微闻

标签： 安全漏洞

  • 宝塔面板的隐私问题被揭露了

    宝塔面板的隐私问题被揭露了

    知名建站面板宝塔陷入隐私风波

    Hostloc 的网友发现宝塔面板的开源代码中发现向远程服务器发送信息的功能。备注标识为“从云端验证域名的可用性”。该功能收集的信息可能比它声称的要多。用途令人疑虑。

    日志每1小时打包一次，格式如下：

    [“2022-05-06 01:58:10”, “你的 IP(非服务器 IP):1000”, “POST”, “/login?”, “用户 UA”, “{}”, 39]

  • T-Mobile受Lapsus$黑客入侵

    Lapsus$黑客入侵T-Mobile的系统并窃取其源代码

    Lapsus$黑客组织在3月发生的一系列网络入侵事件中窃取了T-Mobile的源代码，T-Mobile在一份声明中确认了这次攻击，并说”被访问的系统不包含客户或政府信息或其他类似的敏感信息”。
    在一份私人信息副本中，Lapsus$黑客组织讨论了在其七名青少年成员被捕前一周针对T-Mobile的攻击。

    在网上购买了员工的凭证后，这些成员可以使用公司的内部工具–如T-Mobile的客户管理系统Atlas来进行SIM卡交换攻击。这种类型的攻击涉及劫持目标的移动电话，将其号码转移到攻击者拥有的设备上。从那里，攻击者可以获得该人的手机号码所收到的短信或电话，包括为多因素认证而发送的任何信息。

    Lapsus$黑客还试图破解联邦调查局和美国国防部的T-Mobile账户。他们最终无法做到这一点，因为需要额外的验证措施。

    “几周前，我们的监控工具检测到一个有害行为者使用偷来的凭证进入内部系统，并在这些系统里操作工具软件，我们的系统和程序按照设计工作，入侵被迅速关闭和封闭，所使用的受损凭证也被淘汰了。”T-Mobile事后这样回复。

    多年来，T-Mobile已经成为数次网络攻击的受害者。虽然这次特定的黑客攻击没有影响客户的数据，但过去的事件却影响过客户的数据。2021年8月，一个漏洞暴露了属于4700多万客户的个人信息，而就在几个月后发生的另一次攻击暴露了”少量”的客户账户信息。

    Lapsus$作为一个主要针对微软、三星和NVIDIA等大型科技公司源代码的黑客组织，已经声名鹊起。据报道，该组织由一名十几岁的主谋领导，还针对育碧公司、苹果健康合作伙伴Globant和认证公司Okta。

    —— cnBeta

  • 7-zip发现安全漏洞

    7-Zip 发现一个提权漏洞

    开源压缩程序7-Zip中发现了一个安全漏洞。该漏洞可能导致攻击者被赋予更高的权利。

    该漏洞被称为CVE-2022-29072。正如Deskmodder所写，该漏洞影响到7-Zip的构建，直到目前的21.07版本。攻击者可以选择操纵输入，从而获得更高权限。据说还有可能通过网络执行输入，从而利用这个漏洞。目前还不清楚是否已经存在漏洞并在实践中使用。…

    通常，7-Zip的更新很快就会推出，它将消除这个错误并调整帮助文件。关于该漏洞的更多细节列在GitHub帖子中。

    —— winfuture

  • LAPSUS$ 入侵 Okta 管理账户

    南美黑客组织LAPSUS$ 宣称成功入侵 Okta 的管理员账户。Okta 发文回应称这与今年一月一位第三方人员帐号被入侵有关近期并未发生入侵事件。

    https://sec.okta.com/articles/2022/03/official-okta-statement-lapsus-claims/

    —— 层叠

  • 俄罗斯政府网站遭到网络攻击

    俄罗斯数字发展、通信与大众传媒部当地时间17日表示，俄罗斯政府网站遭到前所未有的网络攻击，将就此开展过滤境外流量的相关工作。（环球网）

  • 育碧遭到网络攻击

    育碧证实遭到网络攻击

    在媒体报道之后，游戏巨头育碧证实遭到网络攻击，而最近因攻击英伟达为广为人知的勒索软件组织 LAPSUS$ 宣布对此负责。

    育碧称，网络安全事故导致它的游戏、系统和服务短暂中断，它的 IT 团队正与外部专家调查这起事故，作为预防措施它重置了全公司的密码。像 LAPSUS$ 这样的勒索组织通常会采用多重勒索手段，加密企业数据，窃取数据威胁披露。

    —— solidot

  • Linux内核中的Dirty Pipe漏洞

    研究人员发现一个新的 Linux 内核提权漏洞

    Linux内核中的一个容易被利用的漏洞（CVE-2022-0847）可以被本地无权用户利用，通过利用已经公开的漏洞在脆弱的系统上获得root权限。

    由安全研究员Max Kellermann发现的这个缺陷–他称之为Dirty Pipe，因为它与Dirty Cow缺陷相似–已经在Linux内核和Android内核中打了补丁。受影响的Linux发行版正在推送带有该补丁的安全更新。…

    Kellerman写的关于他如何发现该漏洞的文章是安全研究人员的一个重要信息来源，包括他的PoC漏洞。其他研究人员也想出了一些变化。

    这个漏洞显然很容易被利用，尽管它不能被远程利用–攻击者需要事先访问一个有漏洞的主机来部署利用程序。尽管如此，如果Dirty Cow缺陷被攻击者在实际利用，你可以肯定他们也会利用Dirty Pipe。

    —— HelpNetsecurity

  • 小米手机自带 DNS泄漏

    有用户发现小米手机设置不存在的 DNS 仍然可以解析域名，反编译发现 MIUI 会自动添加 DNS，国内版是 114 和 240c::6666。所有网络，包括移动数据、WLAN、VPN，满足条件就会被添加。为了防止 DNS 泄漏，建议国内版 MIUI 用户屏蔽这些 IP。

  • 英伟达遭遇网攻击

    英伟达遭网络攻击，开发者工具被迫离线

    根据钜亨网报道，英伟达证实公司近日遭遇网攻击，目前电子邮件系统与开发者工具被迫离线，目前事件仍在调查中。

    过去两天英伟达的电子邮件系统与开发者工具一直无法访问，消息人士指出，英伟达内部系统完全被攻陷，但攻击方式、受损程度和英伟达是否是勒索软件的受害者等更多细节尚不得而知。

    英伟达发言人最新声明指出：“我们正在调查这起事件，目前没有任何其他讯息可以分享。”

    俄罗斯正与乌克兰发动战争并扬言对支持乌克兰的欧美国家进行报复。外传俄罗斯可能会针对美国和西方国家的企业实施制裁，英伟达遭遇网络攻击的时机已引起市场关注。

  • Clash for Windows v0.19.8版存在XSS漏洞

    有开发者指出 Clash for Windows v0.19.8 版本存在XSS 漏洞，可以通过配置文件在目标计算机上远程执行 JavaScript 代码。

    该漏洞在低版本中同样存在。已于此后发布的0.19.9/10版本中被修复，使用者应该尽快更新。

    https://github.com/Fndroid/clash_for_windows_pkg/issues/2710