Cybersecurity information flow

寻找可利用的白文件

Build mindmaps with plain text

CVE-2024-3400 PAN-OS: OS Command Injection Vulnerability in GlobalProtect

声明 本文章中所有内容仅供学习交流，抓包内容、敏感网址、数据接口均已做脱敏处理，严禁用于商业用途和非法用途，否则由此产生的一切后果均与作者无关，若有侵权，请联系我立即删除！ 目标网站 aHR0cHM6Ly93d3cua3VhaXNob3UuY29tL3Byb2ZpbGUvM3h4Ymt3Z ...

A command injection vulnerability in the GlobalProtect feature of Palo Alto Networks PAN-OS software for specific PAN-OS versions and distinct feature configurations may enable an unauthenticated attacker to execute arbitrary code with root privileges on the firewall. Fixes for PAN-OS 10.2, PAN-OS 11.0, and PAN-OS 11.1 are in development and are expected to be released by April 14, 2024. Cloud NGFW, Panorama appliances, and Prisma Access are not impacted by this vulnerability. All other versions of PAN-OS are also not impacted.
[GitHub]CVE-2024-3400 PAN-OS: OS Command Injection Vulnerability in GlobalProtect

" 全球保护功能中存在命令注入漏洞，可能导致未经身份验证的攻击者在特定版本的PAN-OS软件和独特的功能配置上以根权限执行任意代码。PAN-OS 10.2、PAN-OS 11.0 和 PAN-OS 11.1 的修复措施正在开发中，预计将于2024年4月14日发布。云NGFW、Panorama设备和服务器接入不受此漏洞影响。所有其他版本的PAN-OS同样不受影响。\n\n[GitHub] CVE-2024-3400 PAN-OS：全球保护功能中的操作系统命令注入漏洞"

In ssh in OpenSSH before 9.6, OS command injection might occur if a user name or host name has shell metacharacters, and this name is referenced by an expansion token in certain situations. For example, an untrusted Git repository can have a submodule with shell metacharacters in a user name or host name.
[GitHub]CVE-2023-51385

" 在 OpenSSH 9.6 之前的版本中，如果用户名或主机名包含shell元字符，并且在特定情况下由扩展令牌引用，可能会发生操作系统命令注入。例如，一个不可信的Git存储库可能在一个用户名或主机名中包含shell元字符的子模块。\n[GitHub]CVE-2023-51385"

A vulnerability was found in Issabel PBX 4.0.0. It has been rated as critical. This issue affects some unknown processing of the file /index.php?menu=asterisk_cli of the component Asterisk-Cli. The manipulation of the argument Command leads to os command injection. The attack may be initiated remotely. The exploit has been disclosed to the public and may be used. The associated identifier of this vulnerability is VDB-252251. NOTE: The vendor was contacted early about this disclosure but did not respond in any way.
[GitHub]Issabel PBX 4.0.0 Remote Code Execution (Authenticated) - CVE-2024-0986

" 发现Issabel PBX 4.0.0中存在一个漏洞，已被评定为 critical级别。此问题影响组件Asterisk-Cli的未知文件/index.php?menu=asterisk_cli的处理。命令参数Command的处理导致操作系统命令注入。攻击可能远程发起。该漏洞已公之于众，可能被利用。与此漏洞相关的标识符为VDB-252251。注意：尽早联系了供应商，但未得到任何回应。\n\n[GitHub] Issabel PBX 4.0.0 远程代码执行（认证）- CVE-2024-0986"

Catcher是一个用于系统指纹漏洞验证和资产梳理的工具，可以进行指纹识别、漏洞验证、cdn判断和端口扫描。

探讨了针对Web应用程序的模糊测试方法，提出了针对Web应用程序的模块化架构，以提高模糊测试的有效性

Jenkins 2.441存在本地文件包含漏洞(CVE-2024-23897)

介绍了针对Linux内核漏洞的新的缓解技术，主要讨论了使用特定内核参数作为缓解技术的介绍。同时也提到了最近被利用的Netfilter CVE-2024-1086漏洞

