HackerNews 编译，转载请注明出处： 日本汽车制造商马自达株式会社（Mazda）近日披露，去年12月发现的一起安全事件导致员工及合作伙伴信息外泄。 作为日本最大汽车制造商之一，马自达年产车辆120万台，年收入近240亿美元。 公司表示，攻击者利用了泰国零部件采购仓库管理系统的漏洞。该系统不包含任何客户数据，泄露记录仅限692条。 马自达在公告中称：”公司已发现针对泰国零部件采购仓库管理系统的未授权外部访问痕迹。发现后，公司立即向个人信息保护委员会（日本内阁府外局）报告，并在外部专业机构协助下实施适当安全措施并展开调查。” 调查显示，可能泄露的信息包括：用户ID、姓名、电子邮箱、公司名称及合作伙伴ID。 尽管马自达表示尚未发现信息被滥用的情况，但建议受影响人员保持警惕，因为针对他们的钓鱼攻击和诈骗风险显著增加。 除通知当局外，马自达还实施了额外的IT系统安全措施，包括减少互联网暴露面、应用安全补丁、加强可疑活动监控及引入更严格的访问策略。 截至发稿，尚无勒索软件组织公开宣称对这家日本公司发动攻击。 BleepingComputer已联系马自达了解事件详情，将在收到官方回复后更新本文。 值得注意的是，虽然马自达从未正式确认数据泄露，但Clop勒索软件组织已于2025年11月在其数据泄露网站上列出Mazda.com和MazdaUSA.com，声称入侵了这家日本汽车制造商及其美国子公司。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Moltbook 是 Octane AI 的 Matt Schlicht 于 2026 年 1 月末推出的新兴 AI 智能体社交网络，当前该平台因号称拥有 150 万 “用户” 引发热议，但其存在一项高危漏洞，导致注册主体的电子邮箱、登录令牌及 API 密钥遭泄露。 研究人员披露，该平台因数据库配置不当导致暴露，未授权人员可访问智能体档案，进而实现批量数据窃取。 该漏洞同时伴随账户创建无速率限制的问题，据悉单个 OpenClaw 智能体（@openclaw）就注册了 50 万个虚假 AI 用户，直接戳破了媒体所称的自然增长论调。 平台运行机制 Moltbook 支持基于 OpenClaw 构建的 AI 智能体发布内容、评论，还可创建如 m/emergence 这类 “子社群”，催生了围绕 AI 涌现、报复性信息泄露、Solana 代币刷信誉等话题的智能体论战 平台已涌现超 2.8 万条帖子及 23.3 万条评论，并有 100 万沉默验证者对内容进行查看。但智能体数量存在造假：因无注册限制，大量机器人批量注册，营造出平台爆火的假象。 关联不安全开源数据库的暴露端点，无需身份验证，仅通过 GET /api/agents/{id} 这类简单查询指令，即可泄露智能体数据。 攻击者可以通过枚举 ID 快速获取成千上万条记录。 安全风险与专家警告 此次不安全的直接对象引用（IDOR）及数据库暴露漏洞，构成了 “致命三重威胁”：智能体可访问私密数据、平台存在不可信输入风险（提示注入）、支持外部通信，可能引发凭证窃取、文件删除等破坏性操作。 Andrej Karpathy 称该平台是 “充斥垃圾信息的规模里程碑”，但更是 “计算机安全噩梦”，Bill Ackman 则评价其 “令人恐慌”。子社群中的提示注入攻击可操控机器人泄露宿主数据，且 OpenClaw 无沙箱隔离的执行机制会加剧这一风险。 目前尚无修复补丁确认；Moltbook (@moltbook) 对漏洞披露无回应。安全专家强烈建议用户及智能体所有者：立即撤销所有相关API密钥、将智能体置于沙箱环境中运行，并全面审计数据暴露情况。对于企业而言，不受管控的此类机器人活动更带来了严峻的“影子IT”风险。     消息来源:cybersecuritynews： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员披露了在 n8n 工作流自动化平台两个新的安全漏洞，其中一个为可导致远程代码执行的高危漏洞。 