Aggregator

erviceBridge 泄露 3200 万份文件，大量企业数据被曝光

HackerNews
1 year 7 months ago
据Cyber News消息，安全研究员杰里迈亚-福勒（Jeremiah Fowler）发现了一个基于云的现场服务管理平台 ServiceBridge 暴露了大规模数据，其中包含合同、工单、发票、建议书、协议、部分信用卡号，甚至还有可追溯到 2012 年的 HIPAA 同意书。 ServiceBridge为多项现场服务提供业务支持，如泳池服务、害虫防治、杂工等，是一个集 GPS 跟踪、工单、开票和付款的平台。 暴露的数据库信息 根据此次发现，暴露的数据库包含 31524107 个文件，总大小为 2.68TB，文档按年月以及 PDF 和 HTM 格式分类存放在文件夹中，其中涵盖美国、加拿大、英国和许多欧洲国家不同行业的公司，其历史可以追溯到 2012 年。 除了暴露了大量合同信息，一些文件也包括个人和组织信息，例如房东、学校、宗教机构、知名连锁餐厅、医疗服务提供者等。一些文件甚至包括可能对财产或个人构成潜在物理安全风险的大门密码或其他访问信息。 此截图为一个工作订单，其中列出了部分付款信息、所欠账户余额和客户的 PII 研究人员向ServiceBridge发送了一份披露通知后，暴露的数据库已经不可见，但目前尚不清楚该数据库被暴露了多长时间，以及是否被任何潜在的黑客访问。 研究人员警告称，暴露信息可能会被网络犯罪分子利用来进行鱼叉式网络钓鱼活动或其他欺诈活动。2022 年，由于发票和付款欺诈，美国企业平均每年损失了30万美元。   转自FreeBuf，原文链接：https://www.freebuf.com/news/409656.html 封面来源于网络，如有侵权请联系删除
内容转载

Z 世代和千禧一代很少接电话

Solidot
1 year 7 months ago
年轻一代偏爱的沟通方式不再是打电话，除了沟通方式更多样化外，一大原因是今天你接到的电话更有可能是广告电话。根据 Uswitch 的一项调查，18-34 岁年轻人中有四分之一从不接电话。他们会无视电话铃声，改为发消息回复，如果电话号码不认识则在互联网上搜索该号码。调查显示，18-34 岁的人群中近七成偏爱发消息。移动电话被用于紧急情况的通信，而固定电话则偶尔用于给祖父母那一辈人通信。年轻一代人没有养成打电话的习惯。调查显示，逾半数年轻人承认他们对电话铃声感到恐惧，认为会带来坏消息。专家将这一趋势归因于移动技术和社交媒体的兴起。年轻一代如今主要通过群聊和社交媒体平台保持沟通。这种沟通方式的转变也在工作场所给雇主带来了挑战。

CVE-2024-5546 | Zoho ManageEngine Password Manager Pro/PAM360 sql injection

VulDB Recent Entries
1 year 7 months ago
A vulnerability was found in Zoho ManageEngine Password Manager Pro and PAM360 and classified as critical. This issue affects some unknown processing. The manipulation leads to sql injection. The identification of this vulnerability is CVE-2024-5546. The attack may be initiated remotely. There is no exploit available. It is recommended to upgrade the affected component.
vuldb.com

开源 GPS 系统曝出两个高危漏洞

HackerNews
1 year 7 months ago
开源GPS跟踪系统Traccar近日曝出两个高危漏洞，可被黑客利用远程执行代码。在全球GPS跟踪市场中，Traccar因其灵活的开源架构和可定制化特点，深受企业和个人用户的青睐。它被广泛应用于物流运输、车队管理、资产跟踪、安全监控以及个人定位等多个领域。通过Traccar，用户可以实现对车辆位置的实时监控、历史轨迹回放、地理围栏设置等功能，从而提高运营效率和安全性。根据Horizon3.ai的研究员Naveen Sunkavally所述，披露的两个漏洞都是路径遍历（PathTraversal）漏洞，当启用访客注册功能（Traccar5的默认配置）时，漏洞就会被武器化利用。以下是这两个漏洞的简要描述： CVE-2024-24809（CVSS分数：8.5）-路径遍历漏洞，允许上传具有危险类型的文件，攻击路径为dir/../../filename。 CVE-2024-31214（CVSS分数：9.7）-设备图片上传功能中存在不受限制的文件上传漏洞，可能导致远程代码执行。 Sunkavally表示：“CVE-2024-31214和CVE-2024-24809的综合结果是，攻击者可将任意内容的文件放置到文件系统的任意位置。不过，攻击者只能部分控制文件名。” 这些问题与程序处理设备图片文件上传的方式有关，攻击者可以借此覆盖文件系统中的某些文件，从而触发代码执行。这些文件必须符合以下命名格式： device.ext：攻击者可以控制ext（扩展名），但必须存在扩展名。 blah”：攻击者可以控制blah，但文件名必须以双引号结尾。 blah1″;blah2=blah3：攻击者可以控制blah1、blah2和blah3，但必须包含双引号、分号序列和等号。 攻击场景与利用方式 在Horizon3.ai提出的概念验证（PoC）中，攻击者可以利用Content-Type头中的路径遍历漏洞来上传crontab文件，从而在攻击者主机上获取反向shell。然而，这种攻击方式无法在基于Debian或Ubuntu的Linux系统上运行，因为这些系统禁止crontab文件包含句号或双引号。另一种攻击方式是利用Traccar以root用户权限安装的特性，攻击者可以投放一个内核模块，或者配置一个udev规则，使其在每次触发硬件事件时执行任意命令。在易受攻击的Windows实例中，攻击者可以通过在C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp目录中放置一个名为device.lnk的快捷方式文件来实现远程代码执行。当目标用户登录Traccar主机时，该文件会被自动执行。 受影响版本及修复措施 Traccar版本5.1至5.12均受到CVE-2024-31214和CVE-2024-24809的影响。这些漏洞已在2024年4月发布的Traccar 6中得到修复，新版本默认关闭了自注册功能，从而减少了攻击面。 Sunkavally进一步解释道：“如果注册设置为true、readOnly为false且deviceReadonly为false，那么未经身份验证的攻击者可以利用这些漏洞。而这些正是Traccar 5的默认配置。” 总结 Traccar GPS是颇为流行的开源GPS跟踪系统，此次曝光的两个远程执行漏洞对设备和系统安全构成严重威胁。虽然这些漏洞已在Traccar 6中得到了修复，但对使用Traccar 5系列的用户来说，关闭自注册功能并更新至最新版本至关重要。确保这些配置安全，才能有效抵御潜在的网络攻击。   转自GoUpSec，原文链接：https://mp.weixin.qq.com/s/TbvItWzI_KWWUzcsqBueUg 封面来源于网络，如有侵权请联系删除
内容转载

