Aggregator

A vulnerability, which was classified as critical, has been found in Fortinet FortiProxy and FortiOS. This vulnerability affects unknown code of the component HTTP Request Handler. Performing a manipulation results in improper authorization. This vulnerability is reported as CVE-2025-54822. The attack is possible to be carried out remotely. No exploit exists. It is advisable to upgrade the affected component.

A vulnerability, which was classified as critical, was found in Extreme Fabric Engine up to 9.2. Affected is an unknown function of the component SD-WAN AutoSense. The manipulation results in improper authentication. This vulnerability is identified as CVE-2025-11192. An attack on the physical device is feasible. There is not any exploit available. You should upgrade the affected component.

A vulnerability was found in esm-dev esm.sh up to 136 and classified as critical. This impacts an unknown function of the component HTTP Header Handler. The manipulation of the argument X-Zone-Id results in path traversal: '../filedir'. This vulnerability is reported as CVE-2025-59342. The attack can be launched remotely. Moreover, an exploit is present.

2026年1月9日，印度外交部发言人的一纸声明，再次将我中巴经济走廊推向了风口浪尖。图片：阿富汗和巴基斯坦之

本文约6569字，预计阅读17分钟。图：CIA在社交媒体发布的俄语招募视频截图，呼吁“爱国但失望”的俄罗斯情报人员与其联系。

Microsoft released security updates on January 13, 2026, addressing a critical elevation of privilege vulnerability in SQL Server that enables authorized attackers to bypass authentication controls and gain elevated system privileges remotely. Tracked as CVE-2026-20803, the vulnerability stems from missing authentication mechanisms for critical functions within the database engine. The flaw affects multiple SQL Server […]

The post Microsoft SQL Server Vulnerability Allows Attackers to Elevate Privileges over a Network appeared first on Cyber Security News.

Ransomware Gang Money Message Claimed It Exfiltrated 4.7TB of Firm's Data
Pharmacy services firm PharMerica will pay at least $5.27 million - plus millions more on enhancing its security - as part of a preliminary class action settlement approved this week by a federal court involving a 2023 data theft incident the company reported as affecting 5.8 million individuals.

Misstatement Claims Tossed in Class-Action Securities Case After CrowdStrike Outage
A U.S. district judge tossed most claims from investors accusing CrowdStrike of misrepresenting its software testing rigor before a July 2024 outage. The judge said two statements about federal compliance could plausibly be misleading, but said plaintiffs failed to establish intent or recklessness.

Scenario Planning Must Model Disruption, Strengthen Cyber Basics, Build Redundancy
IT organizations know how to plan for outages, but even the most rigorously designed strategy is vulnerable to the shifting winds of geopolitics. CIOs and technology leaders need to know how their organizations will respond to geopolitical disruptions, and scenario planning needs to be a priority.

OpenAI is internally testing a new feature called "Agora," and it could be related to some sort of cross-platform feature that works in real time or some other new product. [...]

Microsoft and law enforcement agencies in Europe disrupted the operations of RedVDS, a global cybercrime service that sold cheap and disposable dedicated virtual servers to threat actors that used them to run BEC, phishing, and other fraud campaigns. The vendor now wants to shut down its payment networks and find the operators behind it.

The post Microsoft, Law Enforcement Disrupt RedVDS Global Cybercrime Service appeared first on Security Boulevard.

