HackerNews 编译，转载请注明出处： 网络安全研究人员披露了Axis Communications视频监控产品中的多个安全漏洞，若被成功利用，可能导致设备被完全控制。 “攻击可实现在Axis Device Manager（用于配置和管理摄像头群的服务器）及Axis Camera Station（用于查看摄像头画面的客户端软件）上进行认证前远程代码执行，”Claroty研究员Noam Moshe表示。“此外，通过扫描暴露的Axis.Remoting服务，攻击者可枚举易受攻击的服务器和客户端，并发起高度精准的定向攻击。” 已识别的漏洞列表如下： CVE-2025-30023（CVSS评分：9.0）— 客户端与服务器间通信协议缺陷，可导致已认证用户实施远程代码执行攻击（已在Camera Station Pro 6.9、Camera Station 5.58和Device Manager 5.32版本修复） CVE-2025-30024（CVSS评分：6.8）— 客户端与服务器间通信协议缺陷，可被用于发起中间人（AitM）攻击（已在Device Manager 5.32版本修复） CVE-2025-30025（CVSS评分：4.8）— 服务器进程与服务控制间通信协议缺陷，可导致本地权限提升（已在Camera Station Pro 6.8和Device Manager 5.32版本修复） CVE-2025-30026（CVSS评分：5.3）— Axis Camera Station Server中的缺陷，可导致认证绕过（已在Camera Station Pro 6.9和Camera Station 5.58版本修复） 成功利用上述漏洞可使攻击者获得Camera Station与其客户端之间的中间人位置，从而能够篡改请求/响应，并在服务器或客户端系统上执行任意操作。目前尚无证据表明这些漏洞已被野外利用。 Claroty称，全球有超过6500台服务器在互联网上暴露了其专有协议Axis.Remoting及相关服务，其中近4000台位于美国。 “成功利用可使攻击者获得内网系统级访问权限，并控制特定部署中的每个摄像头，”Moshe指出。“攻击者可劫持、监视或关闭视频流，利用这些安全问题绕过摄像头认证，并在设备上实现认证前远程代码执行。”       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 趋势科技敦促其Apex One终端安全解决方案本地版本的用户安装更新，以修复两个0day漏洞。该公司于周二发布的安全公告警告客户，两个被追踪为CVE-2025-54948和CVE-2025-54987的关键漏洞已在至少一起野外攻击中被利用。 这些安全漏洞被称为操作系统命令注入问题，会影响Apex One管理控制台。未经身份验证的远程攻击者可以利用这些漏洞上传恶意代码，并在受影响的系统上执行命令。 CVE-2025-54987被描述为“本质上与CVE-2025-54948相同”，但影响不同的CPU架构。 趋势科技告知客户：“对于这个特定的漏洞，攻击者必须能够访问趋势科技Apex One管理控制台。因此，如果客户将控制台IP地址暴露在外部，应考虑采取诸如源限制之类的缓解措施（如果尚未应用的话）。” 根据公告，漏洞已于8月1日报告给趋势科技，该公司似乎紧急发布了漏洞补丁。 目前尚未分享有关利用CVE-2025-54948和/或CVE-2025-54987的0day攻击的详细信息。 漏洞由台湾网络安全公司CoreCloud Tech的研究员Jacky Hsieh报告。 威胁行为者针对趋势科技产品漏洞发起攻击的情况并不罕见。       消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 德国电信（Deutsche Telekom）旗下的电视及流媒体平台MagentaTV，因广告投放平台漏洞导致用户数据泄露。研究人员认为，包含用户IP地址和MAC地址在内的数据在被修复前已暴露数月。 