专栏名称: 网空闲话plus

原《网空闲话》。主推网络空间安全情报分享，安全意识教育普及，安全文化建设培育。将陆续推出网安快讯、网安锐评、网安政策、谍影扫描、APT掠影、密码技术、OT安全等专集。

5th域安全微讯早报【20241121】280期

网空闲话plus · 公众号 · · 2024-11-21 07:05

正文

2024-11-21 星期四 Vol-2024-280

今日热点导读

1. 美国TSA在交通领域网络安全措施受批评

2. 美国问责局建议成立新机构以统一公民数据保护措施

3. 英国考虑禁止16岁以下儿童使用社交媒体

4. 美国司法部起诉Scattered Spider网络犯罪集团五名成员

5. 两兄弟因运营非法体育直播网站被起诉，涉案金额超700万美元

6. 金融科技巨头Finastra遭SFTP黑客入侵调查数据泄露

7. 网络犯罪团伙“Water Barghest”出售被劫持物联网设备构建代理僵尸网络

8. Ubuntu needrestart工具发现五个权限提升漏洞，影响全球企业

9. 苹果紧急修复针对英特尔Mac的两个零日漏洞

10. OWASP警告：AI在大型语言模型中的数据泄露风险日益增加

11. MITRE发布2024年最危险的25种软件弱点

12. 趋势科技DEEP SECURITY软件严重漏洞可致远程代码执行

13. 甲骨文AGILE PLM框架零日漏洞正被利用

14. ATLASSIAN SOURCETREE存在高危安全漏洞，允许远程代码执行

15. 非洲国家对外国技术供应链依赖带来的安全隐患

16. 《2024年澳新威胁形势报告》揭示网络安全风险增加

17. “GABAGOOL”利用CLOUDFLARE R2存储服务绕过安全过滤

18. “XENORAT”利用EXCEL XLL文件规避安全系统的攻击手法

19. 通过模型解释理解LLM后门攻击的新视角

20. CHATHTTPFUZZ：利用大型语言模型进行IOT HTTP模糊测试

备注: 更多资讯信息，欢迎订阅！

资讯详情

政策法规

1. TSA在交通领域网络安全措施受批评

【TheRecord网站11月20日报道】美国政府问责局（GAO）在最新报告中批评交通安全管理局（TSA）在网络安全方面的工作，指出自2018年以来，TSA尚未解决针对其提出的六项网络安全建议中的四项，特别是在防范勒索软件方面。GAO强调，TSA的安全指令未能与勒索软件的领先实践相一致，并建议国土安全部（DHS）评估交通系统部门在采用领先网络安全实践方面的情况，但该建议至今未被实施。GAO还建议DHS应开发和实施评估程序，以衡量联邦支持在降低交通系统部门勒索软件风险方面的有效性。此外，TSA还需制定针对互联网连接设备的特定行业计划，并进行针对运营技术的全行业网络安全风险评估，但这些工作同样尚未完成。

2. 美国问责局建议成立新机构以统一公民数据保护措施

【The Record网站11月21日报道】美国政府问责局（GAO）发布报告，建议国会设立新的联邦机构，以统一指导和推动政府部门在使用个人数据时保护公民的民权与自由。这项建议源于GAO对24个联邦机构的调查，发现各机构在数据保护上做法不一，其中8个机构在相关政策中完全未涵盖民权或自由保障。报告指出，人脸识别、人工智能等技术使个人数据处理量激增，但现行法律和指导缺乏全面性，难以应对敏感数据使用带来的系统性风险和技术歧视问题。仅7个机构指定专人监督公民自由保障，另有12个机构表示因技术复杂性面临挑战，11个机构反映技术能力不足。GAO强调，当前联邦法律对新兴技术中的数据使用及潜在偏见风险未提供明确规范，容易导致数据被不当收集或使用，侵犯公民权益。报告建议，国会应明确赋予新机构技术和政策决策权，或亲自制定相关规定，以消除技术误识别和种族偏见等隐患。报告还警示人脸识别技术可能被滥用于限制言论自由，如在抗议场所监控人群，并呼吁加强对数据安全和技术歧视的系统性治理。