介绍了一个用于逆向工程、恶意软件分析和破解的工具包

OpenClinic GA版本5.247.01中的路径遍历漏洞

示了对Google Chrome浏览器扩展的ZIP嵌入攻击漏洞

文章介绍了LockBit 3.0 builder的文件构成、自定义勒索软件的生成过程，以及预防活动列表。

讨论了限制非特权用户访问某些内核注释以避免安全攻击的措施，以及详细分析了启动地址的暴露如何绕过KASLR（内核地址空间布局随机化）

The Dark Angels (Dunghill) ransomware group claims the hack of the chipmaker Nexperia and the theft of 1 TB of data from the company. The Dark Angels (Dunghill) ransomware group claims responsibility for hacking chipmaker Nexperia and stealing 1 TB of the company’s data. Nexperia is a semiconductor manufacturer headquartered in Nijmegen, the Netherlands. It […]

" 黑暗天使（Dunghill）勒索软件团体声称对芯片制造商Nexperia的黑客攻击以及从该公司窃取1TB数据负责。黑暗天使（Dunghill）勒索软件团体声称对黑客攻击芯片制造商Nexperia并窃取公司1TB数据负责。Nexperia是一家总部位于荷兰尼美根的半导体制造商。该公司……"

亲爱的看雪社区会员们，看雪·2024年夏季T恤设计提上日程啦！我们计划推出一款全新的T恤设计，现在想征集您宝贵的意见和建议。希望通过大家的参与，设计出一款既有看雪特色又能穿着舒适的夏日T恤。如果你有创意和热情，希望为社区注入新的灵感和活力，我们诚挚邀请您发表有任何关于T恤设计的建议，比如、印什么文案 ...

这位臭名昭著的黑客以“IntelBroker”为别名，声称已经攻破了位于迈阿密的地理空间情报公司 Space-Eyes 的网络基础设施。IntelBroker 在 Breach Forums 上发布的消息中吹嘘他的入侵速度很快，只需要“大约 10-15 分钟”即可访问敏感数据。 据 Space-Eyes 网站称，它专门服务于政府机构和组织，包括司法部、国土安全部、美国武装部队的各个部门以及国家地理空间情报局 (NGA) 等重要情报机构。如果所指控的违规行为属实，将对美国国家安全产生重大影响。 根据 IntelBroker 的说法，被盗数据包括“有关 Space-Eyes 在美国政府内部为国家安全提供的服务的高度机密文件”。这些数据的深度和特征极其敏感，包含有关美国国家安全的机密讨论、通信和简介，以及被拒绝进入美国或根据美国法律进行隔离的个人和船只。   转自安全客，原文链接：https://www.anquanke.com/post/id/295641 封面来源于网络，如有侵权请联系删除

微软近年来安全事件频发，为何仍然牢牢把持美国政府安全服务的“铁饭碗”？为什么美国参议员斥责微软是美国国家安全的严重威胁？为什么政府要避免被一股独大的科技企业锁定？ Wired 最新报道指出：无论从营收、市场份额、还是技术和产品的领导力来看，微软都是当之无愧的网络安全龙头企业，也是美国政府高度依赖的科技企业。与此同时，微软已经成为网络安全行业的“公敌”，同时被看作是美国国家关键基础设施的最大单一故障点。 安全创收“成瘾” 微软因向其客户收取“高级安全服务”（例如更好的威胁监控、防病毒、日志存储和用户访问管理）的额外费用而引发了网络安全行业的声讨。2023年1月，微软声称其安全部门的年收入已超过200亿美元。 “微软已经将网络安全当成了摇钱树，”安全公司SentinelOne的研究副总裁 Juan Andrés Guerrero-Saade 评价道。他的同事 Alex Stamos 最近写道：利字当头的微软已经严重扭曲了其安全产品设计决策。 “微软威胁论”2021年初被引爆，当时美国国会和新上任的拜登政府开始调查俄罗斯黑客的 SolarWinds 远程访问工具（RAT）攻击活动。 在通过 SolarWinds 软件入侵政府网络后，俄罗斯特工欺骗了微软的云平台，获得了广泛的访问权限，窃取了大量机密信息。令人震惊的是，如此严重的数据泄露的原因并非黑客的技术有多么高超，而是因为大多数美国政府机构没有付费购买微软的“高级服务”，因而没有必要的网络活动日志来检测入侵。 事件曝光后，议员们对微软向政府收取基本安全功能的额外费用感到愤怒，白宫官员在接下来的两年半时间里私下敦促微软为所有客户提供免费日志数据。微软终于在2023年7同意免费提供该服务（在曝出又一次重大黑客事件八天之后，该事件是由付费获取日志数据的机构发现的）。 当被问及微软的网络安全生意经与“安全为先”的社会责任是否存在冲突时，Faehl 说：“我们不同意这种说法。”此外，微软在安全漏洞的修复上未能迅速和充分地采取行动，也招来众多安全专家的批评。 一位著名的网络政策专家表示，微软并未“调整其安全投资水平和思维模式以适应威胁”。网络安全审查委员会（CSRB）也猛烈抨击微软未能防止公司历史上最严重的黑客事件之一。CSRB 在报告指出，微软的“安全文化不足，需要彻底改革”。 最大的单点失败 微软在网络安全领域的主导地位引起广泛担忧，因为微软成了最大的单一故障点。美国政府高度