这两个由 JFrog 安全研究团队发现的漏洞详情如下： CVE-2026-1470（CVSS 评分：9.9）：一个 eval 注入漏洞。经过身份验证的用户可通过传入特制的 JavaScript 代码，绕过平台的表达式沙箱机制，从而在 n8n 主节点上实现完整的远程代码执行。 CVE-2026-0863（CVSS 评分：8.5）：一个 eval 注入漏洞。经过身份验证的用户可借此绕过 n8n 的 python-task-executor 沙箱限制，在底层操作系统上运行任意 Python 代码。 成功利用这些漏洞可使攻击者劫持整个 n8n 实例，即便该实例运行在 “内部” 执行模式下也不例外。n8n 在其文档中指出，在生产环境中使用内部模式可能带来安全风险，并建议用户切换至外部模式，以确保 n8n 与任务运行进程之间有适当的隔离。 “n8n 为自动化 AI 工作流而遍布企业全流程，因此它掌控着、基础设施的核心工具、功能和数据密钥，包括大语言模型（LLM）API、销售数据和内部身份与访问管理（IAM）系统等，”JFrog 在与 The Hacker News 分享的声明中表示。“一旦发生沙箱逃逸，就相当于为黑客提供了通往整个公司的有效‘万能钥匙’。” 为修复这些漏洞，建议用户升级至以下版本： CVE-2026-1470：请升级至 1.123.17、2.4.5 或 2.5.1 版本。 CVE-2026-0863：请升级至 1.123.14、2.3.5 或 2.4.2 版本。 此次披露距离 Cyera Research Labs 详细说明 n8n 中一个最高危漏洞（CVE-2026-21858，又名 Ni8mare）仅过去数周，该漏洞允许未经认证的远程攻击者完全控制易受攻击的实例。 “这些漏洞凸显了安全地沙箱化 JavaScript 和 Python 这类动态高级语言的难度之大，”研究员 Nathan Nehorai 表示。“即便部署了多层验证、拒绝列表和基于抽象语法树（AST）的控制措施，攻击者仍可利用微妙的语言特性和运行时行为来突破安全设计的预设。” “在此案例中，一些已被弃用或鲜少使用的语法结构，结合解释器的变更与异常处理行为，便足以突破原本限制严格的沙箱，最终实现远程代码执行。” 消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Fortinet 发布一款正被利用的严重 FortiOS SSO 认证绕过漏洞 (CVE-2026-24858) 的修复程序，该漏洞影响 FortiOS、FortiManager 和 FortiAnalyzer。 Fortinet 已开始已开始逐步推送针对某款正遭攻击的高危 FortiOS 漏洞的修复补丁。该漏洞编号为 CVE-2026-24858（CVSS 评分为 9.4），可允许攻击者通过单点登录（SSO）绕过身份认证。它影响 FortiOS、FortiManager 和 FortiAnalyzer，Fortinet ，Fortinet 正在调查其他产品是否受影响。 安全公告中写道：“FortiOS、FortiManager 及 FortiAnalyzer 中存在一项‘使用替代路径或通道进行身份验证绕过’的漏洞（CWE-288）。若相关设备启用了 FortiCloud SSO 认证，则拥有 FortiCloud 账户及已注册设备的攻击者，可能借此登录到其他账户下的已注册设备。”“请注意，FortiCloud SSO 登录功能在出厂默认设置中处于关闭状态。然而，当管理员通过设备图形界面（GUI）将其注册至 FortiCare 时，若未在注册页面手动关闭‘允许使用 FortiCloud SSO 进行管理登录’选项，则该功能将会在注册完成后自动启用。” Fortinet 强调，FortiCloud SSO 登录功能默认禁用。