PWA 网络钓鱼，针对 Android、iOS 金融欺诈活动

HackerNews
1 year 7 months ago
在捷克共和国、匈牙利和格鲁吉亚的金融欺诈活动中，最近发现了一种复杂的移动网络钓鱼技术。这种网络钓鱼方法利用渐进式Web应用程序PWA，提供类似本机应用程序的体验，主要在Android和iOS设备上出现。 iOS和Android上的PWA网络钓鱼 这种新型的网络钓鱼技术之所以能够实施，是利用PWA的工作特性诱导用户下载并运行恶意软件，而无需用户明确允许第三方手机应用的安装。在iOS上，网络钓鱼网站冒充知名应用程序的登录页面，并指示受害者将PWA添加到他们的主屏幕。在登录页面建立之前，某个威胁通过修改PWA的清单文件，使得PWA能够独立运行，并且其行为与普通的移动应用相似。 PWA工作原理的简化图 在Android设备上，当用户在浏览器中确认了自定义的弹出窗口后，PWA会被安装。这会导致用户静默地安装Web Android包工具包（WebAPK）。WebAPK是一种特殊类型的APK，即标准的Android应用程序文件，可以被视为PWA的升级版本。这种升级是因为Chrome浏览器从PWA生成原生Android应用程序。 针对银行的金融欺诈活动 在2023年11月，ESET观察到针对几家捷克银行、匈牙利OTP银行和格鲁吉亚TBC银行的移动网络钓鱼活动，在这些活动中，攻击者使用了一种特定的技术，并且这种技术是与标准的网络钓鱼传递技术一起使用的。这些网络钓鱼活动使用了三种不同的URL传递机制：语音呼叫传送：自动呼叫警告用户过时的银行应用程序，并要求用户在数字键盘上选择一个选项。按下正确的按钮后，将通过短信发送网络钓鱼URL。短信发送：带有网络钓鱼链接的短信被莫名其妙地发送到捷克的电话号码。 恶意广告投放：在Instagram和Facebook等Meta平台上发布号召性用语的广告，例如为下载更新用户提供优惠。 PWA 网络钓鱼流 2024年3月，研究人员首次发现了控制网络钓鱼应用的C2服务器。服务器中的数据表明，3月之前可能并未运行。根据C2服务器和后端基础设施的分析，研究人员得出结论，至少有两个不同的威胁行动者在操作这些网络钓鱼活动。ESET目前已经通知了被这些网络钓鱼活动针对的银行。   转自E安全，原文链接：https://mp.weixin.qq.com/s/2v-zewR5qAfpiv_kAcldGg 封面来源于网络，如有侵权请联系删除
内容转载

SaaS多租户自动化渗透平台-架构笔记

b1ngz的笔记本
1 year 7 months ago
文章介绍了为满足商业化需求，同时解决历史架构设计和技术选型问题的背景下，我和团队师傅在 SaaS 自动化渗透平台架构设计的又一次探索和实践，包括重构背后的一些思考、新架构的设计思路，以及架构的整体情况

SaaS多租户自动化渗透平台-架构笔记

b1ngz的笔记本
1 year 7 months ago
文章介绍了为满足商业化需求，同时解决历史架构设计和技术选型问题的背景下，我和团队师傅在 SaaS 自动化渗透平台架构设计的又一次探索和实践，包括重构背后的一些思考、新架构的设计思路，以及架构的整体情况

Managed ad