HackerNews 编译，转载请注明出处： 联邦网络防御部门发出警告，称黑客正瞄准数据管理巨头Commvault客户的云环境。这家总部位于新泽西的公司此前披露，微软在2月通报了一起由某未具名国家背景威胁组织引发的数据泄露事件，该事件导致“部分客户用于验证M365环境的应用程序凭证”遭窃取。 周四晚间，美国网络安全和基础设施安全局（CISA）发布通告称，Commvault正在“监测针对其微软Azure云托管应用的网络威胁活动”，认为“该活动可能是针对多家SaaS厂商云应用的大规模攻击行动组成部分，攻击者利用默认配置与高权限设置实施入侵”。 CISA指出，威胁组织可能“窃取了Commvault旗下Metallic微软365备份SaaS解决方案托管的客户密钥”。此处密钥指代连接应用与服务器的唯一验证代码。Commvault在3至5月间的多篇博客中解释称，此次泄露“影响少量与微软存在业务交集的客户”，但强调黑客从未触及该公司存储保护的客户备份数据，并表示正与CISA及FBI协作处理，已对受影响客户实施凭证轮换等处置措施。 CISA在公告中同步给出防护建议清单，包括监控日志、更换凭证等操作指引。该机构特别提到，近期已将Commvault漏洞CVE-2025-3928纳入已知被利用漏洞目录，并“持续联合合作机构调查恶意活动”。Commvault早前透露，取证调查发现攻击者“利用零日漏洞实施入侵”，并附有该漏洞的公告链接。 针对为何选择周四发布公告的质询，CISA拒绝置评。Commvault发言人回应称：“CISA此次警示内容无新增信息，所有情况均已在5月4日公告中披露，当前仅为情况重申。”微软则未回应关于攻击方国家归属、具体受害企业及数据风险等问询。 曾调查类似事件的BeyondTrust现场首席技术官詹姆斯·莫德指出，此类事件凸显第三方特权访问的风险隐患：“他们的漏洞终将成为你的漏洞。”       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员披露，代号ViciousTrap的黑客组织已入侵全球84个国家近5,300台网络边缘设备，将其改造成类蜜罐网络。该组织利用思科小型企业路由器（型号RV016、RV042、RV042G、RV082、RV320、RV325）的关键漏洞CVE-2023-20118实施大规模入侵，其中850台受控设备位于澳门。 安全公司Sekoia在周四发布的分析报告中指出：“感染链涉及执行名为NetGhost的shell脚本，该脚本将被入侵路由器特定端口的流量重定向至攻击者控制的类蜜罐设施，从而实现网络流量劫持。” 此前，法国网络安全公司曾将该漏洞利用归因于另一个名为PolarEdge的僵尸网络。 尽管尚无证据表明这两项活动存在关联，但研究人员认为ViciousTrap背后的组织正通过入侵大量暴露于互联网的设备构建蜜罐基础设施，涉及品牌包括Araknis、华硕、D-Link、领势、威联通等50余个厂商的SOHO路由器、SSL VPN、数字录像机及基板管理控制器。 分析报告补充称：“这种架构使攻击者能观察多环境渗透尝试，可能收集未公开或零日漏洞利用方案，并劫持其他威胁组织的入侵成果。” 攻击链首先通过漏洞利用下载bash脚本，该脚本从外部服务器获取wget工具后再次触发漏洞，执行第二阶段的NetGhost脚本。 NetGhost脚本配置了流量重定向功能，将被控系统流量导向攻击者控制的第三方设施，实施中间人攻击，同时具备自删除能力以减少取证痕迹。Sekoia表示所有攻击尝试均源自单一IP地址（101.99.91[.]151），最早活动可追溯至2025年3月。次月监测到该组织将PolarEdge僵尸网络曾使用的未公开WebShell工具改作己用。 安全研究人员费利克斯·艾梅与杰里米·希恩指出：“该行为与攻击者使用NetGhost的策略相符，流量重定向机制使其成为静默观察者，可收集渗透尝试及传输中的WebShell访问痕迹。” 本月最新攻击活动转向华硕路由器，使用另一IP地址（101.99.91[.]239），但未在受控设备部署蜜罐。所有活跃IP均位于马来西亚，归属托管服务商Shinjiru运营的自治系统AS45839。 基于与GobRAT基础设施的微弱关联，以及流量重定向至中国台湾地区和美国多地资产的事实，研究人员判断该组织可能具备中文背景。Sekoia总结称：“尽管高度确信ViciousTrap构建的是类蜜罐网络，但其最终目标仍未明确。”       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文  

