HackerNews 编译，转载请注明出处： Cybernews研究人员发现腾讯云两个站点存在严重配置错误，导致敏感凭证和内部源代码暴露。这些关键漏洞可能使攻击者获得腾讯云内部服务及后端基础设施的完全访问权限。 核心要点： 腾讯云两个站点存在严重配置错误，暴露了敏感凭证与内部源代码。 含有硬编码管理员控制台凭证的环境文件及.git目录已公开数月，危及数百万腾讯云用户。 腾讯承认这是“已知问题”并已关闭访问权限。 2025年7月23日，Cybernews研究团队发现腾讯云官方域名的两个子域名意外暴露了配置文件。 暴露文件包含硬编码的明文密码、敏感的.git内部目录及其他可能被外部攻击者滥用的信息。 其中一个受影响服务涉及腾讯内部负载均衡器，另一子域名则是腾讯云推广的开源开发平台JEECG的部署实例。 硬编码凭证似乎可直接访问腾讯云管理控制台。 “若被恶意攻击者发现，这些凭证可能使其获得腾讯云后端基础设施或内部服务的完全控制权。”Cybernews研究人员表示。 此外，暴露的.git文件夹（用于存储项目历史记录和文件变更追踪）允许下载并重构腾讯云基础设施内部部署的源代码。控制台的根凭证也在此被发现。 暴露的密码强度薄弱且易受字典攻击，其组合方式仅包含公司名称、年份及简单符号。 历史数据调查显示，这些敏感文件至少从2025年4月起已暴露数月。 Cybernews已向腾讯云负责任地披露该发现。腾讯承认这是此前报告过的“已知问题”。漏洞现已修复，但截至发稿腾讯未回应置评请求。 黑客的敞开后门 若黑客获取这些公开配置文件，潜在后果可能极其严重，或引发针对腾讯全球用户的破坏性网络攻击。 “这为攻击者开辟了多种利用途径，”研究人员指出，“长期暴露引发严重担忧：多少爬虫机器人已获取数据？是否已被用于恶意目的？” 攻击者利用错误配置可能实现以下行为： 获取生产系统完全管理权限 篡改内部API服务 在可信前端代码中植入恶意负载 进一步渗透腾讯内部云基础设施 滥用可信腾讯域名进行钓鱼攻击 “当涉及云控制台、源代码和根权限时，没有所谓的小漏洞。腾讯云作为知名技术平台，仍难避免基础运维疏忽。”研究人员解释称。 尽管未尝试访问密码保护服务或克隆内部仓库，但可见暴露数据表明其涉及预发布和生产环境，意味着双重环境均受影响。 “当今开发者被鼓励盲目信任云服务。此次事件证明微小错误可升级为高风险故障，在供应链中引发连锁漏洞，”研究人员强调，“腾讯等巨头承载着用户对品牌的信任，攻击者对此心知肚明。” 腾讯云作为全球主要云服务商，隶属中国科技巨头腾讯控股，服务超1000万用户。其基础设施支撑着游戏、金融、通信及企业应用领域服务，每日触达全球数百万用户。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 谷歌推出名为“开发者验证”（Developer Verification）的安卓新防护机制，旨在阻止从官方Google Play商店外通过侧载方式安装的恶意应用。此前，谷歌已在2023年8月31日要求Play商店上架应用的发布者提供D-U-N-S（全球数据通用编码系统）编号，该措施显著降低了平台内的恶意软件比例，但未覆盖应用商店外的大量开发者生态。 “我们发现恶意行为者常利用匿名身份伪装开发者，盗用品牌形象制作高仿应用来侵害用户，”谷歌在公告中指出，“此类威胁规模巨大：最新分析显示，通过互联网侧载渠道传播的恶意软件数量是Google Play应用的50倍以上。” 尽管外部威胁更为普遍，新规要求同时适用于Google Play及第三方应用商店托管的应用。自2026年起，所有安装于“认证安卓设备”的应用必须来自已完成谷歌身份验证的开发者。 开发者验证计划将于2025年10月开放早期测试，2026年3月全面开放注册。2026年9月，巴西、印度尼西亚、新加坡和泰国将率先强制执行身份验证要求，2027年起全球推广。届时，未通过验证的侧载应用在认证设备上将被系统拦截并显示安全警告。 “认证安卓设备”指通过谷歌兼容性测试套件（CTS）认证、预装Google Play服务、Play商店及Play Protect的设备，涵盖三星、小米、摩托罗拉、一加、OPPO、vivo及谷歌Pixel等主流品牌。