仅当管理员通过 GUI 将设备注册至 FortiCare，或在注册时明确启用 FortiCloud SSO 管理登录选项后，该功能才会激活。 这家网络安全厂商证实，已有两个恶意 FortiCloud 账户利用该漏洞发起攻击，相关账户已于 2026 年 1 月 22 日被封禁。为遏制漏洞滥用，FortiCloud SSO 服务在 1 月 26 日被临时禁用，并于 1 月 27 日重新启用。目前，该服务会阻止运行易受攻击版本的设备登录，用户必须将设备升级至受支持的版本，方可继续使用 FortiCloud SSO 认证。 该公司仍在调查其他产品（如 FortiWeb 和 FortiSwitch Manager）是否受此漏洞影响。 Fortinet 提供了临时应对方案：由于 FortiCloud SSO 现已禁止来自运行漏洞版本的设备登录，因此客户端并非必须禁用 SSO。但作为额外防护，管理员仍可通过 GUI 或CLI，在 FortiOS、FortiProxy、FortiManager 和 FortiAnalyzer 上手动禁用 FortiCloud SSO，直至系统完成全面修补。 上周，Fortinet 确认已修复的设备也遭到了绕过 FortiCloud SSO 的攻击。他们通过自动化手段修改防火墙设置、添加用户、启用 VPN 并窃取配置文件，其攻击模式与 2025 年 12 月利用严重 FortiCloud SSO 漏洞的攻击模式相似。 Arctic Wolf 研究人员报告称，自 2026 年 1 月 15 日起观测到一个新的自动化攻击集群，该集群专门针对 FortiGate 设备。攻击者创建通用账户以维持访问权限、启用 VPN 访问并窃取防火墙配置。此活动与 2025 年 12 月那起涉及管理员 SSO 登录和配置窃取的攻击活动类似。Arctic Wolf 已部署相应检测机制，并持续监控这一持续演变的威胁。 2025年12月，Fortinet 披露了两个严重的 SSO 认证绕过漏洞，编号为 CVE-2025-59718 和 CVE-2025-59719，其本质是加密签名验证不当问题。 Arctic Wolf 警告称，在补丁发布数日后，攻击者就已开始利用 Fortinet 产品中的这两个严重漏洞。 Arctic Wolf 研究人员检测到，攻击者在 2025 年 12 月 12 日便开始利用这些严重的 Fortinet 认证绕过漏洞，此时距补丁发布仅三天。攻击涉及在 FortiGate 设备上进行恶意 SSO 登录，主要目标是来自多家托管服务提供商的管理员账户。获取访问权限后，攻击者随即通过 GUI 导出设备配置文件。这些文件中包含哈希加密后的凭证信息，攻击者可尝试离线破解，从而增加了系统被进一步入侵的风险。 近期的入侵事件显示，恶意 SSO 登录源自少数几家托管服务提供商，且常针对 cloud-init@mail.io 账户。在成功通过 SSO 访问后，攻击者会迅速通过 GUI 导出防火墙配置，并创建用于维持访问权限的次级管理员账户。这些操作均在数秒内完成，表明攻击高度自动化。 Fortinet 证实，即便已针对 CVE-2025-59718 和 CVE-2025-59719 完成修补的设备，也未能幸免。该公司在观察到已完全更新的设备仍遭登录利用后，发现了一条新的攻击路径。修复工作正在进行中，安全公告即将发布，所有基于 SAML 的 SSO 实现均可能受影响。 该公司发布的公告中写道：“近期，少量客户报告其设备出现了异常登录活动，这与先前的问题极为相似。然而，在过去24小时内，我们确认了多起攻击案例，其目标设备在受攻击时均已升级至最新版本，这表明存在新的攻击路径。” “Fortinet 产品安全团队已识别该问题，公司正在制定修复方案。待修复范围与具体时间表确定后，将发布正式安全公告。需要强调的是，尽管目前仅观测到 FortiCloud SSO 遭利用的案例，但此问题影响所有 SAML SSO 部署场景。”       