今年6月中旬，Cybernews研究团队发现由服务器端广告插入（SSAI）平台Serverside.ai托管的一个未受保护的Elasticsearch实例，从而揭露了此次泄露。该团队表示，暴露实例上的所有数据均源自德国电信（DT）拥有的视频流聚合平台MagentaTV。 这家德国电信公司是欧洲最大的电信运营商，旗下拥有多家子公司及T-Mobile品牌。而Serverside.ai隶属于法国广告技术公司Equativ。 研究人员认为该实例至少自2025年2月初起即可公开访问，直至6月团队联系后才被撤出公开范围。团队已联系德国电信寻求回应，将在收到回复后更新内容。 泄露涉及哪些具体信息？ 虽然暴露实例中的大部分信息可视为非敏感数据，但部分泄露日志包含MagentaTV客户发送请求的HTTP头部信息。用户每次与平台交互时都会生成带有HTTP头部的请求。 尽管第三方来源估计MagentaTV用户基数约为440万人，但暴露实例包含超过3.24亿条日志条目，数据量高达729GB。此外，研究人员称该实例每天新增400万至1800万条日志。 据团队分析，虽然大部分数据不敏感，但泄露内容仍包含部分用户数据： IP地址 MAC地址 会话ID 客户ID 用户代理 数据泄露揭示客户详情 这些暴露信息包括：唯一互联网连接标识符、硬件标识符、唯一用户账号、以及客户设备信息。理论上，攻击者可利用泄露数据追踪用户位置、识别身份并对特定设备发起定向攻击。但研究人员认为恶意利用这些数据需付出额外努力。 “理论上，包含客户ID和会话ID的HTTP头部可用于会话劫持，使攻击者无需账户信息或密码即可登录客户账户。但现实中，很可能存在额外的安全措施防止此类劫持。”研究人员解释道。 另一风险在于潜在的交叉比对。攻击者可将泄露数据与历史泄露库信息进行比对。由于IP地址常见于泄露数据中，这可能帮助恶意行为者识别MagentaTV用户。 调查还显示，MagentaTV服务主要通过德国电信销售的电视盒子访问，这与该流媒体聚合平台的所有权关系一致。这些设备由中国原始设备制造商（OEM）生产，后以德国电信合作品牌转售。团队认为此类OEM设备通常更易存在安全漏洞，加剧了此次泄露的风险。 “泄露信息对攻击者极具价值：暴露的IP地址有助于设备漏洞利用，而客户ID则能辅助网络犯罪分子实施攻击，具体危害取决于实际利用方式。”团队总结道。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员在亚马逊弹性容器服务（Amazon Elastic Container Service, ECS）中演示了一种“端到端权限提升链条”攻击方法。攻击者可利用该漏洞进行横向移动、访问敏感数据并控制整个云环境。 该攻击技术被安全研究公司Sweet Security的研究员Naor Haziz命名为“ECScape”，他于今日在拉斯维加斯举行的Black Hat USA安全会议上公布了这一发现。 “我们发现了一种方法，可以滥用一项未记录的ECS内部协议，获取同一EC2实例上其他ECS任务所属的AWS凭证，”Haziz在分享给The Hacker News的报告中说，“一个拥有低权限IAM（身份与访问管理）角色的恶意容器，可以获取在同一主机上运行的更高权限容器的权限。” Amazon ECS是一项完全托管的容器编排服务，允许用户部署、管理和扩展容器化应用程序，并与Amazon Web Services（AWS）集成以在云中运行容器工作负载。 Sweet Security发现的漏洞本质上允许权限提升：运行在ECS实例上的低权限任务，可以通过窃取凭证劫持同一EC2机器上更高权限容器的IAM权限。 换言之，ECS集群中的恶意应用程序可以伪装成更高权限的任务。这是通过利用在地址169.254.170[.]2运行的元数据服务实现的，该服务暴露了与任务IAM角色关联的临时凭证。 虽然这种方法确保每个任务在运行时获得其IAM角色的凭证，但ECS代理身份的泄露可能允许攻击者冒充该代理并获取主机上任何任务的凭证。