HackerNews 编译，转载请注明出处： 网络犯罪分子正越来越多地使用一种隐蔽的”浏览器套浏览器”攻击技术，企图窃取Facebook用户的登录凭证。 根据Trellix网络安全研究人员的分析，攻击者分发钓鱼邮件的数量激增，这些邮件诱使用户访问看似可信的认证界面，意图窃取用户名和密码。 据认为，攻击目的是为了劫持账户、窃取个人数据、实施身份欺诈或向用户的联系人传播诈骗。拥有超过30亿用户的Facebook，对网络罪犯来说仍然是进行攻击和诈骗的诱人目标。 这些活动通常始于钓鱼邮件：研究人员指出，攻击者通常会分发声称来自律师事务所的诱饵邮件，警告潜在受害者需要立即采取行动以避免版权侵权索赔。攻击者已知分发的其他诱饵还包括发送有关未授权登录尝试的虚假通知，或警告账户因可疑活动即将被关闭。 这些手段的设计目的都是迫使用户惊慌失措，并按照被告知的”必要步骤”操作，以防止账户被关闭。钓鱼邮件敦促用户点击看起来像是Facebook的链接以采取必要行动——尽管这些是经过伪装的虚假短链接，目的是让其看起来更可信。 令这些攻击看似可信的是，”浏览器套浏览器”弹窗看起来非常逼真，完全符合用户对Facebook登录页面的预期。弹出的浏览器窗口包含了真实的Facebook登录页面URL，这是攻击者硬编码到认证窗口中的。此外，攻击者还会在此之前部署一个虚假的验证码窗口。这两种策略都旨在诱骗受害者相信他们正在访问真正的Facebook登录页面。 这些”申诉”页面首先要求用户提供个人信息，包括姓名、电子邮件地址、电话号码和出生日期——随后在第二个页面要求用户”确认”密码。通过这些虚假页面，攻击者获得了敏感的个人信息、用户名和密码，可用于以受害者为代价实施进一步的欺诈。 “通过在受害者浏览器内创建自定义的虚假登录弹窗，此方法利用了用户对认证流程的熟悉度，使得凭据窃取在视觉上几乎无法察觉，”Trellix表示。 为帮助防范此类钓鱼攻击，建议用户为账户启用双因素认证：即使网络犯罪分子窃取了合法的登录凭证，2FA也能自动阻止账户被接管。同时，建议用户对突然出现的、意料之外的此类请求邮件保持警惕——如果担心账户通知的真实性，应直接通过浏览器登录Facebook官网，而不是点击不熟悉的链接。 消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Lumen Technologies的Black Lotus Labs团队表示，自2025年10月初以来，他们已阻断了流向与AISURU/Kimwolf僵尸网络相关的超过550个命令与控制节点的流量。 AISURU及其Android对应物Kimwolf已成为近期规模最大的僵尸网络之一，能够操控受控设备参与分布式拒绝服务攻击，并为住宅代理服务转发恶意流量。 关于Kimwolf的细节于上月浮出水面。该软件通过直接或通过设备预装的不可靠应用程序，向受感染的设备分发一个名为ByteConnect的软件开发工具包，从而将其转变为住宅代理。最终结果是，该僵尸网络通过住宅代理网络进行隧道传输，已感染超过200万台暴露了Android调试桥服务的Android设备，使威胁行为者能够入侵大量电视盒子。 Synthient随后的报告披露，Kimwolf的操作者试图出售代理带宽以换取预付现金。 Black Lotus Labs表示，基于对Aisuru后端C2服务器65.108.5[.]46的分析，他们于2025年9月识别出一组源自多个加拿大IP地址的住宅SSH连接，这些IP地址使用SSH访问194.46.59[.]169，即proxy-sdk.14emeliaterracewestroxburyma02132[.]su。 值得注意的是，该二级域名在2025年11月Cloudflare的顶级100域名榜单中曾超越Google，促使该网络基础设施公司将其从列表中移除。 随后，在2025年10月初，该网络安全公司表示，他们识别出另一个C2域名——greatfirewallisacensorshiptool.14emeliaterracewestroxburyma02132[.]su——其解析至104.171.170[.]21，这是一个属于犹他州托管服务提供商Resi Rack LLC的IP地址。该公司自称是”高级游戏服务器托管提供商”。 这一关联至关重要，因为独立安全记者Brian Krebs近期的报告揭示了基于此类僵尸网络的各类代理服务背后人员如何在一个名为resi[.]to的Discord服务器上推销其”warez”。这包括Resi Rack的联合创始人，据说他们近两年来一直积极通过Discord销售代理服务。 该服务器现已消失，其所有者名为”d”（推测是昵称”Dort”的缩写），而”Snow”被认为是僵尸网络的掌控者。 “在10月初，我们观察到在7天时间内，加入Kimwolf的新僵尸数量激增了300%，这是增长的开端，到月中时僵尸总数达到了80万，”Black Lotus Labs说，”这次激增中几乎所有的僵尸都被发现挂牌在单一的住宅代理服务上出售。” 随后发现，在2025年10月20日至11月6日期间，Kimwolf的C2架构会扫描PYPROXY等服务以寻找易受攻击的设备——这种行为是因为僵尸网络利用了众多代理服务中的一个安全漏洞，该漏洞使其能够与住宅代理端点内网的设备交互并植入恶意软件。 这进而将设备转变为住宅代理节点，导致其公网IP地址被列在住宅代理提供商网站上出租。