美国财政部的海外资产控制办公室(OFAC)于近日宣布对一名与哈马斯有关的官员实施制裁，该官员参与了网络影响行动。 39岁的赫德菲·萨米尔·阿卜达拉·阿尔-卡卢特（也被称为阿布·乌巴达）至少自2007年起，担任了哈马斯军事翼伊兹·阿尔迪恩·阿尔·卡桑旅的公众发言人。 美国财政部表示：“他公开威胁要处决哈马斯在2023年10月7日对以色列进行的恐怖袭击后扣押的平民人质。”阿尔-卡卢特主导了阿尔-卡桑旅的网络影响部门。 他在伊朗采购服务器和域名，以便在与伊朗机构的合作中在官网上托管阿尔-卡桑旅的网站。 同时，由于他们在哈马斯用于进行恐怖主义行动的无人机（UAVs）制造中所起的作用，包括城市战争和情报收集，56岁的威廉·阿布·沙纳卜和35岁的巴拉·哈桑·法特也一同被列入了制裁名单。 据说阿布·沙纳卜和他的助手法特都是在黎巴嫩的阿尔-希马利单元工作的，其中阿布·沙纳卜是指挥官。 与美国行动同步进行的还有欧盟，欧盟对阿尔-卡桑旅、阿尔-库兹旅和努赫巴部队实施了自己的制裁，这是因为他们去年对以色列“野蛮且不分青红皂白的恐怖袭击”。阿尔-库兹旅是巴勒斯坦伊斯兰圣战的军事分支，而努赫巴部队是哈马斯的特种部队。 美国财政部副部长、负责反恐和金融情报的布莱恩·E·尼尔森表示，这次联合行动旨在“瓦解哈马斯继续发动攻击的能力，包括通过网络战争和生产无人机。” 这个决定出台的时间正好是在美国政府对六名与伊朗情报机构有关的伊朗官员实施制裁不到两个月后，制裁原因是他们攻击了包括美国在内的其他国家的关键基础设施。   转自E 安全，原文链接：https://mp.weixin.qq.com/s/ov10aliAN455EV2JG2ebkQ 封面来源于网络，如有侵权请联系删除