完整攻击序列如下： 获取主机的IAM角色凭证（EC2实例角色）以冒充代理 发现代理通信的ECS控制平面端点 收集必要的标识符（集群名称/ARN、容器实例ARN、代理版本信息、Docker版本、ACS协议版本和序列号），使用任务元数据端点和ECS内省API作为代理进行身份验证 伪造并签署代理通信服务（Agent Communication Service, ACS）WebSocket请求，冒充代理并将“sendCredentials”参数设置为“true” 收集该实例上所有运行中任务的凭证 “伪造的代理通道也能保持隐蔽，”Haziz表示，“我们的恶意会话模仿了代理的预期行为——确认消息、递增序列号、发送心跳——因此不会显得异常。” “通过冒充代理的上游连接，ECScape彻底瓦解了该信任模型：一个被攻陷的容器可以被动收集同一EC2实例上所有其他任务的IAM角色凭证，并立即以这些权限行动。” 在共享EC2主机上运行ECS任务时，ECScape可能造成严重后果，因为它为跨任务权限提升、凭证泄露和元数据窃取打开了大门。 在负责任的披露后，亚马逊强调了客户在适用情况下采用更强隔离模型的必要性，并明确在其文档中指出：在EC2中没有任务隔离，“容器可能访问同一容器实例上其他任务的凭证”。 作为缓解措施，建议： 避免在同一实例上部署高权限任务与不可信或低权限任务 使用AWS Fargate实现完全隔离 禁用或限制任务的实例元数据服务（IMDS）访问 限制ECS代理权限 设置CloudTrail警报以检测IAM角色的异常使用 “核心教训是应将每个容器视为可能被攻陷的对象，并严格限制其爆炸半径，”Haziz说，“AWS便捷的抽象（任务角色、元数据服务等）方便了开发者，但当多个具有不同权限级别的任务共享底层主机时，其安全性仅取决于隔离它们的机制——而这些机制可能存在微妙的弱点。” 此漏洞披露正值近期报告多起云安全漏洞之际，包括： 谷歌Cloud Build与GitHub集成中的竞争条件漏洞（可能绕过维护者审查执行未审核代码） Oracle云基础设施（OCI）代码编辑器中的远程代码执行漏洞（可劫持Cloud Shell环境） 名为“I SPy”的攻击技术（利用Microsoft Entra ID中的服务主体进行权限提升和持久化） Azure机器学习服务中的权限提升漏洞（允许存储账户访问者执行任意代码） 旧版AmazonGuardDutyFullAccess策略的范围漏洞（可能导致组织被完全接管） 滥用Azure Arc进行权限提升和持久化的攻击技术 Azure内置Reader角色权限过高及API漏洞（可被串联利用泄露VPN密钥） 谷歌Gerrit中的供应链漏洞“GerriScary”（允许向ChromiumOS等关键项目提交未授权代码） 谷歌云平台配置错误（暴露了互联网交换点内部子网络） “ConfusedFunction”权限提升漏洞的扩展（可适配AWS和Azure平台） “最有效的缓解策略是确保云环境中所有服务账户（SA）遵循最小权限原则，且没有遗留云SA仍在使用，”Talos表示，“确保所有云服务和依赖项均已应用最新安全补丁。若存在遗留SA，请用最小权限SA替换它们。”       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 思科Talos研究人员周二披露，戴尔数百万台笔记本电脑采用的安全芯片存在漏洞，可能使攻击者窃取敏感数据，并在设备重装操作系统后仍维持访问权限。该研究此前未公开，经戴尔6月安全公告确认，影响超100款笔记本型号，涉及存储密码、生物识别数据及安全代码的专用芯片，该芯片同时负责安装指纹/智能卡/NFC驱动及固件。 研究人员表示尚无漏洞野外利用迹象。戴尔已于3月至5月分阶段发布补丁，并于6月13日发布完整安全公告。漏洞专属于戴尔ControlVault安全固件与软件采用的博通BCM5820X芯片。