而华为设备、亚马逊Fire平板，以及采用深度定制系统、组件来源存疑的山寨电视盒或手机等“非认证设备”不受新规约束，用户仍可自由侧载未经验证的匿名开发者应用。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 新加坡科技设计大学（SUTD）旗下ASSET（自动化系统安全）研究团队开发出一种无需依赖伪基站（gNB）即可将5G连接降级至低世代网络的新型攻击技术。该攻击基于名为Sni5Gect（“Sniffing 5G Inject”的缩写）的开源工具包，能够嗅探基站与用户设备（UE，即手机）间传输的未加密消息，并通过空口向目标设备注入恶意消息。 据研究者罗世杰（Shijie Luo）、Matheus Garbelini、Sudipta Chattopadhyay和周建英（Jianying Zhou）介绍，该框架可实现多种攻击，包括：使设备调制解调器崩溃、强制网络降级至旧世代、设备指纹识别或绕过认证机制。与传统依赖伪基站的5G攻击不同，Sni5Gect以第三方身份插入通信链路，在用户设备接入过程中被动嗅探消息并实时解码协议状态，进而利用状态信息精准注入攻击载荷。 技术原理与突破 攻击利用5G通信中认证前阶段的安全窗口：当手机发起随机接入（RACH）至建立NAS安全上下文期间，基站与设备交换的消息既无加密也无完整性保护。攻击者无需掌握设备凭证，即可监听上下行流量并注入伪造消息。其核心创新在于： 被动嗅探：实时解码基站与设备间未加密消息（如RRC建立请求、注册请求等），跟踪协议状态； 有状态注入：根据协议状态在关键时间点（如设备发送注册请求后）注入攻击载荷，设备误认消息来自合法基站而执行恶意指令。 攻击能力验证 研究团队在20米距离内对五款商用手机（一加Nord CE 2、三星Galaxy S22、谷歌Pixel 7、华为P40 Pro及Fibocom USB调制解调器）进行测试： 上下行流量嗅探准确率超80%； 数据包注入成功率高达70%-90%； 成功演示三类攻击： 单次注入生效：如注入畸形RRC消息触发调制解调器崩溃（利用5Ghoul漏洞），或注入“N1模式拒绝”消息强制5G降级至4G； 需响应的单次注入：通过“身份请求”消息诱骗设备返回加密的SUCI身份标识； 多阶段降级攻击（CVD-2024-0096）：篡改认证请求的序列号并重播，触发设备防护机制拉黑5G基站，最终迫使其自动连接4G网络。 行业影响与响应 全球移动通信系统协会（GSMA）已承认该降级攻击的威胁性，并为其分配漏洞编号CVD-2024-0096。研究者强调，Sni5Gect不仅是首个无需伪基站的5G空口嗅探与注入框架，更为安全研究提供关键工具：既可推动运营商优化认证前消息的完整性校验机制，也能促进5G物理层安全及入侵检测技术的发展。       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国联邦通信委员会（FCC）已将 1200 家语音服务提供商清除出美国电话网络，原因是它们未能遵守保护用户免受恶意和非法电话（即骚扰电话）侵害的规定。 这些公司被移出反骚扰电话缓解数据库（Robocall Mitigation Database, RMD），意味着所有其他语音服务和中间提供商必须停止直接接受来自这些不合规公司的所有呼叫。 这一千两百家公司未能向 FCC 提交有效的反骚扰电话缓解计划，或其计划缺乏必要信息。这些公司在收到警告后也未能提供解释和解决问题，“从而逃避了保护消费者免受非法骚扰电话侵害的责任”。 “骚扰电话对美国家庭来说是极其常见又令人沮丧的威胁，” FCC 主席布伦丹·卡尔（Brendan Carr）在一份声明中表示。“未能履行阻止这些电话职责的提供商，在我们的网络中没有立足之地。我们正在采取行动，并将继续这样做。” 美国的语音服务提供商必须实施 STIR/SHAKEN 来电显示认证框架，提交反骚扰电话缓解计划，并主动打击骚扰电话。RMD 数据库是一个关键工具，用于认证在相应网络所有基于 IP 的部分所实施的保护措施。 2024 年 12 月，FCC 曾命令 2411 家公司修正其 RMD 备案中的缺陷。然而，在 8 月 6 日，有 185 家提供商因未能做到这一点而被移出数据库，随后最近的行动又移除了超过 1200 家提供商。 