万兴科技 RepairIt 软件曝两大严重漏洞
HackerNews 编译，转载请注明出处： 网络安全研究人员近日披露，万兴科技（Wondershare）RepairIt 软件中存在两个严重漏洞，不仅导致用户私密数据泄露，还可能让系统遭受 AI模型篡改与供应链攻击的威胁。 这些高危漏洞由 趋势科技（Trend Micro）发现并披露，具体如下： CVE-2025-10643（CVSS 评分：9.1） —— 一处身份验证绕过漏洞，源于对存储账户令牌赋予的过高权限。 CVE-2025-10644（CVSS 评分：9.4） —— 一处身份验证绕过漏洞，源于对 SAS 令牌赋予的过高权限。 一旦被成功利用，攻击者可绕过系统的身份认证保护，发起供应链攻击，最终在用户终端上执行任意代码。 趋势科技研究人员指出，这款具备 AI 功能的数据修复与照片编辑应用 “违背了其隐私政策”：由于缺乏严格的 DevSecOps（开发、安全与运维一体化）流程，导致收集与存储的用户私密数据被意外泄露。 漏洞细节与潜在风险 研究人员发现，该应用在代码中直接硬编码了过度开放的云存储访问令牌，可对敏感云存储进行读写操作。同时，存储的数据未经过加密，进一步增加了用户上传的图片与视频被滥用的风险。 更严重的是，暴露的云存储中不仅包含用户数据，还包括 AI 模型、万兴旗下多款产品的二进制文件、容器镜像、脚本及公司源代码。攻击者若篡改这些 AI 模型或可执行文件，便可能发起针对下游客户的供应链攻击。 研究人员警告称：“由于软件会自动从不安全的云存储中下载并执行 AI 模型，攻击者可修改模型或配置文件，让用户在毫不知情的情况下感染恶意软件。” 这种攻击能够借助官方签名的软件更新或 AI 模型下载传播恶意载荷。 除了用户数据泄露与 AI 模型篡改，这些问题还可能带来严重后果，包括 知识产权盗窃、监管处罚以及消费者信任的流失。 趋势科技称已于 2025 年 4 月 通过 零日计划（ZDI）向厂商负责任地披露了这两个漏洞，但尽管多次尝试联系，至今未收到厂商回应。鉴于暂无修复方案，用户被建议减少或限制使用该产品。 趋势科技提醒：“不断追求新功能与市场竞争，往往让企业忽视这些功能在未来可能被滥用的风险。因此，必须在组织内部，尤其是 CD/CI 流水线中，建立完善的安全流程。” AI 与安全需并行 此次披露也是趋势科技对 MCP（Model Context Protocol）服务器风险的延续性警告。此前，研究人员发现 MCP 服务器若缺乏身份认证或存储明文凭证，攻击者可利用其访问云资源、数据库或注入恶意代码。 每一个 MCP 服务器都可能成为敏感数据的“敞开大门” —— 数据库、云服务、内部 API 或项目管理系统都可能被未授权访问。 在 2024 年 12 月，趋势科技还发现暴露的容器镜像仓库可能被攻击者下载并修改 AI 模型，再上传至公开仓库。被篡改的模型可能在正常情况下表现无异，但在特定输入下触发恶意行为，从而绕过常规检测。 卡巴斯基（Kaspersky）也曾通过概念验证（PoC）指出，从不可信来源安装 MCP 服务器，可能使其伪装成 AI 助手工具，在后台进行侦察与数据窃取。 研究员警告：“安装 MCP 服务器就等于允许它在用户机器上以用户权限运行代码。若未沙箱隔离，第三方代码即可访问用户文件并发起网络连接。” AI 工具的新型攻击向量 随着企业快速采用 MCP 与各类 AI 工具，新的攻击方式层出不穷，包括 工具投毒、拉地毯攻击、影子化利用、提示注入以及越权提升。 近期，Palo Alto Networks的Unit 42 报告披露，AI 代码助手中的上下文附件功能可能被用于间接提示注入。攻击者可在外部数据源中植入恶意提示，让助手在无意中执行后门或泄露敏感信息。 此外，AI 代码代理还被发现易受 “谎言循环”（LitL）攻击。该攻击通过伪造上下文让代理相信恶意操作是安全的，从而绕过本应由人工把关的高风险环节。 研究员指出：“LitL 攻击利用了人类与代理之间的信任。当代理提供的上下文被伪造时，用户也可能被欺骗，从而让攻击者绕过防护。” 消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文
CISA 发出警告：美国多州使用的投票机存在软件漏洞
在发送给美国各州选举官员的一份通知中，美国网络安全和基础设施局(CISA)表示至少有 16 个州目前在使用、来自一家主要供应商的电子投票机存在软件漏洞，如果不加以解决，很容易受到黑客攻击。 Jack Hanrahan/Erie Times-News CISA 表示，目前并没有证据表明有黑客利用 Dominion Voting Systems 公司的设备漏洞来篡改选举结果。该咨询是基于一位知名计算机科学家和长期诉讼案专家证人的测试，该诉讼案与前总统唐纳德·特朗普在 2020 年大选失利后推动的盗窃选举的虚假指控无关。 根据美联社获取的这份报告，其中详细介绍了 9 个漏洞，并建议采取保护措施，以防止或检测其利用。