HackerNews 编译，转载请注明出处： Zoom与施乐（Xerox）已修复其Windows客户端和FreeFlow Core中的高危安全漏洞，这些漏洞可能导致权限提升及远程代码执行。 影响Zoom Windows客户端的漏洞（CVE-2025-49457，CVSS评分9.6）涉及非可信路径搜索问题，可能引发权限提升。Zoom在周二的安全公告中表示：“特定Zoom Windows客户端的非可信路径搜索漏洞，或导致未认证攻击者通过网络访问实现权限提升。”该漏洞由Zoom内部攻防安全团队发现，影响以下产品： Zoom Workplace for Windows 6.3.10之前版本 Zoom Workplace VDI for Windows 6.3.10之前版本（6.1.16和6.2.12除外） Zoom Rooms for Windows 6.3.10之前版本 Zoom Rooms Controller for Windows 6.3.10之前版本 Zoom Meeting SDK for Windows 6.3.10之前版本 同时，施乐FreeFlow Core披露了多个漏洞，其中最严重的可导致远程代码执行。这些问题已在8.0.4版本中修复，包括： CVE-2025-8355（CVSS评分7.5）：XML外部实体注入（XXE）漏洞，可触发服务端请求伪造（SSRF） CVE-2025-8356（CVSS评分9.8）：路径遍历漏洞，可引发远程代码执行 安全公司Horizon3.ai指出：“这些漏洞利用门槛低，一旦被利用，攻击者可在受影响系统上执行任意命令、窃取敏感数据，或尝试横向渗透企业环境扩大攻击范围。”研究员吉米·塞布里解释称，CVE-2025-8355源于处理作业消息格式（JMF）的二进制文件（jmfclient.jar）未对XML外部实体进行清理或限制，导致攻击者可构造特殊请求实施SSRF攻击；而CVE-2025-8356则因XML解析程序对文件上传类JMF命令处理不当，使得攻击者能通过构造HTTP请求将Web Shell植入公开可访问路径。“虽然4004端口的服务本身无法提供执行该文件的功能，但主Web门户具备执行和传递恶意负载的全部能力。”       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软2025年8月补丁星期二安全更新修复了旗下产品逾百个安全漏洞。本月修补的漏洞均未发现野外利用迹象，但权限提升漏洞CVE-2025-53779已被公开披露。 12个漏洞被标记为“严重”级别，其中多数实际CVSS评分为高危。例外的是Windows GDI+组件远程代码执行漏洞CVE-2025-53766，其CVSS评分达9.8。趋势科技零日计划（ZDI）分析指出，该漏洞可通过诱使用户访问恶意网站或打开恶意文档触发。“最坏情况是攻击者通过广告网络投放恶意内容。广告拦截器不仅过滤骚扰内容，还能防范此类攻击——虽属罕见，但确有先例。”ZDI研究员达斯汀·查尔兹解释，“鉴于GDI+涉及众多组件（且用户易误点内容），建议尽快测试部署补丁。” 另一CVSS满分漏洞CVE-2025-50165影响Windows图形组件，同样允许远程代码执行，需用户查看特制图片才能触发。微软将其评定为“重要”级别。其他高危漏洞包括可通过预览窗格触发的Office远程代码执行漏洞（CVE-2025-53740、CVE-2025-53731），以及SharePoint远程代码执行漏洞CVE-2025-49712——ZDI指出该漏洞与近期ToolShell攻击链利用的漏洞高度相似。 微软标记为“严重”的漏洞还包含：Hyper-V的多个漏洞（信息泄露、欺骗攻击及远程代码执行）、Azure Stack Hub信息泄露漏洞。微软评估这些漏洞“利用可能性较低”或“不太可能被利用”，预计不会出现野外攻击。 Adobe同期发布补丁星期二更新，修复涉及十余款产品的近70个CVE漏洞。       