一个由两党组成的 51 名州检察长团体已发起进一步行动。在代号为“Operation Robocall Roundup”（反骚扰电话行动）的行动中，他们向 37 家语音提供商发出了警告信，要求它们采取行动，阻止非法骚扰电话通过其网络进行路由。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Docker 修复了 Windows 和 macOS 版 Docker Desktop 应用程序中的一个高危漏洞（CVE-2025-9074，CVSS 评分 9.3），攻击者可能利用该漏洞突破容器隔离限制。 根据 Docker 官方文档披露，恶意容器能够访问 Docker 引擎并在无需套接字的情况下启动新容器，即使启用了增强容器隔离（ECI）功能，仍存在主机文件被访问的风险。安全公告指出：“Docker Desktop 中存在一个漏洞，允许本地运行的 Linux 容器通过默认配置的 Docker 子网（192.168.65.7:2375）访问 Docker 引擎 API。无论是否启用增强容器隔离功能，或是否开启‘通过 无 TLS 暴露守护进程’选项，该漏洞都会存在。攻击者可借此向引擎 API 执行大量特权命令，包括控制其他容器、创建新容器、管理镜像等。在某些情况下（如使用 WSL 后端的 Windows 版 Docker Desktop），攻击者还能以 Docker Desktop 运行用户的相同权限挂载主机驱动器。” 该漏洞由研究人员费利克斯·布勒（Felix Boulet）和菲利普·杜格雷（Philippe Dugre，zer0x64）发现。布勒证实漏洞允许容器在无需认证的情况下连接 Docker 引擎 API（192.168.65.7:2375）。概念验证显示，任何容器均可发送请求绑定主机的 C:\ 驱动器，随后启动具有主机文件读写权限的容器，最终导致完全控制主机。布勒表示：“这个漏洞本质上是由于一个简单的疏忽——Docker 的内部 HTTP API 可以从任何容器访问，且无需认证或访问控制。这深刻提醒我们，关键安全漏洞往往源于最基本的假设。我通过对 Docker 文档记载的私有网络进行快速 nmap 扫描发现了这个问题。扫描整个私有子网只需几分钟，可能会揭示你并未如想象中那样隔离。务必测试网络隔离假设，不要默认所有安全模型都已对齐。” 杜格雷发现 Windows 版 Docker Desktop 漏洞允许攻击者以管理员权限挂载完整文件系统，读取敏感数据或覆盖 DLL 获取主机控制权。专家解释称，得益于系统隔离机制，macOS 受影响程度较低，但攻击者仍可后门化 Docker 配置。Linux 系统不受影响，因其使用命名管道进行通信。漏洞利用途径包括恶意容器或通过 SSRF（服务器端请求伪造）代理请求至 Docker 套接字。杜格雷补充说明：“虽然最简单的利用方式是通过攻击者控制的易受攻击/恶意容器，但服务器端请求伪造（SSRF）也是可行的攻击向量。该漏洞允许攻击者通过易受攻击的应用程序代理请求访问 Docker 套接字，实际影响尤其取决于 HTTP 请求方法的可用性（多数 SSRF 仅允许 GET 请求，但在某些特殊情况下允许使用 POST、PATCH、DELETE 方法）。”该漏洞已在 4.44.3 版本中修复。       消息来源： securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 马里兰州多个政府部门正应对一起影响残障人士交通服务系统的网络攻击。 周日，马里兰州交通管理局（MTA）在其社交媒体和网站上发布了关于一起网络事件的警告，该事件涉及对其部分系统的未经授权访问。 虽然 MTA 的核心交通服务（包括公交线路、地铁和轻轨系统）未受影响，但用于名为“Mobility”的专项客运服务的部分实时信息系统和其他工具受到了影响。 Mobility 服务于无法到达或等候公交车站的人士。这项共享乘车服务通过网站预约，可将乘客从家中送至目的地。 MTA 表示 Mobility 服务“无法安排新的行程或重新预订现有行程”。 “此外，部分 MTA 服务运营和信息系统，包括实时信息和我们的呼叫中心，可能会受到影响，”该部门解释道。