Aggregator

HackerNews 编译，转载请注明出处： 埃隆·马斯克的政府效率部（DOGE）推出的一个网站被发现存在重大安全漏洞，允许未经授权的用户直接修改其内容。 这一漏洞由两名网络开发专家发现，该网站使用了一个不安全的外部数据库，这使得任何了解该漏洞的人都可以在网站上发布和显示内容。 DOGE 网站在 1 月份上线，旨在展示该部门削减政府开支的努力。然而，几周来，该网站基本处于不活跃状态，仅包含三行文字和一个卡通标志。 该网站在周三和周四进一步开发，从 Cloudflare Pages 站点获取数据，底层代码在此部署。 安全漏洞最初由 404Media 报道，两名网络开发专家向他们发出了警告。他们发现 doge.gov 网站连接了一个可由第三方访问和修改的数据库，这使得任何人都可以进行未经授权的修改，且修改内容会实时显示在网站上。漏洞很快被利用，有人在网站首页发布了讽刺性信息。 一条信息写道：“这是一个.gov 网站的笑话。”另一条则称：“这些‘专家’把数据库敞开了—— roro。”这些信息在网站上停留了数小时。Newsweek 也在周五早上看到了“这是一个.gov 网站的笑话”的信息。网站如此轻易地被篡改，引发了人们对 DOGE 安全实践的担忧。 专家指出，该网站似乎是在仓促之间建成的。一名程序员告诉 404Media：“感觉它是匆匆忙忙搭建的。网页源代码中存在许多错误，还暴露了敏感信息。”编码专家 Sam Curry 指出，DOGE 网站似乎是由 Burst Data 开发和托管的，而 Burst Data 由一名现任 DOGE 员工管理。他补充说，网站上的图片通过 Cloudflare 的 ImageDelivery 服务进行路由。DOGE 团队随后修复了网站问题，删除了那些引发争议的信息。 然而，这一事件引发了对部门处理敏感数据和维护安全系统能力的质疑。在所谓的黑客攻击之前，DOGE 网站据报发布了机密情报数据。据 Huffington Post 报道，该网站显示了美国情报机构的规模和人员信息。机密数据的曝光和网站被轻易黑客攻击的情况，导致对 DOGE 及其实践的审查增加。 批评者对部门接触敏感信息的权限以及潜在的利益冲突表示担忧。已有多起诉讼针对 DOGE，挑战其接触政府数据的权限。   消息来源：Cybersecurity News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 施乐公司发布了安全更新，以解决 Versalink 多功能打印机中的回传攻击漏洞。 据 Rapid7 发现，施乐 VersaLink 多功能打印机中的漏洞可能允许攻击者通过针对 LDAP 和 SMB/FTP 服务的回传攻击获取认证凭据。 在这些一体式企业彩色打印机中发现了两个安全缺陷，分别是 CVE-2024-12510 和 CVE-2024-12511，施乐已发布安全更新来解决这两个问题。 简而言之，在回传攻击中，打印机被指示对攻击者控制的服务器进行身份验证，攻击者随后捕获设备发送的身份验证数据。 对于配置了轻量级目录访问协议（LDAP）服务进行身份验证的 Versalink 打印机，攻击者如果能够访问配置页面，只需修改服务的 IP 地址，然后触发 LDAP 查找，即可对攻击者控制的服务器进行身份验证。 “通过在攻击者控制的主机上运行端口监听器，他们就能够捕获明文的 LDAP 服务凭据。这种攻击需要访问多功能打印机的管理员账户，且 LDAP 服务必须已配置为正常运行到有效的 LDAP 服务器，”Rapid7 解释道。 为了捕获 SMB 或 FTP 身份验证凭据，攻击者需要访问用户地址簿配置，并将 SMB 或 FTP 服务器的 IP 地址修改为他们控制的服务器。 “这种攻击允许恶意行为者捕获 NetNTLMv2 握手，或利用漏洞对 Active Directory 文件服务器进行 SMB 中继攻击。在 FTP 的情况下，恶意行为者能够捕获明文的 FTP 身份验证凭据，”Rapid7 表示。 如果用户的地址簿中配置了 SMB 或 FTP 扫描功能，并且攻击者要么物理访问打印机控制台，要么通过网络界面远程访问（这可能需要管理员凭据），则可以发起此类攻击。 “如果恶意行为者能够成功利用这些问题，他们将能够捕获 Windows Active Directory 的凭据。这意味着他们可以在组织的环境中横向移动，并危及其他关键的 Windows 服务器和文件系统，”Rapid7 指出。 这两个问题在 2024 年 3 月报告给施乐。针对这些问题的修复措施在 2025 年 1 月底以服务包更新的形式发布，适用于 VersaLink C7020、7025 和 7030 系列多功能打印机。 建议组织尽快将 VersaLink 打印机更新到固件版本 57.75.53。为了缓解这些漏洞，他们应使用复杂的管理员账户密码，避免使用具有提升权限的 Windows 身份验证账户，并禁用对远程控制台的未认证访问。   消息来源：Security Week；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处：   据美联社 2025 年 2 月 17 日报道，中国人工智能初创公司 DeepSeek 已在韩国暂停其聊天机器人应用的下载，同时与当地 authorities 合作解决隐私问题。 韩国个人信息保护委员会表示，DeepSeek 的应用已在周六晚上从韩国版本的苹果 App Store 和谷歌 Play 商店中移除，该公司同意在重新推出应用之前与该机构合作加强隐私保护。 这一举措不影响已经下载 DeepSeek 应用的用户或在个人电脑上使用该应用的用户。韩国委员会调查部门的负责人 Nam Seok 建议韩国用户删除该应用，或避免在问题解决之前输入个人信息。 许多韩国政府机构和公司已经阻止 DeepSeek 访问其网络，或禁止员工在工作中使用该应用，担心该 AI 模型收集过多敏感信息。 韩国隐私委员会上个月开始审查 DeepSeek 的服务，发现该公司在第三方数据传输方面缺乏透明度，可能收集了过多的个人信息。Nam 表示，委员会尚未估计韩国的 DeepSeek 用户数量。Wiseapp Retail 最近的一项分析发现，在 1 月下旬，DeepSeek 在韩国约有 120 万智能手机用户，成为仅次于 ChatGPT 的第二受欢迎的 AI 模型。   消息来源：Security Week；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处：   微软宣布将从 Windows 中移除位置历史功能，该功能曾允许像 Cortana 虚拟助手这样的应用程序获取设备的位置历史。 微软在公告中表示：“我们正在弃用并移除位置历史功能，这是一个允许 Cortana 在位置启用时访问设备 24 小时历史的 API。” 弃用该功能意味着数据将不再本地保存，相关设置也将从操作系统（Windows 10 和 11）中消失。 该功能背后的 API ‘Geolocator.GetGeopositionHistoryAsync’ 为应用程序提供本地存储的数据，这些数据是位置服务在过去 24 小时内收集的。 “位置服务仅在应用程序或服务查询用户位置时收集位置信息，但每秒不超过一次，”微软解释道。 设备位置数据本地存储，只有在应用程序或服务主动请求时才会填充列表。 BleepingComputer 已联系微软，询问弃用位置历史 API 的原因，我们将在收到回复后更新此文章。 开发者应审查使用 Windows.Devices.Geolocation API 的应用程序，并迁移到其他方法，否则其工具的核心功能可能在未来出现故障。 位置服务选项也将从 Windows 设置 > 隐私与安全 > 位置中移除。 用户可以完全停用该设置，以阻止所有应用程序和服务访问位置数据。 停用后，用户应点击 “清除” 按钮，以删除过去 24 小时内的任何位置数据。   消息来源：Bleeping Computer；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

