各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、安全事件、一周好文和省心工具，保证大家不错过本周的每一个重点！

热点资讯

1. 时隔八年，通用漏洞评分系统标准CVSS v4.0正式发布

近日，事故响应与安全团队论坛（FIRST）正式发布了通用漏洞评分系统标准CVSS v4.0，这个全新版本距离上一版 CVSS v3.0 已经过去了八年。

2. 苹果 "手机入侵 "指控引发印度政府调查

苹果公司向十多位反对党领袖和记者发送了一系列警报，警告他们可能受到 "国家支持的攻击者 "的攻击。

3. 毫无依据，加拿大禁止在政府设备上使用微信和卡巴斯基产品

加拿大政府宣布禁止在政府雇员使用的移动设备上安装卡巴斯基安全产品和微信应用程序。对此，给出的理由是担心这两家公司向俄罗斯和中国情报部门秘密输送敏感信息。但目前没有证据表明政府信息已遭到泄露。

4. 美国等40国联盟将签署承诺，拒绝向黑客支付赎金

由40个国家组成的联盟组织在华盛顿举行的第三届国际反勒索软件倡议年度峰会上签署了一份承诺书，表示将停止向网络犯罪集团支付赎金。

5. Pwn2Own 大会落幕，三星多次被攻破，苹果和谷歌躲过一劫

Pwn2Own 多伦多 2023 黑客大赛落下帷幕，参赛团队在为期 3 天的比赛时间里，针对消费类产品进行了 58 次零日漏洞利用（以及多次漏洞碰撞），共获得了 103.85 万美元的奖金。

安全事件

1. 波音公司承认遭受攻击，影响全球服务业务及零部件部门

波音公司表示，此次网络攻击事件并未影响飞行安全，他们将与执法和监管机构合作完成调查。波音服务网站目前仍处于瘫痪状态，但据网站上的消息称，造成网站持续中断的原因是技术问题 。

2. 刚披露就被利用，攻击者盯上了Apache ActiveMQ 漏洞

Apache 软件基金会 (ASF)于 10 月 27 日披露了一个被追踪为CVE-2023-46604的漏洞，允许有权访问 ActiveMQ 消息代理的远程攻击者在受影响的系统上执行任意命令。Rapid7 的研究人员报告称，在ASF 披露漏洞的同一天，就观察到了两个针对该漏洞的利用活动。

3. 黑客正在利用 Citrix Bleed 漏洞攻击全球政府网络

黑客正在利用 "Citrix Bleed "漏洞（被追踪为 CVE-2023-4966）攻击美洲、欧洲、非洲和亚太地区的政府机构、技术和法律组织。

4. 因存在色情内容，夸克被罚50万元

10 月 30 日，国家网信办指导广东省网信办依法约谈“夸克”平台和“网易CC”直播平台相关负责人，针对其破坏网络生态问题做出指示，最终依照法规对“夸克”平台实施 50 万元罚款处罚，责令“网易CC”暂停“舞蹈”版块信息更新 7 日，同时责令 2 家平台立即全面深入整改，严肃处理相关责任人。

5. 恶意 NuGet 软件包被发现传播 SeroXen RAT 恶意软件

网络安全研究人员发现了一组新的恶意软件包，这些软件包使用一种鲜为人知的恶意软件部署方法发布到 NuGet 软件包管理器。

一周好文共读

1. 一个人的信息安全部（1）——灾难恢复体系建设

第一次作为CISO，发表一些个人对于不同信息安全体系角度的拙见--灾难恢复体系建设。【阅读原文】

2. 深入分析 CVE-2023-44487 HTTP2 快速重置攻击对 Nginx 的影响

最近安全圈公布了一个利用 HTTP/2 快速重置机制进行 DDoS 攻击的 0day 漏洞，CVE-2023-44487，鉴于 HTTP/2 协议已经在 Internet 上广泛使用，所以该漏洞一经发布，在业界引起广泛关注。本文会深入 Nginx 的源码，分析为什么 Nginx 的这两个配置能够缓解该漏洞对 Nginx 的攻击。【阅读原文】

3. 超详细分享 | 你真的懂零信任么？

本文将对零信任技术做一个详细的讲解，通过此文，你可以深刻理解零信任的本质以及规避掉自己过去的一些认知误区。【阅读原文】

省心工具

1. PurpleOps：一款自托管的开源紫队管理Web应用程序

PurpleOps是一款功能强大的自托管平台，该工具完全开源，是一个基于Web的应用程序，可以帮助广大紫队安全研究人员实现团队管理并完成一些常规任务。【阅读原文】

2. 如何使用leakScraper从大量文本数据中提取出凭证

leakScraper是一款功能强大的凭证提取工具，该工具由三个子工具组件组成，可以帮助广大研究人员以可视化的形式处理大量文本文件中包含的凭证信息。【阅读原文】

3. ProbeQuest：一款功能强大的Wi-Fi探测请求捕捉和嗅探工具

ProbeQuest是一款功能强大的Wi-Fi探测请求捕捉和嗅探工具，该工具可以帮助广大研究人员嗅探、捕捉和查看无线网卡附近的Wi-Fi探测请求。【阅读原文】