“我们正与第三方网络安全专家和执法合作伙伴合作，评估事件范围并减轻其影响。” 所有本周已预定的 Mobility 行程将照常提供。需要预约新行程的人士应使用“Call-A-Ride”服务，可通过其网站或电话号码进行预约。 MTA 表示，该州的应急管理部门已启动了包含信息技术部和其他关键机构在内的全州紧急行动中心。 截至周一下午，尚未有任何黑客组织认领此次事件。今年早些时候，马里兰州最大的县曾遭受网络攻击，导致政府服务受限数日。 过去两年间，黑客通过对美国地方政府的网络攻击，屡次导致市政残障服务出现问题。在密苏里州、弗吉尼亚州等地区，网络攻击或勒索软件事件导致关键系统离线后，当地政府不得不为残障居民提供替代方案。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Zscaler 旗下 ThreatLabs 团队在调查一波针对安卓设备的 Anatsa（Teabot）银行木马新感染浪潮时，发现 77 款恶意安卓应用在 Google Play 上被安装了超过 1900 万次，这些应用向用户传播多种恶意软件家族。 虽然大部分恶意应用（超过 66%）包含广告软件组件，但最常见的安卓恶意软件是 Joker，研究人员在近 25% 的分析应用中发现了它。安装到设备后，Joker 可以读取和发送短信、截屏、拨打电话、窃取通讯录、访问设备信息，并为用户订阅高级服务。 较小比例的应用程序包含伪装软件（maskware），该术语用于定义那些伪装成不会引起任何怀疑的合法应用的恶意软件。此类恶意软件可能表现为功能正常的合法应用，但会在后台执行恶意活动，例如窃取凭证、银行信息或其他敏感数据（位置、短信）。网络犯罪分子也可能利用伪装软件传播其他恶意软件。 Zscaler 研究人员还发现了一种名为 Harly 的 Joker 变种，它以一个表面合法的应用程序形式出现，但将恶意负载隐藏在代码深处，以在审核过程中规避检测。在 3 月的一份报告中，Human Security 研究人员称 Harly 可以隐藏在流行应用中，例如游戏、壁纸、手电筒和照片编辑器。 Anatsa 木马持续进化 据 Zscaler 称，最新版本的 Anatsa 银行木马进一步扩大了其目标范围，试图窃取数据的银行和加密货币应用数量从此前的 650 个增加到了 831 个。该恶意软件运营商使用一款名为“Document Reader – File Manager”（文档阅读器 – 文件管理器）的应用作为诱饵，该应用仅在安装后才下载恶意的 Anatsa 负载，以此规避谷歌的代码审查。 最新活动已从过去使用的远程 DEX 动态代码加载方式，转变为直接安装负载，从 JSON 文件中解包，然后将其删除。在规避检测方面，它使用畸形的 APK 文件来破坏静态分析，运行时基于 DES 的字符串解密，以及模拟环境检测。包名和哈希值也会定期更改。 在功能方面，Anatsa 滥用安卓系统的无障碍权限，自动授予自身广泛权限。它从服务器获取针对 831 多个应用的钓鱼页面，现已覆盖德国和韩国，同时还添加了键盘记录模块用于窃取通用数据。 在 ThreatFabric 于 7 月发现的另一波攻击之后，最新的 Anatsa 活动接踵而至。当时该木马伪装成 PDF 阅读器潜入 Google Play，下载量超过 5 万次。更早的 Anatsa 活动包括：2024 年 5 月的一次 PDF 和 QR 码阅读器攻击，感染 7 万台设备；2024 年 2 月的一次手机清理器和 PDF 攻击，获得 15 万次下载；以及 2023 年 3 月的一次 PDF 阅读器攻击，安装量达到 3 万次。 Google Play 上的恶意应用浪潮 除了此次发现的恶意 Anatsa 应用外，Zscaler 发现的大多数是广告软件家族，其次是“Joker”、“Harly”和各种伪装软件。 “ThreatLabz 发现 Google Play 商店上的广告软件应用数量急剧上升，同时还有诸如 Joker、Harly 以及 Anatsa 等银行木马类恶意软件，”Zscaler 研究员 Himanshu Sharma 解释道，“相比之下，像 Facestealer 和 Coper 这样的恶意软件家族数量则出现了明显下降。” 