Git-secrets是一款功能强大的开发安全工具，该工具可以防止开发人员意外将密码和其他敏感信息上传到Git库中。

工业和企业物联网网络安全公司 Claroty 对 Fuxnet 进行了分析，Fuxnet 是乌克兰黑客最近在针对俄罗斯地下基础设施公司的攻击中使用的一款工业控制系统 (ICS) 恶意软件。 近几个月来，据信隶属于乌克兰安全部门的一个名为 Blackjack 的黑客组织声称对俄罗斯多个重要组织发起了攻击。黑客以互联网服务提供商、公用事业公司、数据中心和俄罗斯军方为目标，据称造成了重大损害并泄露了敏感信息。 上周，Blackjack 披露了针对 Moscollector 涉嫌攻击的细节，Moscollector 是一家总部位于莫斯科的公司，负责供水、污水处理和通信系统等地下基础设施。 “俄罗斯的工业传感器和监控基础设施已被禁用，”黑客声称，“它包括俄罗斯的网络运营中心 (NOC)，该中心监视和控制天然气、水、火灾报警器和许多其他设备，包括庞大的远程传感器和物联网控制器网络。” 黑客声称已经清除了数据库、电子邮件、内部监控和数据存储服务器。 此外，他们还声称已经禁用了 87,000 个传感器，其中包括与机场、地铁系统和天然气管道相关的传感器。为了实现这一目标，他们使用了 Fuxnet，这是一种被他们称为“类固醇震网”的恶意软件，这使得他们能够物理破坏传感器设备。 “Fuxnet 现在已开始淹没 RS485/MBus，并向 87,000 个嵌入式控制和传感系统发送‘随机’命令（已谨慎排除了医院、机场和其他民用目标）。”黑客表示。 黑客的说法很难核实，但 Claroty 能够根据 Blackjack 提供的信息和代码对 Fuxnet 恶意软件进行分析。 该网络安全公司指出，Moscollector 部署的用于收集温度等物理数据的实际传感器很可能没有被 Fuxnet 损坏。相反，该恶意软件可能针对大约 500 个传感器网关，这些网关通过串行总线（例如 Blackjack 提到的 RS485/Meter-Bus）与传感器进行通信。这些网关还连接到互联网，能够将数据传输到公司的全球监控系统。 Claroty 指出：“如果网关确实损坏，维修工作可能会很广泛，因为这些分布在莫斯科及其郊区的设备必须更换，或者必须单独重新刷新固件。” Claroty 对 Fuxnet 的分析表明，该恶意软件很可能是远程部署的。一旦进入设备，它将删除重要文件和目录，关闭远程访问服务以防止远程恢复，并删除路由表信息以防止与其他设备通信。然后，Fuxnet 

DAIXIN Team 勒索软件组织声称对酒店行业知名品牌 Omni Hotels & Resorts 发起的恶意网络攻击负责。 根据暗网上发布的消息，该勒索软件组织不仅渗透了该连锁酒店的系统，还窃取了敏感数据，包括自 2017 年以来所有访客的记录。此外，他们还发出了即将泄露数据的警告。 Cyber Express 在 4 月初首次报道了 Omni Hotels & Resorts 遭受的网络攻击，当时这家豪华连锁酒店发现自己在遭受确认的攻击后陷入了全国范围内的 IT 崩溃。 自 3 月 29 日以来，这家豪华连锁酒店一直在应对 Omni Hotels & Resorts 被网络攻击的影响，该攻击导致其旗下酒店普遍出现 IT 中断。 为了对网络攻击做出快速反应，Omni Hotels & Resorts 采取了果断行动，关闭了受影响的系统，以减轻进一步的损害并遏制漏洞。尽管在恢复受影响的系统方面取得了重大进展，但要恢复所有运营仍在继续努力。 Omni 酒店遭受网络攻击：勒索软件索赔未经证实 尽管 DAIXIN Team 提出的勒索软件索赔很严重，但 Omni Hotels & Resorts 的官方核实仍在进行中。Cyber Express 团队联系该公司进行澄清，但截至最新消息，尚未收到官方回应。 在针对此次攻击的官方声明中，Omni Hotels & Resorts 承认网络攻击造成的破坏，并向客人保证将持续努力修正这种情况。 全面调查正在进行中，Omni Hotels & Resorts 正在与领先的网络安全专家合作以评估泄露的全部范围。调查旨在确定事件的范围以及连锁酒店系统内存储的数据是否存在任何潜在的泄露。 对客人的承诺中的运营挑战 网络安全仍然是 Omni Hotels & Resorts 的首要任务，该公司对网络攻击造成的不便表示遗憾，并赞扬其团队为恢复正常运营所做的不懈努力。 尽管某些系统处于离线状态，但基本服务已恢复，客人可以在加强安全措施的情况下继续享受热情的款待。 随着调查的展开，Omni Hotels & Resorts 强调其透明度和问责制，重申其对保护客人信息和确保业务连续性的承诺。 这次网络攻击明确地提醒人们，网络犯罪分子所构成的威胁始终存在，并凸显了酒店业及其他行业采取强有力的网络安全措施的必要性。 &#16