消息来源:securityaffairs ： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 谷歌于周一发布了 Android 操作系统的月度安全更新，其中包含两个已被证实存在野外利用情况的漏洞。 此次补丁共修复了 107 个涉及多个组件的安全漏洞，涵盖框架（Framework）、系统（System）、内核（Kernel）以及 ARM、Imagination Technologies、联发科（MediaTek）、高通（Qualcomm）和 Unison 等厂商相关组件。 以下是两个已被野外利用的高严重性漏洞详情： CVE-2025-48633：框架组件中的信息泄露漏洞 CVE-2025-48572：框架组件中的权限提升漏洞 按照惯例，谷歌未披露有关攻击性质的更多细节，包括漏洞是被单独利用还是组合利用、攻击规模等信息，目前也不清楚攻击发起者的身份。 不过，这家科技巨头在安全公告中承认，有迹象表明这些漏洞 “可能正遭受有限范围的针对性利用”。 2025 年 12 月更新还修复了框架组件中的一个严重漏洞（CVE-2025-48631），该漏洞无需额外执行权限即可导致远程拒绝服务（DoS）攻击。 12 月安全公告包含两个补丁版本，分别为 2025-12-01 和 2025-12-05，为设备厂商提供了灵活性，使其能够更快地修复所有 Android 设备共有的部分漏洞。谷歌建议用户在补丁发布后尽快将设备更新至最新补丁版本。 值得注意的是，三个月前谷歌曾发布补丁修复了 Linux 内核（CVE-2025-38352，CVSS 评分 7.4）和 Android 运行时（CVE-2025-48543，CVSS 评分 7.4）中的两个活跃利用漏洞，这两个漏洞均可能导致本地权限提升。   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 趋势科技（Trend Micro）报告称，一个新发现的僵尸网络采用 “霰弹枪式” 策略攻陷设备 —— 其搭载了超 50 个漏洞利用工具，目标涵盖路由器、服务器、摄像头及其他网络产品。 该僵尸网络被命名为RondoDox，于 2025 年年中开始活跃，最初与CVE-2023-1389 漏洞的利用相关。此漏洞是 TP-Link Archer AX21 路由器广域网（WAN）接口中的命令注入漏洞，最早在 2022 年多伦多 Pwn2Own 黑客大赛中被披露。 2025 年 6 月，研究人员发现 RondoDox 开始针对CVE-2024-3721和CVE-2024-12856 漏洞发起攻击 —— 这两个高严重性漏洞分别存在于 TBK 品牌硬盘录像机（DVR）和四信（Four-Faith）路由器中，此后该僵尸网络的攻击目标清单大幅扩展。 据趋势科技透露，目前 RondoDox 的攻击范围已覆盖来自30 余家厂商的设备，包括路由器、硬盘录像机（DVR）、网络录像机（NVR）、闭路电视（CCTV）系统、网页服务器及其他网络设备。 RondoDox 共针对56 个漏洞发起攻击，其中 18 个漏洞尚未分配 CVE 标识（CVE 是漏洞统一编号系统，未分配标识意味着漏洞可能未被广泛公开或记录）。这些漏洞中，绝大多数属于 “命令注入漏洞”（攻击者可通过注入恶意命令控制设备），且有部分漏洞已被纳入美国网络安全与基础设施安全局（CISA）的 “已知被利用漏洞清单”（KEV List）—— 这一清单的纳入，凸显了设备厂商及用户 “立即打补丁修复漏洞” 的紧迫性。 2025 年 9 月末，网络安全公司 CloudSek 发出警告：自 2025 年年中以来，RondoDox 的攻击频次激增230% 。促成这一增长的关键因素，是该僵尸网络对 “弱密码”“未过滤输入” 及 “老旧 CVE 漏洞” 的批量利用（老旧漏洞指已被公开但仍有大量设备未修复的漏洞）。 