消息来源： securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 本月上旬，针对Fortinet SSL VPN的暴力破解攻击出现大规模激增，随后攻击目标转向FortiManager，这种有预谋的转向在历史上往往预示着新漏洞即将被披露。 威胁监测平台GreyNoise检测到此次攻击活动呈现两波高峰：8月3日的攻击针对FortiOS SSL VPN设备，而8月5日的第二波攻击则转向FortiManager服务，且具有不同的TCP流量特征。该平台指出，此类针对性扫描与暴力破解行为在80%的情况下会先于新安全漏洞曝光出现。 “最新研究表明，此类活动激增通常预示着同一厂商的新漏洞即将披露——其中80%会在六周内公开，”GreyNoise警告称，“事实上，监测数据明确显示，当前攻击流量特征与未来Fortinet产品漏洞披露存在显著关联。”因此，防御者不应将这些活动激增视为对已修复漏洞的无效攻击尝试，而应将其视为零日漏洞披露的前兆，并立即强化安全措施予以拦截。 攻击活动时间线 8月3日：GreyNoise监测到针对Fortinet SSL VPN的暴力破解尝试激增，该活动与早前持续攻击存在关联。通过JA4+指纹分析（一种加密流量识别分类技术），研究人员将此次攻击与6月的活动相关联——当时攻击源自住宅ISP提供商Pilot Fiber公司IP段内的一台FortiGate设备。“这种关联虽不能确认攻击来源，但表明攻击工具或网络环境可能存在复用。”GreyNoise在公告中说明。 8月5日：同一攻击者发起新一波暴力破解活动，目标从FortiOS SSL VPN端点转向FortiManager的FGFM服务。“8月3日的流量针对FortiOS配置文件，而8月5日起携带特定TCP与客户端签名（元特征）的流量不再攻击FortiOS，转而持续针对我们的FortiManager系统，”研究人员解释道。这一转变表明攻击者可能使用相同工具或基础设施，从VPN登录破解转向FortiManager访问破解。 恶意IP地址清单 以下参与攻击的IP地址应加入拦截名单： 31.206.51.194 23.120.100.230 96.67.212.83 104.129.137.162 118.97.151.34 180.254.147.16 20.207.197.237 180.254.155.227 185.77.225.174 45.227.254.113 防御建议 GreyNoise强调该恶意活动正持续进化，其攻击源集群极可能进行自适应测试。这类行为不同于通常范围更广、频率有限的研究性扫描，因其涉及凭证暴力破解，已构成明确的入侵企图。防御方需采取以下措施： 立即拦截上述IP地址 强化Fortinet设备登录防护 严格限制外部访问权限，仅允许受信IP范围及VPN接入       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 宾夕法尼亚州总检察长办公室向居民发出警告：因遭受网络攻击，其电子邮件和电话线路已陷入瘫痪。该机构于周一下午发布声明称正在调查事件原因并努力恢复服务。截至周三上午，其官方网站仍无法访问。 总检察长戴夫·桑迪在社交媒体表示：“这是非常令人沮丧的状况，但所有人都在全力以赴。我感谢信息技术团队的专业精神和奉献精神，他们正全天候工作以解决问题。通过与执法伙伴协作，我们将竭力恢复系统。无论遇到何种阻碍，保护宾夕法尼亚州民众的工作不会停止。”声明强调，尽管遭受攻击，检察官们仍在持续推进案件处理。桑迪于去年秋季胜选后，今年1月正式就任该职。 此次警告发布前一个月，知名网络安全专家凯文·博蒙特公开表示，他在全网扫描暴露的Citrix NetScaler设备时，发现两台与宾州总检察长办公室关联的设备存在CVE-2025-5777漏洞（俗称CitrixBleed 2）及其他相关缺陷。