思科Talos高级漏洞研究员Philippe Laulheret指出，受影响的Latitude与Precision等机型广泛用于网络安全行业及政府场景，“需通过智能卡或NFC强化登录安全的敏感行业更易受波及”。 Laulheret在周二发布的博客中透露，相关分析将于8月6日拉斯维加斯黑帽安全大会上展示。思科Talos外联负责人Nick Biasini强调，此发现凸显需加强对处理生物识别等敏感数据的硬件安全研究：“安全飞地、生物识别等技术的应用日益广泛，虽提升设备安全性，却也引入了新攻击面”。 戴尔发言人声明称已“快速透明地解决问题”，并指引用户查阅6月13日公告：“建议客户及时安装我们提供的安全更新并升级至受支持的产品版本，以确保系统安全。”     消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 谷歌发布安全更新修复安卓系统多项安全漏洞，包含两个已被实际利用的高通漏洞。漏洞涉及CVE-2025-21479（CVSS评分8.6）与CVE-2025-27038（CVSS评分7.5），二者与CVE-2025-21480（CVSS评分8.6）均由芯片制造商于2025年6月披露。 CVE-2025-21479属于图形组件授权错误漏洞，可能导致因GPU微代码中未经授权的命令执行而引发内存损坏。CVE-2025-27038则是图形组件的释放后重用漏洞，在Chrome浏览器使用Adreno GPU驱动渲染图形时可能造成内存损坏。 目前尚无漏洞实际利用细节，但高通曾声明“谷歌威胁分析小组迹象表明，CVE-2025-21479、CVE-2025-21480、CVE-2025-27038可能已被有限且针对性利用”。鉴于Variston、Cy4Gate等商业间谍软件供应商曾利用类似高通芯片漏洞，推测上述漏洞可能已被同类场景滥用。 这三项漏洞已被美国网络安全和基础设施安全局（CISA）列入已知被利用漏洞目录，要求联邦机构在2025年6月24日前完成更新。 谷歌2025年8月补丁还修复了安卓框架中两个高危权限提升漏洞（CVE-2025-22441与CVE-2025-48533）以及系统组件关键漏洞（CVE-2025-48530）。后者在与其他漏洞串联时，无需额外权限或用户交互即可实现远程代码执行。 谷歌提供2025-08-01和2025-08-05两套补丁级别，后者额外包含Arm与高通闭源及第三方组件修复方案。建议安卓用户及时安装更新以防范潜在威胁。       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Wiz研究团队在NVIDIA Triton推理服务器中发现一系列关键漏洞，该平台是用于大规模运行人工智能模型的开源解决方案。当这些漏洞被串联利用时，远程未授权攻击者可能完全控制服务器，实现远程代码执行（RCE）。 此攻击链始于服务器的Python后端，最初的小规模信息泄露会逐步升级为完整的系统入侵。这对使用Triton进行AI/ML的企业构成重大风险，成功攻击可能导致宝贵AI模型被盗、敏感数据泄露、AI模型响应被篡改，并为攻击者提供深入网络的立足点。 Wiz已向NVIDIA负贵披露这些发现，目前补丁已发布。我们感谢NVIDIA安全团队的高效协作与快速响应。NVIDIA为此漏洞链分配了以下标识符：CVE-2025-23319、CVE-2025-23320和CVE-2025-23334。强烈建议所有Triton用户升级至最新版本。本文概述这些新漏洞及其潜在影响。此研究是Wiz披露的系列NVIDIA漏洞中的最新成果，包括两个容器逃逸漏洞：CVE-2025-23266和CVE-2024-0132。 防护措施 立即升级：首要措施是根据NVIDIA安全公告将Triton服务器及Python后端升级至25.07版本。 