3. 英国考虑禁止16岁以下儿童使用社交媒体

【The Record网站11月21日报道】英国政府正在考虑禁止16岁以下儿童使用社交媒体，作为保护年轻人免受网络世界影响的一部分。科技大臣彼得·凯尔宣布了一项新研究，旨在研究社交媒体对16岁以下儿童的影响，并表示正在考虑实施类似澳大利亚的禁令，但需要更多证据来证明这一举措的益处。此举是在Ofcom准备明年实施和执行《英国在线安全法》之际提出的，该法律旨在迫使科技公司打击有害的在线活动，但因其对端到端加密的规定引发了争议。凯尔提出的优先事项是指导独立监管机构关注政府认为的关键问题，包括确保在线平台对儿童安全，以及打击包括欺诈在内的非法内容。违反《在线安全法》的企业可能会被罚款高达1800万英镑（约合2230万美元）或其全球营业额的10%，对于最大的平台来说，罚款可能高达数十亿。

安全事件

4. 美国司法部起诉Scattered Spider网络犯罪集团五名成员

【TheRecord网站11月20日消息】美国司法部对五名涉嫌运营Scattered Spider网络犯罪集团的男子提起诉讼，指控他们通过钓鱼活动窃取员工凭证、获取敏感数据，并盗取了价值1100万美元的加密货币。该集团对包括MGM赌场在内的多个目标实施了网络攻击。五名被告包括一名英国人和四名美国人，他们被控共谋进行电汇欺诈、共谋和严重身份盗窃等罪名，最高可面临25年联邦监禁。美国检察官Martin Estrada表示，该集团的网络犯罪行为复杂，窃取了价值数千万美元的知识产权和个人信息。FBI指出，Scattered Spider是“社区”或“Com”更大网络犯罪团伙的一个分支，该集团以大规模短信服务诱使员工点击恶意链接，进而窃取信息。微软去年将Scattered Spider称为“最危险的金融犯罪集团之一”。

5. 两兄弟因运营非法体育直播网站被起诉，涉案金额超700万美元

【TheRecord网站11月21日消息】美国司法部对非法体育直播网站247TVStream的两名运营者提起指控，并逮捕了其中一人。现年56岁的诺尔·纳比·乔杜里（Noor Nabi Chowdhury）在纽约被捕，其弟弟36岁的穆罕默德·拉赫曼（Mohammad Rahman）目前仍在逃，后者居住在孟加拉国达卡。两人因涉嫌共谋提供非法数字传输服务、实施电信诈骗和身份盗窃等罪名面临最高28年的刑期。247TVStream自2017年至2024年运营，向用户每月收取10美元订阅费用，非法转播体育赛事及电视节目，非法获利超过700万美元。司法部称，该平台给正版版权持有人造成超过1亿美元的损失。执法部门还查封了用于运营网站的域名，并联合荷兰和英国关闭了其相关服务器。此次行动由美国司法部、国土安全部调查局（HSI）牵头，并得到了流媒体提供商和体育联盟的支持。

参考来源：https://therecord.media/brothers-indicted-piracy-sports-streaming-site

6. 金融科技巨头Finastra遭SFTP黑客入侵调查数据泄露

【BleepingComputer网站11月20日报道】金融软件公司Finastra确认其客户受到网络安全事件影响，一名威胁行为者开始在黑客论坛上出售声称被盗的数据。Finastra服务于全球130个国家的8000多家机构，包括世界前50大银行和信用合作社中的45家，拥有12000名员工，去年收入达17亿美元。安全事件发生在2024年11月7日，一名攻击者使用泄露的凭证访问了Finastra的一个安全文件传输平台（SFTP）系统。目前调查尚未发现有证据表明违规行为超出了SFTP平台。Finastra的软件服务包括贷款解决方案、支付处理、云支持的零售和银行平台以及交易风险管理工具。Finastra表示，受影响的客户将直接被联系，因此不预期会有公开披露。目前尚不清楚数据是否已被出售或“abyss0”因突然的曝光而感到担忧。值得注意的是，Finastra在2020年3月也曾遭受严重的网络安全事件，当时遭到了勒索软件攻击。