Citrix NetScaler设备用于保障网站与应用的高效访问，其网关功能支持员工远程接入企业内网。 自CVE-2025-5777及编号为CVE-2025-5349、CVE-2025-6543的漏洞上月曝光以来，相关设备已遭大规模攻击。博蒙特提供的证据显示，这两台暴露在互联网的漏洞设备后被移出网络。总检察长办公室虽向媒体提供了临时联系邮箱，但未回应关于攻击是否通过NetScaler设备发起的质询。博蒙特指出，涉事设备在过去一周半内陆续下线。 本周一，荷兰国家网络安全中心发布紧急警报，称黑客仍在持续针对Citrix NetScaler产品发起攻击，并已通过相关漏洞成功入侵荷兰多家关键基础设施机构。两周前，荷兰官员证实该国公共检察署（职能相当于美国司法部）受此波攻击影响，加勒比地区多个仍与荷兰关联的岛国法院系统也遭波及。 美国司法系统持续面临多重网络威胁。据《纽约时报》周二报道，俄罗斯被怀疑是联邦法院文件系统遭入侵事件的幕后黑手。今年早些时候，弗吉尼亚州总检察长办公室二月遭遇未公开细节的网络攻击；克利夫兰市法院因网络安全事件关闭数日；华盛顿州法院系统亦于2024年11月报告数据泄露。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 去年因供应链攻击被植入Linux发行版的XZ Utils高危后门，至今仍在DockerHub上潜伏。数十个公开镜像携带此漏洞，并污染了基于它们构建的容器。 Binarly研究团队的安全研究人员警告称，他们在DockerHub上发现超过35个仍公开的基础镜像携带臭名昭著的XZ Utils后门——该漏洞被评为最高危险等级（CVSS 10.0）。攻击者可利用此漏洞获取远程管理员权限，完全控制系统。 许多Linux网络项目可通过单条Docker命令部署，仅需单个YAML配置文件。这些在GitHub共享的模板若指定了含漏洞的操作系统版本，将导致整个项目被攻陷。研究人员强调：“任何基于受感染发行版构建的Docker镜像均会被污染。” 报告指出：“我们发现部分受感染镜像仍在Docker Hub公开。更令人担忧的是，其他镜像基于这些被感染的基础镜像构建，形成传递性感染。”已识别的12个基础镜像包含2024年3月发布的各类Debian版本（含实验版、不稳定版及未标记版本）。研究人员尚未检测基于这些漏洞系统的二级DockerHub镜像。 报告称：“目前尚不清楚Fedora、OpenSUSE等受XZ Utils后门影响的发行版所构建的Docker镜像情况。”许多二级、三级镜像可能被用于个人应用乃至企业环境，这些场景通常优先稳定性而非最新系统版本。 尽管漏洞已公开披露，含XZ Utils后门的Docker镜像仍将存留于DockerHub。维护者在GitHub解释：“类似20240311的旧版镜像不再支持。它们永远不会更新，仅作为历史存档存在。用户应选用更新的镜像。” XZ Utils后门于去年曝光，引发网络安全界震动。该后门由开发者Jia Tan植入，其通过两年持续贡献在项目中建立信誉。多个主流Linux发行版分发了恶意软件包，使其成为史上最大软件供应链攻击之一。事件促使网络安全机构发布公告，Linux供应商迅速将受影响软件包回退至旧版。然而，此时损害已然造成。 Binarly研究报告总结：“我们的发现印证了即使短暂存在的后门构建版本，也可能在容器注册表中长期未被察觉并持续存在。”       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 荷兰国家网络安全中心（NCSC-NL）警告称，攻击者正利用近期曝光的Citrix NetScaler ADC高危漏洞CVE-2025-6543入侵该国组织。该漏洞CVSS评分为9.2分，当设备配置为网关（VPN虚拟服务器、ICA代理、CVPN、RDP代理）或AAA虚拟服务器时，可引发非预期控制流及拒绝服务（DoS）。 监测显示，荷兰多家关键机构已遭利用此漏洞的攻击。