CloudSek 指出，被 RondoDox 感染的设备会被用于三类恶意活动：加密货币挖矿（占用设备算力获取非法收益）、分布式拒绝服务（DDoS）攻击（操控大量感染设备瘫痪目标网站或服务器），以及入侵企业内部网络（以感染设备为 “跳板”，渗透企业核心系统）。 研究还发现，RondoDox 的操控者会通过快速轮换基础设施（如更换控制服务器 IP、域名）的方式躲避检测；同时，RondoDox 的恶意程序文件（二进制文件）常与另外两种知名僵尸网络恶意程序 ——Mirai和Morte的载荷（Payload，即实现恶意功能的核心代码）捆绑分发。 趋势科技表示：“近期，RondoDox 进一步扩大了传播范围 —— 它利用‘加载器即服务’（Loader-as-a-Service）基础设施，将自身与 Mirai/Morte 的载荷打包分发。这种捆绑方式使得‘检测与清除恶意程序’的需求变得更加迫切。” RondoDox 的攻击目标架构涵盖ARM 架构、MIPS 架构及多种 Linux 系统架构（这些架构广泛应用于路由器、摄像头等嵌入式设备）。它能够通过发送 HTTP、UDP、TCP 数据包发起 DDoS 攻击，且会通过 “模拟知名游戏平台流量” 或 “伪装成 VPN 服务流量” 的方式，隐藏自身恶意通信行为，躲避安全系统的检测。 趋势科技强调：“此次 RondoDox 采用‘霰弹枪式’策略，针对 30 余家厂商的 50 余个漏洞发起攻击 —— 这一现象凸显了一个核心风险：对于那些‘将网络基础设施暴露在互联网中，且未采取充分安全管控措施’的机构而言，其面临的威胁始终存在且不容忽视。”   消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Legit Security 近日披露了 GitHub Copilot Chat 人工智能助手的一个漏洞，该漏洞导致敏感数据泄露并允许攻击者完全控制 Copilot 的回复。 通过结合内容安全策略（CSP）绕过与远程提示注入，Legit Security 的研究员 Omer Mayraz 成功从私有仓库中泄露了 AWS 密钥和零日漏洞信息，并影响了 Copilot 向其他用户提供的回复。 Copilot Chat 旨在提供代码解释和建议，并允许用户通过 HTML 注释在渲染的 Markdown 中隐藏内容。隐藏评论仍会触发向仓库所有者发送的拉取请求通知，但不会显示评论内容。然而，相关提示也会被注入到其他用户的上下文中。 Mayraz 解释说，隐藏评论功能允许用户影响 Copilot，使其向其他用户显示代码建议，包括恶意软件包。Mayraz 还发现，他可以制作包含访问用户私有仓库指令的提示，对其内容进行编码，并将其附加到 URL 中。“当用户点击该 URL 时，数据就会被回传给我们，”他指出。 不过，GitHub 严格的内容安全策略阻止从非平台拥有的域名获取图片及其他内容，从而防止通过向受害者聊天中注入 HTML <img> 标签来泄露数据。当 README 或 Markdown 文件中包含外部图片时，GitHub 会解析这些图片以识别 URL，并使用开源项目 Camo 为每个文件生成匿名代理 URL。外部 URL 会被重写为 Camo 代理 URL，当浏览器请求图片时，Camo 代理会检查 URL 签名，并且仅当 URL 由 GitHub 签名时才从原始位置获取外部图片。 这种做法通过使用受控代理获取图片来确保安全，防止利用任意 URL 泄露数据，并且在 README 中显示图片时不会暴露图片 URL。 “我们注入到受害者聊天中的每个 <img> 标签必须包含预先生成的有效 Camo URL 签名，否则 GitHub 的反向代理将不会获取内容，”Mayraz 指出。 为了绕过这一保护机制，该研究员创建了一个包含字母表中所有字母和符号的字典，为每个字符预生成对应的 Camo URL，并将该字典嵌入到注入的提示中。 