工具和个性化应用占用于传播这些恶意软件的诱饵的一半以上，因此这两类应用，连同娱乐、摄影和设计类应用，应被视为高风险类别。包括含有 Anatsa 木马的应用在内，这 77 款恶意应用在 Google Play 上的总下载量达到 1900 万次。 Zscaler 报告称，在其报告后，谷歌已从 Play 商店中移除了他们此次发现的所有恶意应用。安卓用户必须确保其设备上的 Play Protect 服务处于激活状态，以便标记恶意应用进行移除。若感染了 Anatsa 木马，则需采取额外步骤联系银行，以保护可能已被泄露的电子银行账户或凭证安全。 为尽量减少来自 Google Play 上恶意软件加载器的风险，请仅信任信誉良好的发布者，至少阅读几条用户评论，并且仅授予与应用核心功能直接相关的权限。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 安全研究人员警告，Windows系统中默认启用的IPv6协议存在“休眠功能漏洞”，可能成为攻击者的后门。若企业未实际使用IPv6且未进行安全配置，该漏洞可导致整个域环境完全沦陷。 尽管IPv6尚未广泛部署，但Windows系统默认启用该协议且优先级高于旧版IPv4，这一特性引发严重安全隐患。网络安全公司Resecurity指出：攻击者只需控制网络中的任意设备（包括IoT设备），即可将其伪装成虚假配置服务器和DNS服务器。Windows计算机会优先信任这些恶意指令，覆盖现有IPv4配置。 研究人员披露：攻击者可通过此漏洞劫持计算机连接，实现重定向用户至恶意网站、窃取凭证，最终控制整个网络。此前，DNS劫持技术已被VK9 Security等安全机构详细分析。 攻击链：从初始入侵到完全控制 Resecurity在报告中描述攻击者实现域环境完全沦陷的步骤（攻击过程仅需数分钟）： 伪造DHCPv6服务器：攻击者利用开源渗透工具mitm6（可在GitHub获取），将任意设备（包括低性能Linux物联网设备）转变为恶意IPv6配置服务器。 DNS劫持与控制：劫持DNS后，攻击者可将用户重定向至钓鱼网站，同时定位域控制器并截获用户访问网络资源时的登录凭证。 权限升级与域控接管：攻击者向域控制器中继窃取的凭证（NTLM认证信息），冒充特权用户创建恶意账户，最终获得在活动目录中执行任意命令的权限。 （图片由Resecurity提供） 技术本质与防御建议 该技术被命名为MITM6 + NTLM中继攻击，结合中间人劫持与权限提升手法。Resecurity强调：“此攻击是教科书级案例，展示微小配置疏忽如何引发活动目录的全面沦陷。” 关键缓解措施： 禁用未使用的IPv6：在未部署IPv6的环境中彻底关闭该协议，从源头消除攻击面。 部署网络层防护：在交换机和路由器启用RA Guard/DHCPv6 Guard功能，拦截非法IPv6通告及恶意DHCP服务器。 强化活动目录配置：设置ms-DS-MachineAccountQuota=0阻止非法创建计算机账户；强制启用SMB/LDAP签名防止中继攻击。 持续监控异常：检测非常规IPv6流量、异常网关变更及未经授权的DNS服务器更新。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一种结合利用SAP NetWeaver中两个漏洞（编号为CVE-2025-31324和CVE-2025-42999）的新攻击方法，使组织面临系统被入侵和数据被盗的风险。 CVE-2025-31324（CVSS评分：10.0）是NetWeaver Visual Composer开发服务器中存在的一个授权检查缺失漏洞。该漏洞源于NetWeaver Visual Composer元数据上传器缺乏适当的授权检查。这意味着未经认证的攻击者（即没有有效凭证的人员）可利用它向系统上传恶意可执行文件。 一旦这些文件被上传，它们就可能在主机系统上执行，导致目标SAP环境被完全攻陷。SAP已在2025年4月安全补丁日修复了该漏洞。 CVE-2025-42999（CVSS评分：9.1）是SAP NetWeaver Visual Composer开发服务器中存在的不安全反序列化漏洞。该漏洞允许特权用户上传恶意内容，危及系统的机密性、完整性和可用性。