AtlasReaper AtlasReaper is a command-line tool developed for offensive security purposes, primarily focused on a reconnaissance of Confluence and Jira. It also provides various features that can be helpful for tasks such as credential...

The post AtlasReaper: reconnaissance of Confluence and Jira appeared first on Penetration Testing Tools.

DynastyPersist A CTF Tool for Linux persistence (KOTH, Battlegrounds) A powerful and versatile Linux persistence script designed for various security assessment and testing scenarios. This script provides a collection of features that demonstrate different...

The post DynastyPersist: A Linux persistence tool appeared first on Penetration Testing Tools.

GTFONow Automatic privilege escalation on Unix systems by exploiting misconfigured setuid/setgid binaries, capabilities, and sudo permissions. Designed for CTFs but also applicable in real-world pentests. Features Automatically exploit misconfigured sudo permissions. Automatically exploit misconfigured...

The post GTFONow: Automatic privilege escalation for misconfigured capabilities, sudo and suid binaries appeared first on Penetration Testing Tools.

HackerNews 编译，转载请注明出处：   微软威胁情报团队近日宣布，他们发现了一种新的 XCSSET 恶意软件变体，该变体在野外的有限攻击中被发现。 “这是自 2022 年以来已知的首个 XCSSET 变体，具有增强的混淆方法、更新的持久性机制和新的感染策略，”微软威胁情报团队在 X 上的一篇帖子中表示。 这些增强功能增加了该恶意软件家族之前已知的能力，例如针对数字钱包、从 Notes 应用程序收集数据以及窃取系统信息和文件。 XCSSET 是一种复杂的模块化 macOS 恶意软件，已知会通过感染 Apple Xcode 项目来攻击用户。它最初在 2020 年 8 月由趋势科技记录。 随后的恶意软件迭代被发现能够适应新的 macOS 版本以及苹果自家的 M1 芯片。2021 年年中，这家网络安全公司指出，XCSSET 已经更新，可以从各种应用程序（如 Google Chrome、Telegram、Evernote、Opera、Skype、WeChat 以及苹果自家的 Contacts 和 Notes 应用程序）中窃取数据。 Jamf 同一时间的另一份报告揭示了该恶意软件利用 CVE-2021-30713（一个 Transparency、Consent 和 Control (TCC) 框架绕过漏洞）作为零日漏洞，在不需要额外权限的情况下截取受害者桌面的屏幕截图。 一年多后，它再次更新，增加了对 macOS Monterey 的支持。截至目前，该恶意软件的起源仍未知。 微软的最新发现标志着自 2022 年以来的首次重大修订，采用了改进的混淆方法和持久性机制，旨在挑战分析工作，并确保每次启动新的 shell 会话时恶意软件都会被启动。 XCSSET 建立持久性的另一种新方法是从未知的命令和控制服务器下载签名的 dockutil 实用程序，以管理 dock 项目。 “恶意软件随后创建一个假的 Launchpad 应用程序，并将合法 Launchpad 在 dock 中的路径条目替换为这个假的条目，”微软表示，“这确保了每次从 dock 启动 Launchpad 时，合法的 Launchpad 和恶意负载都会被执行。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

遇水则发福泽长， 甘霖天降润苍茫， 春雨滋养万物昌， 破冰生发岁华芳。

遇水则发福泽长， 甘霖天降润苍茫， 春雨滋养万物昌， 破冰生发岁华芳。

Flurry of Arrests a Potential Prelude to Russia-Ukraine Peace Negotiations
Even before Donald Trump took office on Jan. 20, there were signs that Russian President Vladimir Putin ordered cybercriminals operating inside his country's borders to be reined in, potentially as a bargaining chip in negotiations over Russia's stalemated war of conquest against Ukraine.