Wiz客户可通过以下方式检测云环境中易受攻击的实例： 在漏洞发现页面筛选关键问题相关实例 使用安全图谱识别公开暴露的虚拟机/无服务器容器 高级客户可通过动态扫描器筛选已验证结果 传感器客户可筛选运行时验证结果 代码安全客户可通过一键修复生成代码库修复方案 Triton内部机制 Triton作为通用推理服务器，通过模块化后端系统支持主流AI框架（如PyTorch、TensorFlow）。当推理请求到达时，服务器自动将其路由至对应后端执行。本次研究聚焦Python后端——因其不仅是热门多功能后端，还是其他后端的依赖组件。该后端核心逻辑由C++实现，通过独立“存根”进程加载并执行模型代码。二者通过共享内存（/dev/shm）实现高速进程间通信(IPC)，依赖唯一系统路径访问内存区域。 漏洞链分析 第一步：后端共享内存名称泄露 通过发送特制超长请求触发异常，错误响应中意外暴露内部IPC共享内存区域的完整密钥（例如“triton_python_backend_shm_region_4f50c226-b3d0-46e8-ac59-d4690b28b859”）。此密钥本应保持私密，泄露构成攻击链的关键突破点。 第二步：滥用共享内存API实现任意读写 Triton提供面向用户的共享内存API以优化性能。攻击者利用泄露的内部密钥调用注册接口后，可构造推理请求操纵该内存区域。由于API未验证密钥归属，攻击者借此获得对Python后端私有内存的读写权限，包括其IPC控制结构。 第三步：实现远程代码执行的路径 通过篡改共享内存中的数据结构和指针（如MemoryShm、SendMessageBase），攻击者可触发越界内存访问。进一步操纵IPC消息队列可构造恶意指令，最终实现从内存破坏到逻辑漏洞的完整利用链（具体技术细节暂不公开）。 攻击影响 模型窃取：窃取专有高价值AI模型 数据泄露：截获模型处理的用户隐私或金融数据 结果操控：篡改AI输出以制造错误或恶意结果 横向移动：以受控服务器为跳点渗透内网 结论 此案例证明看似微小的漏洞串联可引发系统级入侵。Python后端的详细错误信息与主服务API的验证缺失，共同构成了完整的攻击路径。随着AI/ML的广泛部署，基础架构安全防护至关重要。       消息来源：wiz； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 零日计划（Zero Day Initiative）宣布在2025年10月爱尔兰Pwn2Own黑客大赛中设立100万美元专项奖金，悬赏能演示WhatsApp零点击漏洞利用的安全研究人员。该奖金针对无需用户交互即可在WhatsApp上实现远程代码执行的高危漏洞。该通讯平台全球用户超30亿，漏洞潜在影响范围极大。 本届赛事由Meta、群晖科技（Synology）与威联通（QNAP）联合赞助，定于10月21日至24日在爱尔兰科克举行。零日计划在声明中明确表示：“Meta对本届赛事联合赞助充满期待，特别设立100万美元奖金激励零点击漏洞利用演示。同时设立次级奖项覆盖其他WhatsApp漏洞利用形式，详情请查阅‘消息应用’类别规则。去年此类挑战无人尝试，希望今年翻倍的奖金能激发参与热情。” 1、八大攻击目标类别： 移动设备（含三星Galaxy S25、谷歌Pixel 9、苹果iPhone 16旗舰机型） 消息应用（WhatsApp为重点目标） 家用网络设备 智能家居设备 打印机 网络存储系统（NAS） 监控设备 可穿戴技术（含Meta雷朋智能眼镜及Quest 3/3S头显） 2、攻击向量扩展： 移动设备类别新增USB端口攻击路径，要求参赛者通过物理连接突破锁屏手机；同时保留Wi-Fi、蓝牙、近场通信（NFC）等传统无线协议攻击方式。 参赛顺序通过随机抽签决定，注册截止时间为10月16日爱尔兰标准时间下午5时。 漏洞披露机制 参赛者演示的漏洞将在赛事结束后移交厂商，90天内未修复的漏洞由零日计划公开披露。2024年爱尔兰Pwn2Own大赛曾为70余个零日漏洞颁发107.8万美元奖金，越南Viettel安全团队因攻破QNAP存储设备、Lexmark打印机等目标获得20.5万美元奖金。       