调查发现攻击者自2025年5月初（即漏洞公开前近两个月）就已将其作为零日漏洞利用，并通过清除痕迹掩盖入侵行为。7月16日发现的攻击活动中，黑客在Citrix设备上植入恶意WebShell以获取远程控制权限。 漏洞修复与缓解措施 Citrix已于6月下旬发布安全更新，受影响版本包括： NetScaler ADC与Gateway 14.1早于14.1-47.46的版本 13.1早于13.1-59.19的版本 13.1-FIPS及NDcPP早于13.1-37.236-FIPS的版本 升级后需执行以下命令终止会话： kill icaconnection -all kill pcoipConnection -all kill aaa session -all kill rdp connection -all clear lb persistentSessions 威胁关联与响应建议 NCSC-NL判定攻击者具备高度技术能力。该漏洞与另一高危漏洞CVE-2025-5777（CVSS 9.3分）均被列入美国CISA已知漏洞目录。机构建议： 立即扫描NetScaler系统目录中非常规.php扩展名文件 核查新增账户权限，重点关注特权提升异常 通过NCSC-NL提供的脚本检测入侵痕迹 荷兰当局强调，未及时修补的系统可能面临持续勒索软件攻击及数据泄露风险，特别是医疗、金融等关键基础设施领域。       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： WinRAR文件压缩工具的维护者已发布更新，修复一个被积极利用的零日漏洞。该漏洞编号为CVE-2025-8088（CVSS评分：8.8），被描述为影响该工具Windows版本的路径遍历缺陷，攻击者可制作恶意存档文件利用该漏洞实现任意代码执行。 WinRAR在公告中表示：“解压文件时，旧版WinRAR（包括Windows版RAR、UnRAR、便携式UnRAR源代码及UnRAR.dll）可能被诱骗采用特制存档中定义的路径，而非用户指定路径。”ESET研究人员Anton Cherepanov、Peter Košinár和Peter Strýček因发现并报告该安全缺陷获得致谢，漏洞已在2025年7月31日发布的WinRAR 7.13版中修复。 目前尚不清楚该漏洞在真实攻击中如何被武器化及攻击者身份。2023年，另一个WinRAR漏洞（CVE-2023-38831，CVSS评分：7.8）曾遭中俄多股威胁力量大量利用，包括零日攻击。俄罗斯网络安全供应商BI.ZONE上周报告称，有迹象表明被追踪为Paper Werewolf（又名GOFFEE）的黑客组织可能同时利用了CVE-2025-8088和CVE-2025-6218（2025年6月修复的WinRAR Windows版目录遍历漏洞）。值得注意的是，攻击发生前，2025年7月7日，名为“zeroplayer”的威胁行为体在俄语暗网论坛Exploit.in上以8万美元标价兜售所谓的WinRAR零日漏洞利用程序。怀疑Paper Werewolf组织可能购得该利用程序并发动攻击。 WinRAR在针对CVE-2025-6218的警报中说明：“旧版WinRAR及相关组件中，包含任意代码的特制存档可在解压过程中操控文件路径。利用此漏洞需用户交互，可能导致文件写入预期目录之外。攻击者可借此将文件植入敏感位置（如Windows启动文件夹），最终可能导致系统下次登录时意外执行代码。”据BI.ZONE描述，攻击者于2025年7月通过携带陷阱存档的网络钓鱼邮件针对俄罗斯组织，触发CVE-2025-6218及可能的CVE-2025-8088漏洞，实现非目标目录文件写入和代码执行，同时向受害者展示诱饵文档作为干扰。 BI.ZONE解释：“漏洞成因在于创建RAR存档时可包含含相对路径的备用数据流文件。这些数据流可携带任意有效载荷。