他创建了一个对每个请求返回 1×1 透明像素的服务器，构建了可用于从仓库泄露敏感内容的字母和符号的 Camo URL 字典，随后制作了触发漏洞的提示。 Mayraz 发布了概念验证视频，演示了如何利用该攻击从私有仓库中泄露零日漏洞和 AWS 密钥。 8月14日，GitHub 通知该研究员，已通过禁止使用 Camo 泄露用户敏感信息的方式修复了该问题。 消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国网络安全与基础设施安全局（CISA）已将 Synacor Zimbra 协作套件（ZCS）的一个漏洞（漏洞编号：CVE-2025-27915）添加至其已知被利用漏洞（KEV）目录中。 CVE-2025-27915 是 Zimbra 协作套件（9.0-10.1 版本）中存在的一种存储型跨站脚本（XSS）漏洞，由 ICS 文件中 HTML 过滤不充分所致。当受害者打开包含恶意 ICS 条目（日历数据交换格式）的电子邮件时，JavaScript 代码会通过<ontoggle>事件执行，攻击者借此可劫持会话、设置邮件重定向并窃取数据。 StrikeReady 公司的研究人员发现，威胁行为者利用恶意 iCalendar（.ICS）文件，通过零日攻击（指漏洞未被公开且无补丁修复时发起的攻击） exploiting 了 Zimbra 协作套件中的 CVE-2025-27915 漏洞。ICS 文件原本用于共享日历数据，而在今年早些时候，该文件被恶意利用以向目标系统植入 JavaScript 有效负载。 StrikeReady 发布的报告指出：“2025 年初，一个显示来自 193.29.58.37 的发送方伪造利比亚海军礼宾办公室的身份，向巴西军方发起攻击，利用的正是 Zimbra 协作套件中的零日漏洞 CVE-2025-27915。此次攻击借助了恶意 ICS 文件，这是一种常用的日历格式文件。” 美国网络安全与基础设施安全局：Zimbra 零日攻击事件详情 研究人员在分析大小超过 10KB 且嵌入了混淆 JavaScript 代码的 ICS 文件时，发现了这些攻击行为。 该恶意脚本以 Zimbra 网页邮件系统为攻击目标，窃取用户凭证、电子邮件、联系人及共享文件夹等信息，并将数据泄露至ffrk.net网站。此脚本采用多种规避检测技术：恶意代码延迟 60 秒执行、活动时间限制为 3 天、隐藏用户界面痕迹，且会强制闲置用户登出以窃取数据。研究人员还发现，该脚本通过多个立即调用函数表达式（IIFEs）实现异步运行。 以下是该恶意软件具备的功能： 注入隐藏表单字段，在无可见界面提示的情况下捕获用户名和密码； 窃取在认证表单中输入的凭证信息； 跟踪输入操作（鼠标 / 键盘），若用户处于闲置状态，则终止会话以实施数据窃取； 调用 Zimbra SOAP 接口枚举文件夹并提取电子邮件； 定期（约每 4 小时）将捕获的邮件内容上传至攻击者服务器； 创建名为 “Correo” 的邮件转发规则，将邮件重定向至某个质子邮箱（ProtonMail）地址； 收集认证相关数据及备份令牌并发送给攻击者； 提取通讯录、通讯组列表及共享文件夹中的内容； 注入后延迟 60 秒释放有效负载，以规避快速检测； 限制全功能活动时长为 3 天，之后需进入冷却期； 隐藏或移除界面元素，最大限度减少入侵痕迹； 以多个独立代码块异步运行，拆分执行流程以增加分析难度。 StrikeReady 尚未确定此次攻击的具体实施组织，但指出仅有少数资源充足的行为体具备发起零日攻击的能力。研究人员发现，此次攻击所采用的战术、技术与程序（TTPs，网络攻击领域常用术语，指攻击方的行动模式）与白俄罗斯 APT 组织 UNC1151 的攻击手法存在相似之处。 根据《第 22-01 号具有约束力的行动指令：降低已知被利用漏洞的重大风险》（BOD 22-01）的要求，美国联邦民事执行部门（FCEB）所属机构必须在截止日期前修复已发现的漏洞，以防范利用目录中所列漏洞发起的攻击。