在有关选举的错误信息和虚假信息的漩涡中，CISA 似乎行走在不惊动公众和强调选举官员采取行动的边界线上。 在一份声明中，CISA 执行董事布兰登·威尔士（Brandon Wales）表示：“各州的标准选举安全程序将检测出对这些漏洞的利用，在许多情况下将完全防止这些企图。然而，该建议似乎表明各州做得还不够。它敦促迅速采取缓解措施，包括继续和加强防御性措施，以减少利用这些漏洞的风险。公告说，这些措施需要在每次选举前实施，而很明显，所有使用这些机器的州都没有这样做”。 密歇根大学计算机科学家亚历克斯-霍尔德曼(J. Alex Halderman)撰写了这份咨询报告，他长期以来一直认为，使用数字技术来记录选票是危险的，因为计算机本身容易受到黑客攻击，因此需要采取多种保障措施，但这些措施并没有得到统一的遵守。他和其他许多选举安全专家都坚持认为，使用手写纸质选票是最安全的投票方法，也是唯一可以进行有意义的选举后审计的选择。 转自 cnBeta，原文链接：https://www.cnbeta.com/articles/tech/1276043.htm 封面来源于网络，如有侵权请联系删除
美国国会立法：强制科技公司披露旗下软件被审查事项
讯 北京时间 8 月 2 日上午消息，美国国会正向总统唐纳德·特朗普提出一项立法，即要求科技公司披露其是否允许其它国家检查出售给美国军方的软件内部运作情况。 该立法为五角大楼支出法案的一部分。去年路透社一名调查人员发现软件制造商允许俄罗斯国防机构寻找一些美国政府机构（包括五角大楼和情报机构等）所使用的软件中的漏洞。这件事发生之后，政府即起草了该法案。 法案的最终版本上周通过众议院批准后又于周三以 87-10 的投票获得参议院的通过。特朗普签字后这项支出法案即可生效。一旦生效，这项法律将强制美国和国外的科技公司向五角大楼披露相关信息，即他们是否允许网络对手（如俄罗斯等）调查出售给美国军方的软件。 公司将被要求解决国外源代码审查所带来的任何安全风险，直至五角大楼满意，否则将失去合同。 安全专家表示允许俄罗斯当局调查软件的内部运作情况，即源代码，可以帮助莫斯科方面发现他们可以加以利用来攻击美国政府系统的漏洞。 新的法规由新罕布什尔州民主党参议院珍妮·沙辛（Jeanne Shaheen）起草。“这一强制披露只是个开头，也是减少联邦并购过程中的关键安全漏洞的必要一步，”沙辛在邮件中写道。“国防部和其他联邦机构必须了解国外源代码的风险暴露以及其他可能使我们国家安全系统易受攻击的风险性商业行为。” 该立法还创建了一个可允许其他政府机构进行搜索的数据库，其中罗列了受其它国家检查且五角大楼认为存在网络安全风险的软件。 法律规定公开记录请求可以搜索该数据库，对一个可能涵盖公司机密的系统来说这个做法很不寻常。 行业组织软件联盟的政策高级主管汤米·罗斯（Tommy Ross）称，软件公司十分担心这样的立法可能迫使公司在美国和国外市场之间做出选择。他说，“我们观察这样一个全球担忧趋势，关注网络威胁的公司普遍认为减少风险的最佳操作就是减少海外市场。” 一名五角大楼女发言人拒绝予以置评。 路透社去年的调查发现，为了进入俄罗斯市场，包括惠普、SAP 和迈克菲在内的科技公司都允许俄罗斯国防机构搜索软件源代码查找漏洞。而在大多数情况下，这些软件公司并未通知美国机构相关事项。另外，在多数情况下，采购专家表示，美国军方在采购软件之前并不要求类似的源代码审查。 迈克菲去年宣布公司不再允许政府审核源代码。惠普也表示目前没有软件需要走这一流程。SAP 未对该立法作出评论回应。惠普和迈克菲拒绝进一步评论。 稿源：，稿件以及封面源自网络；
由于软件漏洞 1400 万 Facebook 用户的私密帖子被公开
讯 北京时间6月8日凌晨消息，本周四，Facebook向约1400万用户发出通知，称发现了一个软件漏洞，导致用户发表的认为只有朋友可见的私密帖子实际上所有人都看得到。 一般来说，一个Facebook用户发布的帖子都是预先设置好可见范围的，并不是所有用户都能看到。然而，今年5月18日到5月27日间出现的一个软件漏洞导致这些用户发布的帖子都默认对所有用户可见。 虽然在发布时这些帖子都明确带有“公开”标记，但习惯了自己预设置的帖子可见范围的用户可能并没有注意到这个变化。 Facebook表示已经对受影响的帖子进行了修复，即把可见范围从“公开”变回用户的默认可见设置。目前为止，该项修复工作已经完成了。另外，Facebook还通知了约1400万受此软件漏洞影响的用户，给他们都发送了一个警示通知。 Facebook首席隐私官艾琳·伊根（Erin Egan）在一份声明中说：“从今天开始我们向所有受影响的用户发送通知，要求他们再次查看在受影响期间发布的帖子的可见范围是否都改回了自己预先设置的。” 伊根说：“我们为该过失道歉。” 对于导致该问题的原因，Facebook解释称是因为一个允许用户在其个人信息，如发表的图片上添加标签的功能。这个被添加了标签的图片被系统默认设置为公开可见，由于软件漏洞，导致一段时间内用户发表的帖子都应用了此设置。 稿源：，稿件以及封面源自网络；