威胁行为者随后租用对受感染节点的访问权限，并利用它扫描本地网络，寻找启用了ADB模式的设备以进一步传播。 “在2025年10月成功阻断一次路由后，我们观察到greatfirewallisacensorshiptool域名转移到了104.171.170[.]201，这是另一个Resi Rack LLC的IP地址，”Black Lotus Labs指出，”随着该服务器上线，我们观察到大量流量涌向176.65.149[.]19:25565，这是一个用于托管其恶意软件的服务器。该服务器所在的自治系统号当时正被Aisuru僵尸网络同时使用。” 此次披露的背景是，Chawkr的一份报告详细描述了一个包含832台受感染KeeneticOS路由器的复杂代理网络，这些路由器在Net By Net Holding LLC、VladLink和GorodSamara等俄罗斯ISP中运行。”所有832台设备上一致的SSH指纹和相同的配置指向了自动化的大规模利用，无论是利用窃取的凭证、嵌入式后门还是路由器固件中已知的安全漏洞，”报告称，”每台被入侵的路由器都同时保持HTTP和SSH访问权限。” 鉴于这些被入侵的SOHO路由器充当住宅代理节点，它们为威胁行为者提供了融入正常互联网流量以开展恶意活动的能力。这说明了对手如何越来越多地利用消费级设备作为多阶段攻击的渠道。 “与数据中心IP或已知托管提供商的地址不同，这些住宅代理端点在大多数安全厂商声誉列表和威胁情报源的雷达之下运行，”Chawkr指出，”其合法的住宅分类和清洁的IP声誉使得恶意流量能够伪装成普通的消费者活动，规避了那些会立即标记出来自可疑托管基础设施或已知代理服务请求的检测机制。” 消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Node.js已发布更新，修复了一个被其描述为影响”几乎所有生产环境Node.js应用”的严重安全问题。若被成功利用，该漏洞可能引发拒绝服务条件。 Node.js的Matteo Collina和Joyee Cheung在周二的一份公告中表示：”Node.js/V8会尽力从栈空间耗尽中恢复，并抛出一个可捕获的错误，许多框架已依赖此机制来保证服务可用性。但一个仅在启用async_hooks时才会复现的bug会破坏这种恢复尝试，导致当用户代码中的递归耗尽栈空间时，Node.js会直接退出并返回代码7，而不会抛出可捕获的错误。这使得那些递归深度由未净化的输入控制的应用程序容易遭受拒绝服务攻击。” 该漏洞的核心在于，当启用async_hooks且用户代码发生栈溢出时，Node.js会直接以退出码7（表示内部异常处理程序运行时失败）退出，而不是正常地处理异常。Async_hooks是一个底层的Node.js API，允许开发者跟踪数据库查询、定时器或HTTP请求等异步资源的生命周期。 Node.js表示，由于许多框架和应用程序性能监控工具使用了AsyncLocalStorage（一个构建在async_hooks模块之上的组件，使得在整个异步操作生命周期内存储数据成为可能），该问题影响了多个框架和APM工具，包括React Server Components、Next.js、Datadog、New Relic、Dynatrace、Elastic APM和OpenTelemetry。 该漏洞已在以下版本中得到修复： Node.js 20.20.0 (LTS) Node.js 22.22.0 (LTS) Node.js 24.13.0 (LTS) Node.js 25.3.0 (Current) 此问题还影响从8.x（首个包含async_hooks的版本）到18.x的所有Node.js版本。值得注意的是，代号为Carbon的Node.js 8.0.0版本发布于2017年5月30日。然而，这些版本由于已达到生命终止状态，将不会收到补丁。 已实施的修复会检测栈溢出错误并将其重新抛给用户代码，而不是将其视为致命错误。该漏洞被追踪为CVE-2025-59466（CVSS评分：7.5）。尽管实际影响重大，但Node.js表示，由于以下几个原因，他们仅将此修复视为一种缓解措施： 栈空间耗尽不属于ECMAScript规范的一部分。 V8 JavaScript引擎不将其视为安全问题。 作为异常处理最后一道防线的”uncaughtException”处理程序存在限制。 Node.js表示：”尽管这是对未指定行为的错误修复，但由于其对生态系统的广泛影响，我们选择将其包含在安全版本中。React Server Components、Next.js以及几乎所有的APM工具都受到影响。此修复改善了开发者体验，并使错误处理更具可预测性。” 鉴于该漏洞的严重性，建议相关框架/工具的用户及服务器托管提供商尽快更新。同时，建议库和框架的维护者应用更强大的防御措施来应对栈空间耗尽问题，确保服务可用性。 此次披露之际，Node.js还修复了另外三个高危漏洞（CVE-2025-55131、CVE-2025-55130和CVE-2025-59465），这些漏洞可能分别被利用来实现数据泄漏或损坏、通过精心构造的相对符号链接路径读取敏感文件，以及触发远程拒绝服务攻击。 消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