乌克兰黑客声称攻破了俄罗斯无人机开发商Albatross，泄露了100GB 数据，包括内部文档、技术数据和各类无人机图纸。 一个自称为“网络抵抗”的组织表示，它与国际志愿者社区 InformNapalm 分享了这些文件，该社区根据数据泄露进行调查。 InformNapalm 周一发布了一份分析 Albatross 数据的报告。黑客表示，并非所有获得的数据都包含在报告中，其中一些信息无法披露，因为乌克兰军方“已经使用了几个月”。 “我们只会与那些能够有效使用这些信息的人分享这些信息，”网络抵抗组织在其 Telegram 频道上写道。 Recorded Future News 无法立即证实这一说法或验证泄露数据的真实性。目前尚不清楚黑客的所在地，但他们用乌克兰语公开交流。 8 月初，该组织与 InformNapalm 合作，根据一名涉嫌参与洗钱和逃避制裁计划的俄罗斯高级政客泄露的电子邮件进行调查。 Albatross泄露 InformNapalm 在其分析中表示，俄罗斯无人机开发商 Albatross 泄露的文件证实了之前关于该公司参与开发伊朗设计的 Shahed 无人机的调查结果，俄罗斯在正在进行的战争期间对乌克兰部署了这些无人机。 去年，英国《金融时报》报道称，俄罗斯秘密与伊朗合作，将其农业无人机开发商Albatross转变为军用无人机制造商。该公司去年12月遭到美国制裁。 InformNapalm 还声称，网络抵抗泄露事件揭示了有关 Albatross 行动的最新细节，例如参与组装俄罗斯制造的伊朗无人机的人员身份，以及对俄罗斯经济特区阿拉布加（据称是伊朗的枢纽）运作的深入了解。 InformNapalm 调查包含涉嫌与 Albatross 行动有关的泄露文件、地图和照片的屏幕截图。 这并不是亲乌克兰黑客第一次声称入侵俄罗斯无人机制造商。 2 月初，名为白俄罗斯网络游击队 (Belarusian Cyber Partisans)的黑客组织表示，他们获得了另一家俄罗斯无人机开发商 Orlan 的内部信件、员工数据以及军事训练场地的位置。黑客声称他们将这些数据交给了乌克兰情报部门，但乌克兰情报部门拒绝对此发表评论。 乌克兰网络安全官员此前承认，他们在网络攻击期间获得的情报有助于武装部队的地面行动。有时他们认为是当地黑客窃取了这些数据。 关于网络抵抗组织的运作方式及其与政府的联系，人们知之甚少。该组织自称为“黑客行动团

芯片制造商 Nexperia声称其在2024年3月遭黑客攻击，导致数据被盗样本泄露。 Nexperia是中国闻泰科技的子公司，其在德国和英国均有半导体制造工厂。他们生产了1000亿个器件，包括晶体管、二极管、MOSFET和逻辑器件。 上周五，Nexperia披露了一起数据泄露事件，该事件导致IT系统关闭，而后对该事件展开调查以确定影响范围。 声明指出：“未经授权的第三方访问了Nexperia IT服务器。公司立即采取行动，将受影响系统与互联网断开连接，并采取了对应措施。目前调查正在进行中，公司已联系第三方专家以确定事件的性质和范围，并采取措施终止未经授权的访问。” Nexperia已向荷兰警方和数据保护机构报告了事件，并与FoxIT签约进行调查。 Dunghill Leak 声称对此次攻击负责 4月10日，”Dunghill Leak”声称入侵了Nexperia，窃取了1 TB的机密数据，并泄露了样本文件。 其还发布了电子元件、员工护照、保密协议和其他样本照片文件，但这些样本的真实性尚未得到Nexperia证实。 Nexperia 添加到 Dunghill Leak 勒索网站 Dunghill声称，如果不支付赎金，他们计划泄露以下数据： 371 GB设计和产品数据，包括QC、NDAs、商业秘密、技术规格、机密原理图和生产说明。 246 GB工程数据，包括内部研究和制造技术。 96 GB商业和营销数据，包括定价和营销分析。 41.5 GB公司数据，包括HR、员工个人详细信息、护照、保密协议等。 109 GB客户和用户数据，包括SpaceX、IBM、Apple和华为等品牌。 121.1 GB各种文件和杂项数据，包括电子邮件存储文件。 目前，BleepingComputer已联系Nexperia询问Dunghill声明真实性，目前尚未得到回复。据悉，Dunghill Leak网站与Dark Angels勒索软件团伙有密切，该团伙利用数据泄露网站迫使受攻击的组织支付赎金。 2023 年 9 月，Dark Angels 入侵了 楼宇自动化巨头江森自控 ，并加密了该公司的 VMWare 和 ESXi 虚拟机。 黑客在勒索信中警告称，如果不支付勒索费用，他们将在Dunghill Leak网站上发布被盗数据，目前暂未发布。 Dunghill Leak勒索网站列出了12个受害者，其中8个受害者的数据已全部或