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 卢森堡政府上周四宣布，正就7月23日导致全国通信瘫痪的网络攻击展开正式调查。此次攻击据称针对该国电信基础设施中的华为设备。 本次事故断网事件致使全国4G/5G移动网络中断超三小时。由于备用2G系统过载，大量民众无法拨打紧急服务电话，互联网接入与电子银行服务同样瘫痪。 政府向议会提交的声明指出，此次攻击以破坏服务为目的，而非意外导致系统故障的入侵行为。攻击者利用国有电信运营商POST Luxembourg所采用的“标准化软件组件”漏洞实施攻击。依赖该运营商移动网络的政府预警系统亦因此失效，未能向民众有效推送事件警报。 POST总经理强调此次攻击“异常先进且复杂”，但未侵入内部系统或窃取数据。POST正联合国家网络安全应急响应小组（CSIRT）开展司法取证调查。 尽管政府声明未明确提及受影响的供应商，卢森堡杂志《Paperjam》披露攻击目标实为华为路由器的配套软件。该国关键基础设施监管机构已要求所有使用华为企业级路由器的组织联系CSIRT报备。 华为企业级网络产品的VRP操作系统曾曝出远程拒绝服务漏洞，但近期未公开披露新漏洞。华为新闻办公室未回应置评请求。 卢森堡政府已协同CSIRT与检察院，在国家保护高级委员会（HCPN）下设立特别危机小组，专项处理事件响应及影响评估。CSIRT的司法取证旨在还原攻击过程，检察院则将评估是否构成犯罪并追查攻击者。 此次事件加速了卢森堡既定的国家韧性评估进程。当局正重新审视关键基础设施的稳健性（尤其是电信与应急服务的备用机制），担忧单一故障点可能引发灾难性后果。卢森堡同时探索监管改革，拟允许电信中断期间手机自动切换至其他运营商网络——该机制已在英、德、美等国应用于紧急呼叫场景。       消息来源：therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 霍尼韦尔近期修补了其工业过程控制与自动化解决方案Experion过程知识系统（PKS）中的多个漏洞。美国网络安全和基础设施安全局（CISA）上周发布公告披露了这些漏洞的存在。 根据公告，Honeywell Experion PKS产品——版本早于R520.2 TCU9 Hot Fix 1及R530 TCU3 Hot Fix 1的版本——存在六个漏洞，其中包括被归类为“严重”和“高危”级别的漏洞。多数严重和高危漏洞影响控制数据访问（CDA）组件，可导致远程代码执行。两个高危漏洞可能被用于拒绝服务（DoS）攻击，而一个中危漏洞可能被用于操纵通信信道并引发系统异常行为。 CISA指出，受影响产品在全球范围内使用，涉及关键制造、化工、能源、水务及医疗等关键基础设施领域。霍尼韦尔在声明中回应：“我们高度重视安全问题并迅速采取行动评估和修复问题。发现漏洞后，已为Experion PKS产品（含C300 PCNT02、C300 PCNT05、FIM4、FIM8、UOC、CN100、HCA、C300PM、C200E等型号）及OneWireless WDM发布更新。用户必须按安全通告升级至指定版本以增强防护。” 俄罗斯网络安全公司Positive Technologies因报告漏洞获得致谢。该公司工业控制系统负责人Dmitry Sklyar表示：“漏洞在Experion PKS设备（含现场级网络转换器和I/O模块）中发现。受影响设备通常部署于工业设施的隔离网段，难以通过互联网远程利用。”他解释称：“漏洞存在于缺乏身份认证功能的网络协议处理程序中，攻击者只需接入隔离网段即可利用。成功利用可在受控设备上执行任意代码，可能操纵工业流程及设备——包括停止/重启设备、修改网络设置、篡改过程参数等。”他建议企业“部署漏洞管理系统进行防护”。 本月初，霍尼韦尔旗下公司Tridium开发的Niagara框架也被披露存在十余个漏洞。       消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文