解压此类存档或直接从存档打开附件时，备用数据流会被写入磁盘任意目录，形成路径遍历攻击。”该漏洞影响WinRAR 7.12及更早版本，7.13版已彻底修复。 攻击中使用的恶意负载之一是.NET加载程序，其设计目的是将系统信息发送至外部服务器并接收加密.NET程序集等额外恶意软件。BI.ZONE补充：“Paper Werewolf使用C#加载程序获取受害者计算机名，将其嵌入生成链接发送至服务器以获取有效载荷。该组织通过反向Shell中的套接字与控制服务器通信。” RomCom组织同步利用漏洞 斯洛伐克安全公司ESET观察到亲俄组织RomCom将CVE-2025-8088作为零日漏洞利用，这是该组织继CVE-2023-36884（2023年6月）、CVE-2024-9680和CVE-2024-49039（2024年10月）后第三次使用零日漏洞。研究人员确认：“成功利用尝试投放了RomCom组织使用的多种后门，包括SnipBot变种、RustyClaw和Mythic代理。此轮攻击针对欧洲和加拿大的金融、制造、国防及物流企业。” 攻击利用的恶意存档包含一个良性文件及多个用于路径遍历的备用数据流（ADS）。邮件使用简历主题诱骗收件人打开附件。解压存档会触发恶意DLL执行，同时攻击者在Windows启动目录设置快捷方式（LNK）文件实现用户登录时持久化。该DLL负责解密嵌入式Shellcode，为后续部署Mythic代理（SnipBot/SingleCamper变种）和RustyClaw铺路。RustyClaw会获取并执行另一有效载荷——名为MeltingClaw（又名DAMASCENED PEACOCK）的下载器，该程序曾用于投放ShadyHammock或DustyHammock后门。 ESET表示，尽管遥测数据显示无目标沦陷，但此事表明RomCom已持续进化为能吸纳零日漏洞进行定向攻击的成熟威胁力量。“通过利用WinRAR未知零日漏洞，RomCom组织证明其愿投入大量精力和资源开展网络行动。攻击目标行业符合亲俄APT组织的典型利益版图，暗示行动存在地缘政治动机。” 7-Zip修复任意文件写入漏洞 本次披露恰逢7-Zip修复安全漏洞（CVE-2025-55188，CVSS评分：2.7），该漏洞因工具处理符号链接的方式可能被滥用于任意文件写入，进而导致代码执行。问题已在25.01版修复。在可能的攻击场景中，威胁行为体可利用该漏洞篡改敏感文件（如覆盖用户SSH密钥或.bashrc文件）实现未授权访问或代码执行。攻击主要针对Unix系统，但满足额外条件时也可适配Windows。安全研究员“lunbun”指出：“Windows系统上，7-Zip解压进程需具备创建符号链接的权限（例如使用管理员权限解压、Windows处于开发者模式等）。”       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一种新型攻击技术可操控全球数千台公共域控制器（DC）组建恶意僵尸网络，用于发动高威力分布式拒绝服务（DDoS）攻击。该技术被SafeBreach研究人员奥尔·亚伊尔（Or Yair）和沙哈克·莫拉格（Shahak Morag）命名为Win-DDoS，并于今日在DEF CON 33安全大会上公布研究成果。 亚伊尔和莫拉格在报告中指出：“分析Windows轻量级目录访问协议（LDAP）客户端代码时，我们发现其转介流程存在重大缺陷。攻击者可操纵该流程，诱导域控制器向目标服务器发送海量请求致其瘫痪。”他们进一步解释：“由此开发的Win-DDoS技术，能让黑客无需任何成本且不留痕迹地操控全球数万台公共域控制器，组建具备巨大算力和带宽的恶意僵尸网络。” 攻击核心机制 该技术无需代码执行或凭证即可将域控制器转化为DDoS武器，使Windows平台同时成为受害者和攻击载体。