专家还建议私营机构核查该漏洞目录，并及时修复自身基础设施中存在的相关漏洞。 美国网络安全与基础设施安全局要求联邦机构于 2025 年 10 月 28 日前完成该漏洞的修复工作。   消息来源：securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 苹果公司在周一宣布了iOS和macOS平台的重大更新，并修复了一个在旧平台上被利用的漏洞。共修复了50多个漏洞。 iOS 26和iPadOS 26为最新一代iPhone和iPad设备发布，修复了27个独特的CVE漏洞，这些漏洞可能导致内存损坏、信息泄露、崩溃和沙箱逃逸。 WebKit是修复最多的组件，共修复了5个安全缺陷，这些缺陷可能导致进程崩溃、Safari崩溃，或者允许网站在未经同意的情况下访问传感器信息。 iOS更新还修复了Apple Neural Engine、蓝牙、CoreAudio、CoreMedia、内核、Safari、沙箱、Siri、系统等十几个组件中的漏洞。 苹果公司发布了macOS Tahoe 26，修复了38个独特的CVE漏洞，其中11个漏洞也在iOS 26和iPadOS 26中得到了修复。 受影响最严重的组件包括WebKit（修复了5个漏洞）、AppleMobileFileIntegrity和SharedFileList（各修复了4个问题）、蓝牙和沙箱（各修复了3个漏洞）。 其他修复的组件还包括AppKit、AppSandbox、ATS、CoreMedia、CoreServices、FaceTime、Foundation、GPU驱动程序、ImageIO、通知中心、RemoteViewServices、安全初始化、Spotlight和StorageKit。 周一，苹果还发布了iOS 18.7和iPadOS 18.7，修复了12个安全缺陷，并推出了iOS 16.7.12、iPadOS 16.7.12、iOS 15.8.5和iPadOS 15.8.5，修复了CVE-2025-43300漏洞。这是一个ImageIO漏洞，曾在针对WhatsApp用户的攻击中被利用。苹果在8月20日首次发布了针对该漏洞的补丁。 苹果还为macOS Sequoia 15.7和macOS Sonoma 14.8发布了大量补丁，并发布了tvOS 26、watchOS 26和visionOS 26，每个系统都修复了近二十个漏洞。 Safari 26修复了七个安全缺陷，而Xcode 26修复了五个漏洞。 除了CVE-2025-43300外，苹果没有提到其他已修复的漏洞在野外被利用的情况。更多信息可以在公司的安全发布页面找到。     消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现，霍尼韦尔旗下Tridium公司开发的Niagara框架存在十余个安全漏洞。在特定配置下，处于同一网络的攻击者可利用这些漏洞攻陷系统。 Nozomi Networks Labs在上周发布的报告中指出：“如果Niagara系统配置错误，导致特定网络设备的加密功能被禁用，则这些漏洞均可被完全利用。若组合使用，处于同一网络（例如中间人位置）的攻击者将能攻陷整个Niagara系统。” Niagara Framework由霍尼韦尔的独立业务实体Tridium开发。它是一个厂商中立的平台，用于管理和控制来自不同制造商的各种设备（如暖通空调（HVAC）、照明、能源管理和安防系统），使其在楼宇管理、工业自动化和智能基础设施环境中成为极具价值的解决方案。它由两个关键组件构成： 站点 (Station)：负责与联网设备及系统通信并实施控制。 平台 (Platform)：提供创建、管理和运行站点所必需的底层软件环境服务。 Nozomi Networks发现的这些漏洞，可在Niagara系统配置不当导致网络设备加密功能关闭时被利用，为攻击者打开横向移动和更广泛运营中断的大门，影响安全性、生产力和服务连续性。 