，威胁软件供应链原文链接https://thehackernews.com/2024/07/60-new-malicious-packages-uncovered-in.html题图：Pexels

payload。代码卫士试用地址：https://codesafe.qianxin.com开源卫士试用地址：https://oss.qianxin.com推荐阅读利用

插件，但目前证据表明攻陷仅局限于此前提到的五款插件。后门操作和IoC受感染插件中的恶意代码试图创建新的管理员账户并将SEO垃圾内容注入受陷网站。Wordfence

指出，“这是我们三年中第二次看到大规模攻陷事件呈现增长态势。”MOVEit（去年5月被利用，6月初被披露）、Barracuda

还对所有系统进行了完全审计并重置了所有密码，确保密码如被盗，不会被用于其它攻陷事件中。该公司提到，“通过与网络当局的监控和协作，我们发现有人通过受陷文件取代

上的6000多个AI模型，凸显AI平台和开发人员解决供应链安全挑战的必要性。值得注意的是，该漏洞是由一名网络安全研究员率先发现的。该漏洞的编号是CVE-2024-34359，是因对

引擎中界外读引发的高危漏洞。远程攻击者可使用特殊构造的HTML页面访问所分配内存缓冲区以外的数据，导致堆损坏，从而提取敏感信息。CVE-2024-4671：位于负责处理浏览器中渲染和显示内容的

AI”两方面的实践。应加快软件物料清单（SBOM）相关的研究和应用我国的国家标准《软件物料清单数据格式》即将公开征求意见，4月份刚发布的《GB/T

Strike的开源C2框架，供网络安全专业人员用语红队演练。Sliver因了解的人少也更不容易被检测到，因此得到越来越多的威胁行动者的青睐。“requests-darwin-lite”的创建者将

组件中的“释放后使用”漏洞，负责处理渲染和在浏览器上展示内容。该漏洞由一名匿名研究人员发现并报送，谷歌表示可能已遭活跃利用。谷歌在安全公告中表示，“谷歌发现

活动并发现攻击者至少在2023年6月就已测试并开发了相关利用。思科防火墙后门这两个漏洞可导致攻击者在受陷的ASA和FTD设备上部署此前未知的恶意软件并维护可持久性。其中一个恶意软件植入是

root。要利用该漏洞，攻击者必须在受影响设备上拥有只读或更高权限。”该漏洞的编号是CVE-2024-20295，由对用户提供输入的验证不足引发，可在复杂度较低的攻击中使用构造的CLI

供应链事件后，美国考虑实施软件安全评级和标准机制找到软件供应链的薄弱链条GitHub谈软件供应链安全及其重要性揭秘新的供应链攻击：一研究员靠它成功入侵微软、苹果等

中来躲避检测，在构建项目时自动执行”。因此，除非通过专门搜索才能发现，因为一般用户可能不会这样做。为了建立恶意软件的可持久性，攻击者创建了在凌晨4点运行且无需任何用户确认或交互的调度任务。而该代码与

公司调查显示，不到一般的组织机构认为它们能够以安全的方式使用AI，71%的受访组织机构担心实现前的数据隐私和安全问题，61%的受访组织机构担心内部数据质量问题。尽管AI工具如

交换机受思科0day影响原文链接https://securityaffairs.com/161540/security/cisco-eof-routers-xss.html题图：Pixabay

随后发布告警，建议管理员尽快更新系统。代码卫士试用地址：https://codesafe.qianxin.com开源卫士试用地址：https://oss.qianxin.com推荐阅读思科修复

Linux是在3月26日至3月29日期间更新过的任何Kali安装https://www.kali.org/blog/about-the-xz-backdoor/OpenSUSE是Tumbleweed

Edge浏览器。代码卫士试用地址：https://codesafe.qianxin.com开源卫士试用地址：https://oss.qianxin.com推荐阅读Mozilla

CVE-2023-6019、CVE-2023-6020、CVE-2023-6021和CVE-2024-48023。不过该公司并未修复第5个漏洞即严重的RCE漏洞

3汽车。代码卫士试用地址：https://codesafe.qianxin.com开源卫士试用地址：https://oss.qianxin.com推荐阅读Pwn2Own

团队，使用一个UAF转RCE漏洞在Edge和Chrome浏览器的渲染器中执行利用，获得8.5万美元和9个积分点。成功Valentina

(DAGS)。在某些条件下，这些操作可导致MWAA的基础、横向移动到其它服务的实例上实现RCE。”该漏洞的根因在于AWS

的使用增多，尤其是针对高管人员的攻击更是如此，他们遭受的QR码钓鱼攻击要比一般员工高42倍。这类攻击技术的出现表明我们需要保持警醒，Kowski

供应链事件后，美国考虑实施软件安全评级和标准机制找到软件供应链的薄弱链条GitHub谈软件供应链安全及其重要性揭秘新的供应链攻击：一研究员靠它成功入侵微软、苹果等