攻击流程分为四步： 攻击者向域控制器发送RPC调用，触发其成为CLDAP客户端； 域控制器向攻击者的CLDAP服务器发送请求，服务器返回转介响应，指示域控制器切换至TCP协议连接攻击者的LDAP服务器； 域控制器通过TCP向攻击者的LDAP服务器发送查询； 攻击者的LDAP服务器返回包含超长转介URL列表的响应，所有URL均指向目标服务器的同一IP和端口。 研究人员说明：“当TCP连接因目标服务器过载而中断后，域控制器会继续访问列表中指向同一服务器的下一个URL。此过程循环直至遍历完整个列表，形成创新的Win-DDoS攻击链。” 技术优势与危害 Win-DDoS的核心威胁在于其具备高带宽攻击能力，且攻击者无需购买专用基础设施或入侵设备，可完美隐藏行踪。深入分析LDAP客户端转介流程还发现： 利用转介列表长度无限制及堆内存未释放的设计缺陷，发送超长列表可导致LSASS服务崩溃、系统重启或触发蓝屏死机（BSoD）； 处理客户端请求的传输无关代码中存在三个新型零点击、无需认证的拒绝服务（DoS）漏洞，可瘫痪域控制器； 另有一个漏洞允许域内任何认证用户崩溃域控制器或Windows主机。 相关漏洞清单 研究披露的四项漏洞均属“不受控资源消耗”类型： CVE-2025-26673（CVSS 7.5）：Windows LDAP服务漏洞，未授权攻击者可实施网络级拒绝服务（2025年5月修复） CVE-2025-32724（CVSS 7.5）：Windows LSASS服务漏洞，未授权攻击者可实施网络级拒绝服务（2025年6月修复） CVE-2025-49716（CVSS 7.5）：Windows Netlogon服务漏洞，未授权攻击者可实施网络级拒绝服务（2025年7月修复） CVE-2025-49722（CVSS 5.7）：Windows打印后台程序漏洞，相邻网络认证攻击者可实施拒绝服务（2025年7月修复） 打破安全假设 这些发现与今年1月披露的LdapNightmare漏洞（CVE-2024-49113）共同揭示：Windows系统存在可瘫痪企业运营的盲点。研究人员强调：“这些漏洞均为零点击、无需认证型，攻击者能远程崩溃公开暴露的系统。即使仅获得内部网络最低权限，也能对私有基础设施造成同等破坏。”他们总结：“研究颠覆了企业威胁建模的两大常见假设：拒绝服务风险仅影响公共服务；内部系统在完全失陷前不会被滥用。这对企业韧性建设、风险模型和防御策略具有重大意义。”       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 研究人员在DEF CON黑客大会上演示了智能公交系统可被远程入侵的漏洞。趋势科技台湾研究员余孝林（Chiao-Lin ‘Steven Meow’ Yu）与台湾托管安全服务提供商CHT Security的王凯庆（Kai-Ching ‘Keniver’ Wang）于上周五公布了这一发现。 研究人员注意到公交提供免费乘客Wi-Fi后开始深入调查其安全性。分析显示，同一台M2M路由器既用于提供乘客Wi-Fi，又连接着车内的高级公共交通服务系统（APTS）和高级驾驶辅助系统（ADAS）。ADAS通过传感器、摄像头、雷达和激光雷达辅助驾驶并预防事故，功能涵盖碰撞预警、车道偏离警示、限速提示、交通标志识别及乘客/驾驶员安全监控。APTS则包含提升公交效率的组件，如精确定位公交的GPS设备、乘客与操作员界面、路线调度服务及站台显示屏——所有功能均通过中央系统管理。 研究人员轻松绕过车载路由器认证进入其管理界面。由于缺乏网络隔离措施，他们随即渗透至APTS与ADAS功能层。专家在这些系统中发现多个漏洞，包括可导致远程入侵的命令注入缺陷和MQTT协议后门。 余孝林向SecurityWeek表示：“攻击者只需通过数据包分析等手段理解通信协议，即可在无需物理接触公交的情况下发动远程攻击。”他们演示了多种攻击场景：黑客不仅能追踪公交实时位置，还能利用简单默认密码访问车载摄像头。 研究人员指出，通过这些漏洞，攻击者可操控车内显示屏、窃取乘客及驾驶员信息，甚至入侵运输公司服务器。