HackerNews 编译，转载请注明出处： 安全研究人员发现并调查了谷歌云平台（GCP）Cloud Functions与Cloud Build服务中潜在的权限升级漏洞。该漏洞最初由Tenable研究团队披露，攻击者可利用GCP云函数的部署流程获取高权限。谷歌随后发布补丁，限制默认Cloud Build服务账户的过度权限。 思科Talos团队在Tenable研究基础上，复现攻击手法并测试其对多云平台的影响。研究人员在GCP部署含恶意package.json文件的Debian服务器（集成NPM与Ngrok），通过提取令牌模拟攻击，确认谷歌补丁已修复原始提权路径。但实验表明，即使无特权访问，相同技术仍可用于环境探测（如系统映射）。将篡改后的package.json部署至AWS Lambda与Azure Functions后，验证该策略在跨云场景中的普适性。 研究揭示攻击者可利用的多种系统信息收集手段： 基于ICMP协议的网络拓扑发现 检测.dockerenv文件确认容器化环境 分析CPU调度机制识别初始化系统 容器ID与挂载点检查（用于逃逸路径探测） 操作系统与内核版本信息提取 用户权限扫描（辅助提权） 网络流量分析（漏洞评估） 此类技术无需特权凭证即可实施，在服务账户权限受控场景下仍具威胁。 谷歌根据Tenable报告调整Cloud Build运行逻辑，新增细粒度服务账户管控策略。Talos证实，GCP中利用此方法窃取服务账户令牌已不可行。企业防护措施应包括： 对所有服务账户实施最小权限原则 定期审计与监控权限配置 设置云函数异常修改告警 检查外发流量是否存在数据窃取迹象 验证外部NPM包的完整性 尽管原始漏洞已修补，该研究仍凸显宽松配置带来的持续性风险及多云环境持续监控的重要性。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Mozilla已发布安全更新，修复其Firefox浏览器中两个可能被用于窃取敏感数据或执行任意代码的严重漏洞。这两个漏洞均作为零日漏洞在Pwn2Own柏林黑客大赛中被利用，详情如下—— CVE-2025-4918：解析Promise对象时存在的越界访问漏洞，攻击者可借此对JavaScript Promise对象实施读写操作。 CVE-2025-4919：优化线性累加运算时存在的越界访问漏洞，攻击者可通过混淆数组索引尺寸对JavaScript对象实施读写操作。 简而言之，成功利用任一漏洞的攻击者都能实施越界读写，进而窃取敏感信息或造成内存损坏，最终实现代码执行。该系列漏洞影响范围包括： 138.0.4版本之前的所有Firefox浏览器（含安卓版） 128.10.1版本之前的所有Firefox扩展支持版（ESR） 115.23.1版本之前的所有Firefox ESR版本 CVE-2025-4918的发现与报告归功于Palo Alto Networks的Edouard Bochin与Tao Yan，CVE-2025-4919则由Manfred Paul发现。值得注意的是，这两个漏洞在上周的Pwn2Own柏林赛事中被成功演示利用，发现者各获得5万美元奖金。 Mozilla在声明中强调：“两起攻击均未突破我们的沙箱环境（这是获取用户系统控制权的必要条件）。尽管实际影响有限，仍建议所有用户和管理员立即升级至最新版本。”鉴于浏览器仍是恶意软件传播的主要载体，及时更新成为抵御潜在威胁的关键措施。       