美国网络安全和基础设施安全局（CISA）已于2025年5月将此SAP NetWeaver漏洞添加至其“已知被利用漏洞”目录。 VX Underground在社交平台X上发布了针对SAP零日漏洞CVE-2025-31324的利用代码，该代码由“Scattered LAPSUS$ Hunters – ShinyHunters”在Telegram群组中公开。 网络安全公司Onapsis发布的分析报告指出：“这两个被追踪为CVE-2025-31324并与CVE-2025-42999结合利用的初始漏洞，是SAP NetWeaver Visual Composer中两个严重漏洞的组合，CVSS评分为10.0（最高严重等级）。这些漏洞允许未经认证的攻击者在目标SAP系统上执行任意命令，包括上传任意文件。这可能导致远程代码执行（RCE）以及对受影响系统和SAP业务数据与流程的完全接管。”报告强调：“该漏洞已在野外被积极利用，对运行未打补丁SAP系统的组织构成了明确而现实的威胁。” 这种攻击方法将CVE-2025-31324和CVE-2025-42999串联起来，以绕过身份验证并以管理员权限执行恶意代码，使攻击者能够运行操作系统命令、部署Web Shell并完全访问数据和资源。研究人员指出，该利用程序不会在系统上留下痕迹。 “该反序列化工具的公开尤其令人担忧，因为它可以在其他上下文中被重用，例如利用SAP最近在7月修补的反序列化漏洞——这些漏洞由Onapsis发现并报告（2025年7月SAP补丁日：创纪录的补丁与关键反序列化漏洞）： 安全补丁3578900对应CVE-2025-30012（CVSS 10） 安全补丁3620498对应CVE-2025-42980（CVSS 9.1） 安全补丁3610892对应CVE-2025-42966（CVSS 9.1） 安全补丁3621771对应CVE-2025-42963（CVSS 9.1） 安全补丁3621236对应CVE-2025-42964（CVSS 9.1） 这可能会为SAP应用程序的其他领域开辟新的攻击途径。它是攻击者武器库中的强大工具，其公开是一个重大事件。”Onapsis继续强调，“组织应确保这些SAP漏洞也已在其环境中得到及时修补。” Onapsis已与Mandiant合作，在其GitHub页面上发布了针对CVE-2025-31324和CVE-2025-42999的开源扫描器。       消息来源： securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 根据Shadowserver基金会最新监测数据，超过870个暴露在互联网的N-able N-central实例仍运行存在两个高危漏洞的版本。这两个漏洞分别被追踪为CVE-2025-8875（不安全反序列化问题）和CVE-2025-8876（命令注入漏洞）。 N-able于8月13日发布公告称，其远程监控与管理平台（RMM）2025.3版本已修复相关漏洞。同日，美国网络安全和基础设施安全局（CISA）将漏洞列入“已知被利用漏洞”目录，要求联邦机构在8月20日前完成修补。 N-able向SecurityWeek确认，漏洞已被用于攻击“有限数量的客户”，攻击者通过利用本地部署的N-central实例实现权限提升。该公司声明：“目前尚未在云端托管环境中发现攻击证据，调查仍在持续中。”尽管未明确承认，漏洞披露时间与CISA紧急响应的时间节点暗示这些漏洞可能已被作为零日漏洞利用。 漏洞披露后，Shadowserver立即启动专项监测。该机构8月18日报告称：“8月15日扫描发现1077个存在漏洞的IP地址。”截至8月17日，全球仍有超过870个未修复实例，地域分布前五位为：美国（367台）、加拿大（92台）、荷兰（84台）、澳大利亚（74台）和英国（72台）。 N-able作为2021年从SolarWinds分拆的独立公司，其N-central平台是托管服务提供商（MSP）的核心管理工具。该平台的失陷可能导致攻击者渗透MSP客户的网络环境。       消息来源： securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文