余孝林解释：“现行协议（至少在台湾）未实施任何加密或身份验证措施。这意味着若攻击者发动中间人攻击，可直接篡改或伪造通信内容。”攻击者连接公交系统后可获取GPS定位、发动机转速（RPM）和车辆平均速度等数据。 研究人员描述了若干理论攻击场景：篡改车辆GPS定位可能延误事故应急响应；伪造转速数据可掩盖真实机械故障或制造虚假故障引发运营中断；伪造驾驶员及车辆状态数据会触发虚假紧急警报；设置虚假“停运”状态则导致班次调度混乱。 虽然研究基于台湾公交，但余孝林指出，涉事供应商提供中、英、日、越多语言支持，相同漏洞系统可能存在于其他国家。研究人员尝试向相关厂商（包括美国路由器制造商BEC Technologies及台湾公交系统方案商Maxwin）提交漏洞报告，但未获回应，漏洞至今未修复。趋势科技零日计划（ZDI）已发布多份公告披露BEC路由器的相关漏洞。       消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Eclypsium研究人员发现部分联想摄像头存在统称为BadCam的漏洞，攻击者可将其改造成BadUSB设备实施击键注入等跨操作系统攻击。首席安全研究员杰西·迈克尔（Jesse Michael）和米奇·什卡托夫（Mickey Shkatov）在DEF CON 33大会上演示了该漏洞。这可能是首次证实：已接入计算机的Linux系统USB外设遭入侵后可被武器化用于恶意目的。 Eclypsium在报告中指出：“研究人员发现联想特定型号摄像头运行Linux系统且未验证固件，可被武器化为BadUSB设备。据我们所知，这是首次证明攻击者能利用已接入计算机的非恶意USB设备发起攻击。” BadUSB攻击通过重编程固件模拟人机接口设备（HID）执行恶意指令，利用系统对USB设备的信任绕过防护。该技术由卡斯滕·诺尔（Karsten Nohl）和雅各布·莱尔（Jakob Lell）在2014年黑帽大会上首次展示，现已有Rubber Ducky、Flipper Zero等工具和开源载荷实现攻击模块化。此类攻击具有隐蔽性、模块化和持久化特点，常可窃取数据、提权或部署勒索软件。 Eclypsium研究证实，基于Linux的USB外设（如摄像头）无需物理接触即可被远程劫持为BadUSB设备。通过重刷固件，攻击者可令其伪装成恶意HID设备注入载荷，即使用户重装系统仍能持续感染主机。Linux的USB Gadget功能使这类设备能模拟可信外设，威胁范围扩展至众多基于Linux的USB设备。 报告进一步说明：“迈克尔和什卡托夫证实，运行Linux的USB外设无需插拔即可远程改造成BadUSB设备，这标志着攻击模式的重大演进——获得远程代码执行权限的攻击者可重刷已连接摄像头的固件，将其变成恶意HID或模拟额外USB设备。被武器化的摄像头在保持正常功能表象下，可实施击键注入、投递恶意载荷或建立持久化据点。” Eclypsium确认联想510 FHD和Performance FHD两款摄像头存在固件更新漏洞，攻击者可完全控制设备。两者均采用支持Linux USB Gadget的SigmaStar ARM芯片，易受BadUSB攻击。研究人员发现其更新流程缺乏保护机制，简单USB指令即可擦写8MB SPI闪存，使得攻击者在保留设备正常功能的同时植入恶意固件。 Eclypsium敦促联想和SigmaStar为受影响芯片添加固件验证机制。联想已发布带签名验证的新版安装工具修复漏洞，受影响用户应从官网下载更新。该公司正与SigmaStar合作评估并修复漏洞。 报告总结道：“随着设备供应链多元化和USB外设复杂化，企业亟需实施固件签名验证、设备认证机制，并细化终端外设的监控粒度。当BadUSB攻击不仅可通过物理接触，还能远程操控日常外设实现时，机构必须重构终端与硬件信任模型。”       消息来源：securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文