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全厂商Action1基于对美国国家漏洞数据库（NVD）及CVEdetails.com的深度分析发布《2025年软件漏洞评级报告》显示，2024年Linux与macOS新发现漏洞数量激增。传统上被视为较安全平台的这两大基于UNIX的生态系统均出现异常波动：Linux漏洞数量同比暴增967%至3329个，macOS漏洞总量增长95%至508个。全年新发现漏洞总数达6761个，同比增长61%。 报告同时警示被实际利用的漏洞数量从2023年的101个上升至2024年的198个，增幅达96%。谷歌Chrome浏览器被利用漏洞数从5个飙升至97个（增长1840%），Microsoft Office相关漏洞利用数增长433%至32个，成为推动该趋势的主要因素。 其他关键发现包括：2024年新发现关键漏洞总数达2930个（同比增37%），其中Linux关键漏洞从499个增至851个，MSSQL数据库关键漏洞激增606%至120个；数据库领域新漏洞总量增长213%，关键漏洞激增505%（MySQL漏洞数量翻倍）；浏览器领域新被利用CVE数量增长657%，远程代码执行（RCE）漏洞增加107%。值得关注的是，Linux和macOS的RCE漏洞分别同比下降85%和44%。 “关键漏洞和被利用漏洞的持续增长印证了企业面临的网络安全风险正在升级。”报告强调，“企业必须建立强健的补丁管理流程、提升威胁检测能力、开展供应商与供应链风险评估，并持续优化安全策略。”Action1建议采取以下措施：优先修补操作系统、浏览器等关键系统及存在RCE风险的数据库；加强员工对常用软件风险的教育；确保全软件生态的漏洞管理；第三方软件引入前实施风险评估；部署持续威胁检测工具以维持系统韧性。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 斯洛伐克网络安全公司ESET最新研究发现，与俄罗斯有关联的威胁组织通过跨站脚本（XSS）漏洞对Roundcube、Horde、MDaemon和Zimbra等主流邮件系统实施网络间谍活动，其中针对MDaemon的漏洞在攻击初期属于零日漏洞。该行动被命名为“Operation RoundPress”，研究人员以中等置信度将其归因于俄罗斯政府支持的黑客组织APT28（又名BlueDelta、Fancy Bear、Sednit）。 ESET研究员Matthieu Faou在向《黑客新闻》提供的报告中指出：“此次行动的核心目标是窃取特定邮箱账户的机密数据。主要受害者集中于东欧政府机构及军工企业，但我们也观察到非洲、欧洲和南美洲的政府部门同样遭到攻击。”这并非APT28首次利用邮件系统漏洞——2023年6月，Recorded Future曾披露该组织滥用Roundcube的三个历史漏洞（CVE-2020-12641、CVE-2020-35730和CVE-2021-44026）进行侦察和数据收集。 自2023年以来，Winter Vivern、UNC3707（即GreenCube）等其他威胁组织也持续针对邮件系统发起攻击。ESET将RoundPress行动与APT28建立关联的依据包括：钓鱼邮件发件地址的重叠性，以及服务器配置手法的相似性。2024年的攻击目标主要涉及乌克兰政府机构、保加利亚与罗马尼亚的军工企业（部分企业正在为乌克兰生产苏制武器），其他受害者还包括希腊、喀麦隆、厄瓜多尔、塞尔维亚和塞浦路斯的政府、军事及学术机构。 攻击者通过Horde、MDaemon和Zimbra的XSS漏洞在网页邮箱界面执行任意JavaScript代码。值得注意的是，美国网络安全与基础设施安全局（CISA）已于2024年2月将Roundcube漏洞CVE-2023-43770列入已知被利用漏洞（KEV）目录。虽然Horde（2007年发布的Horde Webmail 1.0已修复的未公开旧漏洞）、Roundcube和Zimbra（CVE-2024-27443）的漏洞均属于已公开补丁的缺陷，但MDaemon的XSS漏洞（CVE-2024-11182，CVSS评分5.3）在被利用时尚未修复，该漏洞已于2023年11月发布的24.5.1版本完成修补。 