已发现的最严重问题包括： CVE-2025-3936 (CVSS 评分：9.8) – 关键资源的权限分配不当 CVE-2025-3937 (CVSS 评分：9.8) – 使用计算强度不足的密码哈希值 CVE-2025-3938 (CVSS 评分：9.8) – 缺少加密步骤 CVE-2025-3941 (CVSS 评分：9.8) – Windows: DATA 备用数据流处理不当 CVE-2025-3944 (CVSS 评分：9.8) – 关键资源的权限分配不当 CVE-2025-3945 (CVSS 评分：9.8) – 命令中参数分隔符过滤不当 CVE-2025-3943 (CVSS 评分：7.3) – 在敏感查询字符串中使用GET请求方法 Nozomi Networks表示，他们能够构造一个结合CVE-2025-3943和CVE-2025-3944的漏洞利用链。该利用链可使同一网络上具有访问权限的相邻攻击者入侵基于Niagara的目标设备，最终实现root级远程代码执行。 具体而言，在系统日志服务（Syslog）启用的情况下，攻击者可利用CVE-2025-3943漏洞拦截反跨站请求伪造（CSRF）刷新令牌——包含该令牌的日志可能通过未加密通道传输。 获取令牌后，攻击者可触发CSRF攻击，诱骗管理员访问特制链接，导致所有传入HTTP请求和响应的内容被完整记录。攻击者随后提取管理员的JSESSIONID会话令牌，并利用该令牌以完全提升的权限连接到Niagara站点，创建一个新的后门管理员用户以实现持久访问。 在攻击的下一阶段，攻击者滥用管理权限，下载与设备TLS证书关联的私钥，并利用站点和平台共享相同证书及密钥基础设施这一事实，实施中间人（AitM）攻击。控制平台后，攻击者利用CVE-2025-3944漏洞即可在目标设备上实现root级远程代码执行，完成全面接管。经过负责任的披露流程，这些问题已在Niagara Framework 和 Enterprise Security 的4.14.2u2、4.15.u1或4.10u.11版本中得到修复。 “由于Niagara通常连接关键系统，有时还桥接着物联网（IoT）技术和信息技术（IT）网络，它可能成为一个高价值目标，”该公司表示，“鉴于Niagara驱动的系统可控制关键功能，如果实例未按照Tridium的加固指南和最佳实践进行配置，这些漏洞可能对运营弹性和安全性构成高风险。” 此次漏洞披露之际，PROFINET协议的开源实现库P-Net C也被发现存在多个内存破坏漏洞。若成功利用，这些漏洞可让具有目标设备网络访问权限的未认证攻击者触发拒绝服务（DoS）条件。 “从实际角度看，利用CVE-2025-32399漏洞，攻击者可强制运行P-Net库的CPU陷入无限循环，消耗100%的CPU资源，” Nozomi Networks解释道，“另一个漏洞CVE-2025-32405则允许攻击者在连接缓冲区边界之外进行写入，破坏内存并使设备完全无法使用。” 这些漏洞已在2025年4月底发布的该库1.0.2版本中修复。 近几个月来，罗克韦尔自动化（Rockwell Automation）的PowerMonitor 1000、博世力士乐（Bosch Rexroth）的ctrlX CORE控制器以及稻叶电机产业（Inaba Denki Sangyo）的IB-MCT001摄像头也被发现存在多个安全缺陷，可能导致任意命令执行、设备被接管、拒绝服务（DoS）、信息窃取，甚至能远程访问监控实时画面。 美国网络安全和基础设施安全局（CISA）在关于IB-MCT001漏洞的公告中指出：“成功利用这些漏洞可能使攻击者获取该产品的登录密码、获得未授权访问、篡改产品数据，和/或修改产品设置。”       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文