7. 网络犯罪团伙“Water Barghest”出售被劫持物联网设备构建代理僵尸网络

【Dark Reading网站11月20日消息】一个名为“Water Barghest”的网络犯罪团伙正在利用物联网（IoT）设备的漏洞，劫持超过20,00台设备，包括SOHO路由器，并将它们在住宅代理市场上出售，这些设备可能被国家支持的APT和其他恶意行为者用于构建代理僵尸网络。该团伙使用自动化脚本识别易受攻击的设备，并部署名为Ngioweb的恶意软件将设备注册为代理。这一过程高度自动化，仅需10分钟即可完成。这些代理设备可以作为匿名层，帮助攻击者隐藏恶意活动的来源，访问被盗资产，或发动网络攻击。Trend Micro的研究人员指出，随着住宅代理服务市场需求的增长，保护IoT设备的安全变得尤为重要，建议组织限制这些设备的公共互联网暴露，以避免成为问题的一部分。

漏洞预警

8. Ubuntu needrestart工具发现五个权限提升漏洞，影响全球企业

【Infosecurity Magazine网站11月20日报道】Qualys威胁研究团队发现了Ubuntu Server默认安装工具needrestart中的五个本地权限提升（LPE）漏洞。这些漏洞编号分别为CVE-2024-48990、CVE-2024-48991、CVE-2024-48992、CVE-2024-10224和CVE-2024-11003，影响3.8版本之前的所有版本。攻击者可利用这些漏洞通过不安全的环境变量处理机制，在无需用户交互的情况下将权限提升至root。needrestart工具自2014年0.8版本发布以来始终存在该漏洞，并于Ubuntu Server 21.04版本后作为默认组件安装。其主要功能是检测系统或服务是否需要在更新后重启以加载最新的共享库版本。然而，由于其广泛应用，漏洞可能对依赖Ubuntu Server的企业构成重大威胁。目前，升级至needrestart 3.8版本可完全修复漏洞。此外，用户也可通过在配置文件中添加$nrconf{interpscan} = 0;禁用解释器扫描功能来临时缓解风险。Qualys还建议企业采取主动的漏洞管理策略，定期识别和修复关键漏洞，同时通过强有力的补丁管理和监控措施降低安全风险。Qualys警告称，若不及时修复，这些漏洞可能导致敏感数据泄露、恶意软件感染或业务中断，严重威胁企业的合规性和声誉。

9. 苹果紧急修复针对英特尔Mac的两个零日漏洞

【BleepingComputer网站11月19日消息】苹果公司发布了紧急安全更新，修复了两个在针对基于英特尔的Mac系统攻击中被利用的零日漏洞。这两个漏洞分别存在于macOS Sequoia的JavaScriptCore（CVE-024-44308）和WebKit（CVE-2024-44309）组件中。JavaScriptCore的漏洞允许攻击者通过恶意制作的网页内容实现远程代码执行，而WebKit的漏洞则允许跨站脚本攻击（XSS）。苹果公司表示，这些安全漏洞已在macOS Sequoia 15.1.1中得到修复，并且由于这些组件也存在于其他苹果操作系统中，因此也修复了iOS 17.7.2和iPadOS 17.7.2，iOS 18.1.1和iPadOS 18.1.1，以及visionOS 2.1.1中的相同问题。这两个漏洞是由谷歌威胁分析小组的Clément Lecigne和Benoît Sevens发现的，但苹果并未提供关于这些漏洞是如何被利用的进一步细节。

风险预警

10. OWASP警告：AI在大型语言模型中的数据泄露风险日益增加

【Infosecurity Magazine网站11月20日报道】随着人工智能（AI）的广泛应用，Open Worldwide Application Security Project（OWASP）在其更新的大型语言模型（LLM）和生成性AI的Top 0风险列表中，将“敏感信息披露”列为第二大风险，该风险涉及LLM在与员工和客户互动中可能泄露组织持有的敏感数据，包括个人身份信息和知识产权。OWASP Top 10 for LLM项目的项目负责人Steve Wilson指出，随着AI应用的激增，LLM无意中泄露敏感信息的事件反复发生。此外，供应链漏洞风险从第五位上升到第三位，OWASP强调LLM供应链容易受到各种漏洞的影响，这可能影响训练数据、模型和部署平台的完整性，导致输出偏差、安全漏洞或系统故障。Wilson还提到，尽管存在显著风险和漏洞，但自2023年春季以来，AI/LLM安全商业生态系统的快速发展令人对这些工具的未来安全性持乐观态度。

往期推荐

5th域安全微讯早报【20241121】280期

正文

请到「今天看啥」查看全文