Faou解释道：“Sednit通过电子邮件发送这些XSS漏洞利用程序。恶意JavaScript代码会在浏览器运行的网页邮箱客户端中执行，因此攻击者仅能读取和窃取受害者账户权限内的数据。”不过，攻击成功的必要条件是受害者需在存在漏洞的网页邮箱界面打开邮件，且邮件需绕过垃圾邮件过滤器进入收件箱。由于触发XSS漏洞的恶意代码隐藏在邮件正文的HTML代码中，邮件本身内容看起来完全正常。 漏洞成功利用后，名为SpyPress的混淆JavaScript有效载荷将执行窃取邮箱凭证、邮件内容和联系人信息的操作。该恶意软件虽不具备持久化机制，但每次打开被篡改的邮件时都会重新加载。ESET补充指出：“我们还检测到部分SpyPress.ROUNDCUBE变种具备创建Sieve规则的能力。该规则会将所有新邮件的副本转发至攻击者控制的邮箱地址，由于Sieve规则是Roundcube的固有功能，即使恶意脚本停止运行，规则仍将持续生效。” 窃取的数据通过HTTP POST请求发送至硬编码的命令与控制（C2）服务器。某些恶意软件变种还能捕获登录记录、双因素认证（2FA）代码，甚至为MDAEMON创建应用密码，确保在用户修改密码或2FA代码后仍能维持邮箱访问权限。Faou警告称：“过去两年间，Roundcube和Zimbra等网页邮箱服务器已成为Sednit、GreenCube和Winter Vivern等多个间谍组织的重点目标。由于许多机构未能及时更新邮件系统补丁，加之攻击者仅需发送邮件即可远程触发漏洞，此类服务器极易沦为邮件窃取的跳板。”       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Ivanti近日发布安全更新，修复其移动终端管理平台Endpoint Manager Mobile（EPMM）中两个可被组合利用实现远程代码执行的安全漏洞。 被修复的漏洞包括： CVE-2025-4427（CVSS评分5.3）——EPMM中的身份验证绕过漏洞，允许攻击者在无凭证情况下访问受保护资源； CVE-2025-4428（CVSS评分7.2）——EPMM中的远程代码执行漏洞，允许攻击者在目标系统执行任意代码。 漏洞影响以下产品版本： 11.12.0.4及更早版本（需升级至11.12.0.5） 12.3.0.1及更早版本（需升级至12.3.0.2） 12.4.0.1及更早版本（需升级至12.4.0.2） 12.5.0.0及更早版本（需升级至12.5.0.1） Ivanti确认漏洞与EPMM集成的两个开源库有关，但未披露具体库名称。该公司表示“在漏洞披露时仅发现极少数客户遭遇攻击”，且尚未获得可靠的入侵指标。建议用户通过内置Portal ACL功能或外部Web应用防火墙（WAF）过滤API访问以降低风险，并强调该漏洞仅影响本地部署的EPMM产品，云端管理解决方案Ivanti Neurons for MDM及其他产品不受影响。 此外，Ivanti还修复了本地版Neurons for ITSM的身份验证绕过漏洞CVE-2025-22462（CVSS评分9.8），该漏洞允许未经认证的远程攻击者获取系统管理员权限，目前未发现野外利用迹象。鉴于近年来Ivanti设备频繁曝出零日漏洞，安全专家强烈建议用户立即升级至最新版本以增强防护。       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 欧盟网络安全局（ENISA）5月13日宣布正式启动新型漏洞数据库计划。该计划被命名为“欧洲漏洞数据库（EUVD）”，此前已进行测试运行，现根据NIS2指令要求正式上线。其功能定位与美国国家漏洞数据库（NVD）类似，旨在为网络防御者提供集中化漏洞信息源。 EUVD将整合来自计算机安全事件响应团队（CSIRT）、供应商及现有数据库（如CISA已知被利用漏洞目录、MITRE CVE计划）的漏洞数据，自动同步至平台。