联合发布关于保护AI系统开发安全新指南谷歌发布漏洞奖励计划和其它举措，保护AI安全原文链接https://gbhackers.com/created-ai-worm/题图：Pixabay

3000和9000系列交换机的端口信道子界面访问控制列表编程中，可在无需认证的情况下被远程用于绕过ACL防护。周三还修复了第五个漏洞，它影响Intersight

文件。当该文件启动时会触发感染序列来建立与C2服务器的连接来等待进一步的指令。该RAT具有的能力包括文件传输和命令执行，据称早在2014年就投入使用，且之前被朝鲜其它黑客组织如APT37

模块受严重漏洞影响原文链接https://thehackernews.com/2024/02/new-wi-fi-vulnerabilities-expose.html题图：Pexels

公司的安全研究人员指出，“缓冲区溢出漏洞具有重大威胁，因为它可触发本地提权，导致低权限用户通过将输入构造到应用这些日志记录功能的应用，获得完整的

是一体化解决方案，提供企业级语音、视频和消息服务以及客户参与和管理。该公司已发布安全公告提醒注意该漏洞，它可导致未认证的远程攻击者在受影响设备上执行任意代码。该漏洞由

SEC-3100。不过由于其中一个漏洞此前已知，结果获得2.25万美元的赏金和4.5个积分点。（2）成功使用一个缓冲溢出利用

发布了两份备忘录即22-18和23-16，它们都关注软件供应链安全并开始提出要求，如要求所有向美国联邦政府出售产品的软件供应商开始自我认证如下软件安全开发实践：如NIST

权限更改为只读。研究人员提到，“随着越来越多的组织机构将其CI/CD进程自动化，类似的CI/CD攻击正在增长。AI/ML企业的工作流要求大量计算力，而

特性。服务器类别2024年的服务器类别稍有减少，本次大赛主要关注服务器组件。这些服务器经常受到勒索团伙、国家黑客组织等的青睐，因此这些组织手中存在

(120.0.6099.224)。尽管谷歌表示需要几天或几周的时间才能将安全更新推送给所有受影响用户，不过现在已推出。选择自动更新的用户可依靠

设备。代码卫士试用地址：https://codesafe.qianxin.com开源卫士试用地址：https://oss.qianxin.com推荐阅读罗克韦尔自动化称

指出，“声音克隆技术存在重大风险：家庭和小企业可能遭欺诈性勒索攻击；创意性专业人员如声音艺术家的声音可能被剽窃从而导致生活可能受到威胁，公众可能会遭到欺骗。”FTC

中的漏洞。代码卫士试用地址：https://codesafe.qianxin.com开源卫士试用地址：https://oss.qianxin.com推荐阅读谷歌紧急修复今年第8个已遭利用的

进行通话的服务器遭受大规模的拒绝服务攻击。1.10.10及以下版本均受影响。强烈建议用户升级至1.10.11或后续版本。新版本中包含的修复方案释放来自未验证地址的数据包，增强了

组织在2023年2月至7月之间攻击全球数千家组织机构，主要针对的是卫星、国防和制药行业。微软提到，该组织的最终目的是收集符合伊朗国家利益的情报信息。该组织至少活跃于2013年。谷歌旗下公司

方法易受堆缓冲溢出漏洞影响。该漏洞可导致攻击者进行远程代码执行和沙箱逃逸。”其次严重性最高的是CVE-2023-6135，与渲染易受

Thief!”的GPT，可将会话数据提取到由研究员操纵的一个外部URL。数据盗取涉及镜像标记渲染和提示注入，因此攻击要求受害者提交攻击者直接提供的恶意提示，或者贴到某个受害者发现和使用的地方。就像

漏洞补丁的详情。该漏洞编号为CVE-2023-23397，由微软在2023年3月修复，当时该漏洞已被俄罗斯国家黑客组织利用一年左右。未认证攻击者可发送包含非恶意通知链接的邮件提醒，诱骗

聚焦源代码安全，网罗国内外最新资讯！编译：代码卫士谷歌紧急修复今年年初以来已遭利用的第8个在野

攻击的更多详情。代码卫士试用地址：https://codesafe.qianxin.com开源卫士试用地址：https://oss.qianxin.com推荐阅读OpenSSH

GitHub，专门攻击研究员原文链接https://thehackernews.com/2023/12/hackers-abusing-github-to-evade.html题图：Pexels

提供了所有的软件组件如开源组件以及组件之间的关系。NSA发布的这项指南按照美国政府之前给出的

的系统。余下的三个漏洞严重性较低，可导致DoS攻击，但仍然可导致运营中断，从而在大型部署中造成重大经济损失。防护建议除了从厂商的下载门户下载最新版本的

提到，与之相反，自2015年GWT问题被首次提及以来，代码维护人员并未采取以上任何一种措施。他在文章中详细说明了易受攻击的