作者：Ruiqi Li、Zhiqiang Wang、Yunhao Yao、Xiang-Yang Li 译者：知道创宇404实验室翻译组 原文链接：https://arxiv.org/html/2601.07395v1 摘要 为了规范基于大型语言模型（LLM）的智能体与其环境之间的交互，模型上下文协议（MCP）应运而生并得到了广泛应用。然而，集成外部工具扩大了攻击面，使智能体面临工具投毒攻击的...

HackerNews 编译，转载请注明出处： 法国数据保护监管机构对一家法国电信巨头处以4800万美元罚款，因其网络安全漏洞导致大规模数据泄露， 2024年10月，一名黑客侵入了法国Free SAS及其姊妹公司Free Mobile的信息系统，获取了包括国际银行账号在内的2400万订阅者的个人数据。 Free SAS是一家主要电信服务提供商，Free Mobile是一家移动网络运营商。两者都是法国Iliad集团的子公司。 数据保护监管机构，即法国国家信息与自由委员会，在数据泄露事件发生后启动了调查，并发现其违反了欧洲的《通用数据保护条例》。 CNIL周三表示，对Free罚款2700万欧元（3100万美元），对Free SAS罚款1500万欧元（1700万美元）。 Iliad集团的一位发言人在一份声明中表示，公司将就这一决定向法国最高行政法院提出上诉。”该决定的严厉程度前所未有，与先前涉及网络攻击的案件相比，所施加的制裁完全不成比例，”声明称。”自2024年10月以来，我们已加强了安全架构，强化了访问控制，并实施了增强的实时监控。我们订阅者的数据受到符合最高安全标准的系统保护。” 根据CNIL的说法，罚款金额受到了被黑数据的敏感性、公司的高额利润以及其”对基本安全原则缺乏了解”的影响。 CNIL表示，公司缺乏足够的安全措施，包括为其VPN连接提供弱认证程序，以及没有有效的措施来检测其信息系统上的异常活动。 公司还违反了GDPR关于泄露通知的要求，没有向受影响客户提供足够的信息，以”直接理解数据泄露的后果，或了解他们可以采取哪些措施来保护自己”。 CNIL还指控，Free Mobile保留了前订阅者的数据，不必要地使其面临风险。 该机构表示，自调查开始以来，公司已采取措施改善其安全性，并被责令继续这样做。   消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软近日捣毁了一个名为RedVDS的流行网络犯罪订阅服务平台。据称，仅在美国，该平台就造成了超过4000万美元的诈骗损失。 微软助理总法律顾问史蒂文·正田表示，RedVDS为网络犯罪分子提供了一次性的虚拟计算机，这使得诈骗活动成本低廉、易于扩大规模且难以追踪。 作为一场与欧洲刑警组织和德国当局合作的更广泛国际执法行动的一部分，微软在美国和英国提起了民事诉讼。该公司与执法部门合作，查封了托管RedVDS市场和客户门户的两个域名，并采取措施追查该骗局背后的涉案人员。目前尚未公开任何嫌疑人姓名。 德国州刑事警察查封了一台用于运行RedVDS的服务器，使得该市场平台下线。 “RedVDS是一种在线订阅服务，属于日益增长的’网络犯罪即服务’生态系统的一部分，网络犯罪分子在此买卖服务和工具以大规模发起攻击，”正田说。”它提供对运行未授权软件的廉价、有效、一次性虚拟计算机的访问，使犯罪分子能够快速、匿名地跨境操作。” 网络犯罪分子每月仅需支付24美元即可访问该平台，并利用它发送钓鱼邮件、托管诈骗基础设施等。RedVDS自2019年开始存在，一直通过一家据称位于巴哈马的虚假公司公开运营。大多数客户使用比特币和其他加密货币购买该网站的服务。 正田解释说，仅在一个月内，微软就观察到超过2600个不同的RedVDS虚拟机向微软客户平均每天发送100万条钓鱼信息。虽然大部分信息被拦截，但仍有少量可能到达了目标收件箱。自9月以来，RedVDS支持的攻击”已导致全球超过130,000个组织中的超过191,000个微软电子邮件账户遭到入侵或被欺诈性访问”，他补充道。 微软与两家共同原告方一起提起了民事诉讼以关闭这些平台：一家是位于阿拉巴马州的制药公司H2 Pharma，另一家是佛罗里达州的Gatehouse Dock共管公寓协会。