数据库提供三大仪表板： 关键漏洞看板：展示高危漏洞信息 被利用漏洞看板：聚焦已遭攻击的漏洞 欧盟协调漏洞看板：由欧洲CSIRT团队提供支持 每条漏洞记录包含“EUVD”专属标识符，并关联CVE编号、云安全联盟全球安全数据库（GSD）及GitHub安全公告（GHSA）等外部标识。具体数据条目涵盖： 漏洞描述 受影响IT产品/服务及版本 漏洞严重程度与利用方式 CSIRT等机构提供的补丁与缓解指南 ENISA执行主任尤汉·莱帕萨尔表示：“该数据库确保受影响ICT产品用户的信息透明度，将成为查找缓解措施的高效信息来源。”主要用户群体包括公众、网络/信息系统供应商及其客户、私营企业、研究人员及CSIRT等国家机构。 当前网络安全界正关注CVE计划的长期前景——美国CISA近期紧急延长MITRE合同11个月以维持运行。EUVD的推出被视为欧盟构建自主漏洞管理能力的关键举措。     消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国网络安全与基础设施安全局（CISA）就消息应用TeleMessage的漏洞发出警告。该应用近期因特朗普前国家安全顾问迈克·沃尔茨（Mike Waltz）的使用引发关注——沃尔茨在担任国安顾问期间因两起通信事故陷入争议。 首先是在“信号门”事件中，他误将记者拉入国家安全高层讨论也门军事行动的Signal群聊；随后又被发现使用名为TeleMessage Signal的应用，再度引发安全隐患。这些事件最终导致沃尔茨被解职。 以色列公司TeleMessage（现属美国俄勒冈州Smarsh通信集团）主要为用户提供WhatsApp、Telegram和Signal等即时通讯工具的消息存档服务。在沃尔茨使用该应用曝光后，调查发现其已被美国政府内部采用，且存在严重安全风险。 黑客声称窃取了TeleMessage旗下Signal、WhatsApp、微信和Telegram克隆应用的私聊与群组记录。尽管未获取政府官员消息，但攻击证实TeleMessage存档的聊天日志未加密，可被威胁分子轻易获取。Smarsh公司已暂停所有TeleMessage服务配合调查。 安全研究员Micah Lee分析TeleMessage源代码发现：其定制版Signal应用”TM SGNL”虽宣称支持端到端加密，但实际在应用与消息存档服务器间采用明文传输。这一漏洞（现获CVE编号CVE-2025-47729）使攻击者可获取明文聊天记录，包括加密货币公司Coinbase的Telegram私密对话及数百名海关与边境保护局员工名单。 CISA已将CVE-2025-47729纳入已知被利用漏洞（KEV）目录。美国联邦机构需在21天内修补该漏洞，其他组织也应优先处理。鉴于漏洞存在于服务器端，CISA建议用户停用TeleMessage服务作为主要防护措施。国家漏洞数据库明确指出该漏洞已被在野利用。       消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 软件公司Adobe发布多款产品安全更新，修复至少39个漏洞，并警告存在远程代码执行漏洞利用风险。此次“补丁星期二”的重点是Adobe ColdFusion（冷聚变）的重大更新，解决多个可导致代码执行和权限提升的关键漏洞。 根据安全公告，Adobe ColdFusion修复的7个高危漏洞（CVSS评分9.1）可能引发任意文件读取、代码执行及权限提升攻击。此外： Adobe Photoshop：修复3个可导致代码执行的高危漏洞。 Adobe Illustrator：紧急修补1个关键漏洞。 Adobe Lightroom/Dreamweaver/Connect/InDesign：修复代码执行漏洞，攻击成功可引发拒绝服务。 其他受影响产品包括Adobe Substance 3D Painter、Adobe Bridge和Adobe Dimension，均存在高危漏洞。此次更新与微软安全公告同期发布，后者披露5个在野利用的零日漏洞，涉及脚本引擎和Windows通用日志文件系统驱动（CLFS）。       消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文