网络威胁犯罪分子在 2024 年 3 月入侵了其网络系统，此前一个勒索软件团伙公开泄露了据称是该公司的被盗数据样本。

网络安全供应商 Cisco Duo 警告，黑客闯入了一家用于发送 Duo MFA SMS 消息的身份不明的电话供应商，并窃取了可用于下游攻击的日志数据。 据思科数据隐私和事件响应团队的客户通知，此次泄露暴露了电话号码、电话运营商、元数据和其他可能导致网络钓鱼和社会工程攻击的日志。 思科警告道： “我们从[未透露姓名的电话提供商]了解到，黑客于 2024 年 4 月 1 日使用提供商员工的凭据获得了对该提供商内部系统的访问权限，该黑客通过网络钓鱼攻击非法获得了该凭据，并利用该访问权限下载一组与您的 Duo 帐户相关的 MFA 短信日志。” “更具体地说，黑客下载了 2024 年 3 月 1 日至 2024 年 3 月 31 日期间发送给您 Duo 帐户下的某些用户的 SMS 消息的消息日志。消息日志不包含任何消息内容，但包含电话号码，每条消息发送到的电话运营商、国家和州，以及其他元数据（例如消息的日期和时间、消息类型等）。” 据思科称，被入侵的电话提供商确认黑客没有下载或以其他方式访问任何消息的内容，也没有利用其访问权限向消息日志中包含的任何号码发送任何消息。 思科表示，拥有受影响 Duo 帐户的客户可以根据要求获得被盗消息日志的副本。 “由于黑客通过对提供商的社会工程攻击获得了对消息日志的访问权限，因此请立即通知电话号码在消息日志中受影响的用户此事件”，思科补充说：“我们要提醒他们保持警惕，并向相关事件响应团队或其他指定的此类事件联系人报告任何可疑的社会工程攻击。”   转自安全客，原文链接：https://www.anquanke.com/post/id/295665 封面来源于网络，如有侵权请联系删除

在发生两起客户帐户遭到泄露的独立事件后，Roku现在强制要求其用户进行双因素身份验证(2FA)。 今年早些时候，大约有591,000名客户受到影响，第一起事件仅限于15,363个账户，这促使Roku密切关注客户账户活动，从而发现了另一起影响约576,000个账户的事件。 据报道，大约400名客户的账户被用来使用存储在账户中的财务凭据购买流媒体订阅和Roku硬件。 Roku表示，这些客户已获得了这些费用的报销，并且威胁行为者无法收集任何敏感的财务信息，比如完整的信用卡号码。根据发出的数据泄露通知信，社会安全号码、出生日期和其他信息也没有被访问。 Roku在其博客文章中表示，它认为这次攻击是使用撞库手段发生的，并表示除了要求所有用户执行2FA之外，还重置了受影响帐户的密码。 根据Roku的博客文章，“下次尝试在线登录Roku帐户时，验证链接将发送到与帐户关联的电子邮件地址，点击电子邮件中的链接才能访问该帐户。”   转自安全客，原文链接：https://www.anquanke.com/post/id/295662 封面来源于网络，如有侵权请联系删除