平衡（约 1：1 美元）。 与许多其他 DeFi 项目一样，Beanstalk 的创建者（Publius 开发团队）引入了一套治理机制，以允许参与者对代码更改进行集体投票。 然后他们将获得与其持有的代币价值成比例的投票权，但这也产生了一个明显易被别有用心的攻击者所滥用的漏洞。 截图（来自：Etherscan） 接着攻击者结合了另一款名为“闪贷”（flash loan）的 DeFi 产品，向 Beanstalk 平台发起了可在极短时间内（几分钟、甚至数秒）借入大量加密货币的行动。 原本 flash loan 旨在提供利用流动性的价格套利机会，但最新攻击已经无情地表明它也可被用于更邪恶的黑客攻击目的。 DAO 项目被阴霾深深笼罩（via Kraken） 区块链安全公司 CertiK 分析指出，Beanstalk 攻击者利用了名为 Aave 的 DeFi 协议、以借入近 10 亿美元的加密货币资产。然后将其转换为足够的 bean，以获得该项目 67% 的投票权。 凭借这一绝对多数的投票权，他们得以批准执行将资产转移到自己钱包的代码、同时立即偿还闪贷，最终获得 8000 万美元的净利润、而整个攻击过程甚至不到 13 秒。   转自 cnBeta ，原文链接：https://www.cnbeta.com/articles/tech/1259947.htm 封面来源于网络，如有侵权请联系删除