H2 Pharma遭遇的网络犯罪分子利用RedVDS窃取了超过730万美元，而该公寓协会则损失了居民和业主为维修贡献的约50万美元资金。 房地产诈骗 网络犯罪分子通常使用RedVDS进行支付转移欺诈，也称为商业电子邮件入侵。该平台允许威胁行为者侵入电子邮件账户、监控对话，并在支付或电汇发生前将自己插入邮件链中。通过冒充邮件链中的其他参与者，黑客能够在几秒钟内转移资金，远在组织意识到资金发送错误之前。 正田指出，RedVDS一直是房地产支付转移诈骗蔓延的关键推手。网络犯罪分子越来越多地针对房地产经纪人、托管代理或产权公司，窃取人们以为用于支付房屋首付款的数百万美元。”对于家庭和首次购房者来说，后果可能是毁灭性的，一次被转移的支付就可能耗尽毕生积蓄或彻底破坏购房计划，”正田说。”仅房地产领域，微软就观察到RedVDS支持的活动影响了超过9,000名客户，在加拿大和澳大利亚等国影响尤为严重。而且威胁远不止于房地产。RedVDS支持的诈骗已波及建筑、制造、医疗、物流、教育、法律服务等众多行业——扰乱了从生产线到患者护理的方方面面。” 微软观察到网络犯罪分子发送虚假发票或要求更改付款账户的电子邮件，并利用紧迫感迫使受害者尽快汇款。在某些情况下，他们发送虚假的未付发票，要求当天偿还债务。 RedVDS本身并不拥有物理数据中心，而是从美国、加拿大、英国、法国和荷兰的第三方托管提供商那里租用服务器。这使得网络犯罪分子能够从靠近受害者目标的IP地址发起攻击，从而绕过基于地理位置的安全过滤器。 欧洲刑警组织也协助捣毁了支持RedVDS客户的更广泛的服务器和支付网络。 “即用型”平台 微软表示，RedVDS是网络犯罪分子获取基于Windows的远程桌面协议服务器的途径，这些服务器具有完全管理员控制权且无使用限制。该公司最终追查到了数千条被盗凭证、从目标组织窃取的发票、群发邮件工具和钓鱼工具包，它们都指向该平台。 这些网络犯罪分子使用了几种不同的工具来验证大型电子邮件地址数据库、分类和清理邮件列表以及发送批量邮件，所有这些操作都是通过RedVDS实例完成的，他们还使用注重隐私的网页浏览器和VPN来隐藏身份。一些用户甚至部署了ChatGPT和其他OpenAI工具来撰写有说服力的英文电子邮件。 研究人员解释说：”一旦配置完成，这些克隆的Windows主机为攻击者提供了一个即用型平台，用于研究目标、部署钓鱼基础设施、窃取凭证、劫持邮箱，并以最小的阻力执行基于冒充的金融欺诈。威胁行为者受益于RedVDS无限制的管理员访问权限和微乎其微的日志记录，使得他们能够在没有有效监督的情况下操作。RedVDS服务器统一、一次性的特性使网络犯罪分子能够快速迭代攻击活动，自动化大规模投递，并迅速从初始目标选定转移到金融盗窃。” 与RedVDS相关的其他平台能生成PDF或HTML诱饵附件，自动化电子邮件发送周期，并创建看似合法网站的钓鱼域名。在30多天的时间里，微软发现了超过7,300个与RedVDS基础设施相关的IP地址，这些地址共同托管了超过3,700个用于冒充合法平台的域名。 当受害者在这些网站上输入他们的凭证时，RedVDS会协助提取令牌或Cookie，从而使网络犯罪分子能够绕过多因素身份验证。利用窃取的信息，攻击者登录邮箱，搜索任何涉及财务、发票或供应商的对话。 微软表示，这是该公司为关闭网络犯罪基础设施而采取的第35次民事诉讼行动。在2025年秋季，它采取了类似行动关闭了一个名为RaccoonO365的流行服务，该服务被网络犯罪分子用于窃取用户名和密码。至少有一名在尼日利亚的男子因运营RaccoonO365平台被捕。微软观察到的许多使用RaccoonO365钓鱼服务的网络犯罪分子也同时使用了RedVDS。     消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

安全求职速冲！这有150+优质岗位和130+优秀人才，简历直推不绕弯！

Google appears to be testing a new feature that integrates Gemini into Chrome for Android, allowing you to use agentic browser capabilities on your mobile device. [...]