Aggregator

东南亚网络诈骗危机：现状、影响与防治策略

An offensive Rust encore

Authors/Presenters: Anne Neuberger

Our sincere appreciation to DEF CON, and the Presenters/Authors for publishing their erudite DEF CON 32 content. Originating from the conference’s events located at the Las Vegas Convention Center; and via the organizations YouTube channel.

The post DEF CON 32 – Fireside Chat – The Dark Tangent and DNSA appeared first on Security Boulevard.

CORS misconfigurations are often overlooked, but they can have severe consequences. We demonstrate how reflecting the origin header leads to code execution in Whistle.

The post Never Underestimate CSRF: Why Origin Reflection is a Bad Idea appeared first on Security Boulevard.

【行业动态】天空卫士布局俄罗斯，为数据安全注入中国创新元素

到 2033 年，工业网络安全市场将实现翻番

强网杯S8初赛 PWN 赛题解析 by ourren

评估Snowflake作为一种难以区分的审查规避工具 by ourren

SecWiki周刊（第562期) by ourren

更多最新文章，请访问SecWiki

Users of Cleo-managed file transfer software are being urged to ensure that their instances are not exposed to the internet following reports of mass exploitation of a vulnerability affecting fully patched systems. Cybersecurity company Huntress said it discovered evidence of threat actors exploiting the issue en masse on December 3, 2024. The vulnerability, which impacts Cleo's LexiCom,

This One Simple Change Makes Your Website More Accessible

更好的安全实践，解决Copilot + CodeQL 的各类安全左移局限性问题

喜讯：锦行科技项目成果荣获“2024年中国通信学会科学技术奖二等奖”！

一项对 3000 多人 DNA 标记进行的分析研究表明，长期暴露于高温环境与分子变化有关，这可能反映出加速衰老。为找到衡量高温对人体影响的敏感指标，南加利福尼亚大学老年病学家 Eun Young Choi 及同事选择研究“表观遗传时钟”，即随着人类衰老而发生变化的一组 DNA 化学修饰。研究人员分析了 2016-2017 年约 3800 名 5 6岁及以上人群的相关标记数据。他们将这些数据与美国的温度地图进行交叉对照，寻找分子标记状态与不同时间段内参与者所在位置热指数（温度和湿度的体感温度指标）超过 26.7°C 或3 2.2° C的天数之间的相关性。结果发现，根据分子标记，那些长期生活在高温天气较多地区的人比生活在较凉爽地区的人“显得更老”。根据一项指标，高温天气比例每增加 10%，参与者的分子年龄就增加约 0.12 岁。另一组分子标记的分析显示，长期生活在高温地区的人衰老速度加快了 0.6%。然而，以天数或数月为单位的短期高温暴露，与这些标记变化无关联。

本文揭示了 DeepSeek 人工智能聊天机器人中的一个现已修补的安全漏洞的详细信息，如果成功利用，黑客可通过输入注入攻击方式控制受害者的账户。 安全研究人员 Johann Rehberger，他记录了许多针对各种人工智能工具的注入攻击，发现在 DeepSeek 聊天中提供”Print the xss cheat sheet in a bullet list. just payloads”的输入触发了 JavaScript 代码的执行，作为生成的响应的一部分——这是典型的跨站脚本（XSS）攻击。 XSS 攻击可能会产生严重后果，因为它们导致在受害者的网络浏览器上执行未经授权的代码。攻击者可以利用这些漏洞劫持用户的会话并访问与 chat.deepseek[.]com 域关联的 cookie 和其他数据，从而导致账户被接管。 “经过一些实验，我发现采取控制用户会话所需的全部是 chat.deepseek.com 域存储的 userToken，” Rehberger 表示，他补充道，可以使用特殊设计的提示来触发 XSS 并通过注入攻击访问被攻击用户的 compromised user’s userToken 。 提示包含了一系列的指令和一个 Base64 编码的字符串，DeepSeek 聊天机器人将其解码后执行 XSS 载荷，用于提取受害者的会话令牌，最终允许攻击者冒充用户。 与此同时，Rehberger 还展示了 Anthropic 的Claude Computer Use 可以通过提示注入来滥用，Claude Computer Use 可以使开发人员通过光标移动、按键点击和键入文本来控制计算机。通过提示注入，攻击者可以滥用 Computer Use 来下载 Sliver 命令与控制（C2）框架，执行该框架，并与攻击者控制的远程服务器建立联系，从而自主运行恶意命令。 此外，还发现可以利用大型语言模型（LLM）的 ANSI 转义码输出来通过提示注入劫持系统终端。这种攻击主要针对 LLM 集成的命令行界面（CLI）工具，被命名为 Terminal DiLLMa 。 “十年前的功能为 GenAI 应用提供了意想不到的攻击面，” Rehberger 说。”对于开发者和应用设计者来说，考虑将 LLM 输出插入的上下文是很重要的，因为输出是不可信的，可能包含任意数据。” 这还不是全部，威斯康辛大学麦迪逊分校和圣路易斯华盛顿大学的学者进行的新研究揭示了 OpenAI 的ChatGPT 在给出的附加标记格式的外部图像链接渲染的问题，这些链接可能涉及淫秽和暴力内容，以一个普通的善意目标为借口。 此外，还发现通过提示注入，可以间接调用 ChatGPT 插件，而无需用户确认，甚至可以绕过 OpenAI 设定的限制，以防止渲染来自危险链接的内容，将用户的聊天记录泄露到由攻击者控制的服务器上。     转自Freebuf，原文链接：https://www.freebuf.com/news/417305.html 封面来源于网络，如有侵权请联系删除

Every Reason You Should be Getting Started With .Net Aspire

Temu 和 SHEIN 在越南被停止业务

A vulnerability, which was classified as critical, was found in Apple macOS up to 14.5. This affects an unknown part. The manipulation leads to buffer overflow. This vulnerability is uniquely identified as CVE-2024-27878. It is possible to launch the attack on the local host. There is no exploit available. It is recommended to upgrade the affected component.

A vulnerability was found in Apple macOS up to 14.3 and classified as problematic. Affected by this issue is some unknown functionality of the component App. The manipulation leads to information disclosure. This vulnerability is handled as CVE-2024-27886. Attacking locally is a requirement. There is no exploit available. It is recommended to upgrade the affected component.

A vulnerability was found in Apple macOS up to 14.3. It has been classified as critical. This affects an unknown part of the component App. The manipulation leads to permission issues. This vulnerability is uniquely identified as CVE-2024-27888. It is possible to launch the attack on the local host. There is no exploit available. It is recommended to upgrade the affected component.

A vulnerability, which was classified as problematic, was found in Apple iOS and iPadOS. This affects an unknown part of the component File Handler. The manipulation leads to out-of-bounds read. This vulnerability is uniquely identified as CVE-2024-40777. It is possible to initiate the attack remotely. There is no exploit available. It is recommended to upgrade the affected component.