阅读： 8
一、威胁通告
- Apache OFBiz任意文件读取与远程代码执行漏洞（CVE-2023-50968CVE-2023-51467）通告
【标签】CVE-2023-50968，CVE-2023-51467
【发布时间】2023-12-27 14:00:00 GMT
【概述】
近日，绿盟科技CERT监测到Apache官方发布安全公告，修复了Apache Ofbiz中的两个高危漏洞；CVE-2023-50968：由于Apache Software Foundation中存在问题，未经授权的攻击者操作 uri 调用时，可实现文件读取与SSRF攻击；CVE-2023-51467：该漏洞允许攻击者绕过身份验证实现简单的服务器端请求伪造（SSRF），某些情况下可导致远程代码执行。Apache Ofbiz 是一个开源的企业资源计划系统。Apache XML-RPC 是 XML-RPC 的 Java 实现，XML-RPC 是一种使用 XML over HTTP 来实现远程过程调用的协议。
【参考链接】
https://nti.nsfocus.com/threatNotice
2.OpenSSH命令注入漏洞（CVE-2023-51385）通告
【标签】CVE-2023-51385
【发布时间】2023-12-25 14:00:00 GMT
【概述】
近日，绿盟科技CERT监测到OpenSSH发布安全更新，修复了一个恶意Shell字符导致的命令注入漏洞（CVE-2023-51385），CVSS评分为9.8；由于在OpenSSH的ProxyCommand命令中未对%h，%u表示的用户名和主机名输入进行安全过滤，如果用户名或主机名中含有shell元字符（如 | \’ \”等），并且ssh_config中ProxyCommand、LocalCommand指令或\”match exec\”通过%h，%u等扩展标记引用了用户或主机名时，可能会发生命令注入。常见攻击场景：一个不受信任的Git仓库包含用户或主机名中的shell元字符，当用户递归更新该仓库时则会触发漏洞执行。目前PoC已公开，请受影响的用户尽快采取措施进行防护。
【参考链接】
https://nti.nsfocus.com/threatNotice
二、热点资讯
1.伊朗黑客利用FalseFont向全球国防工业基地发起攻击
【标签】APT33，FalseFont
【概述】
近日，微软称伊朗网络间谍组织APT33正在利用FalseFont后门恶意软件攻击全球国防工业基地。据观察，伊朗民族国家黑客Peach Sandstorm曾试图向国防工业基地（DIB）部门的组织员工发送名为FalseFont的开发后门。此类攻击针对的目标包括10万多家参与研究和开发军事武器系统、子系统和组件的国防公司和分包商。
【参考链接】
https://ti.nsfocus.com/security-news/IlNO8
2.Vulnhub靶机渗透总结之PinkysPalaceV2
【标签】Vuluhub，PinkysPalaceV2
【概述】
PinkysPalaceV2，Vuluhub困难难度靶机。提权阶段枚举和信息收集能力才是考验。涉及到缓冲区溢出漏洞的识别、重现，定位eip、寄存器扩容、坏字节识别、jmp esp定位，payload生成等细节技术，从零开始手工编写漏洞利用代码，最后成功利用缓冲区漏洞获得系统root权限。
【参考链接】
https://ti.nsfocus.com/security-news/IlNPE
3.新版Chrome浏览器将支持检测用户存储的密码是否存在泄露
【标签】Chrome
【概述】
近日，谷歌表示将在Chrome浏览器中引入新的安全功能，以实现在后台检测用户存储在Chrome中的账号密码是否发生了泄露。Chrome产品经理萨宾娜·博尔赛表示，桌面版Chrome的安全检查现在将在后台自动运行，告警信息将出现在Chrome的三点菜单中，以便用户采取行动。
【参考链接】
https://ti.nsfocus.com/security-news/IlNPi
4.National Amusements揭露数据泄露，影响超过82000人
【标签】数据泄露
【概述】
持有娱乐巨头派拉蒙、哥伦比亚广播公司和美国众多影院控股权的母公司国家娱乐公司 (National Amusements) 因迟迟披露去年底发生的重大数据泄露事件而受到密切关注。此次泄露影响了82128人，其中包括客户和潜在的National Amusements员工。这一违规行为几个月来一直未被注意到，最终被报告给缅因州总检察长。根据该公司的声明，一名 “未经授权的个人” 于2022年12月13日访问了公司网络。然而，National Amusements直到两天后才意识到此次入侵。
【参考链接】
https://ti.nsfocus.com/security-news/IlNPM
5.基于安全流模型的可逆人脸隐私保护
【标签】不区分行业
【概述】
人脸识别技术的进步为公众生活带来了诸多便利，但广泛的人脸数据采集行为也对人们的面部隐私构成了巨大的威胁。传统的基于图像混淆（如模糊、马赛克）的隐私保护方法简单有效，是目前最常见的方法之一，但该类方法会导致图像丧失视觉可用性，迷惑性较差，同时难以保证可复原性；近年来流行的生成式人脸匿名化方法，尽管在图像自然程度和可逆性方面有不错表现，但通常计算开销较高，且生成技术仍然有着诸多社会争议，限制了该类方法在现实生活中的应用。
【参考链接】
https://ti.nsfocus.com/security-news/IlNPo
6.Windows CLFS驱动的多个0day漏洞遭利用
【标签】CLFS
【概述】
上周，卡巴斯基旗下Secrelist发布一系列报告，不仅列出了几个bug，而且还列出了Windows Common Log File System (CLFS) 中更为系统的一个问题。CLFS是一款高性能的通用日志系统，用于用户模式或内核模式下的软件客户端。它的内核访问权限对于查找低级别系统权限的黑客而言非常有用，而其以性能为本的设计则在近年来留下一系列安全漏洞，让勒索团伙一拥而上。
【参考链接】
https://ti.nsfocus.com/security-news/IlNOk
7.安卓手机木马出现新变种，可禁用指纹、人脸识别以窃取密码
【标签】Chameleon
【概述】
安全公司Threat Fabric的研究人员在一篇博文中透露，他们发现了Android木马Chameleon（变色龙）的一个更新颖、更复杂的版本，这个新变种拥有新的设备接管能力，以及绕过生物识别认证的能力。ThreatFabric报告称，Chameleon木马通过暗网的一个Zombinder应用共享服务来伪装成谷歌Chrome应用程序传播。Zombinder会将恶意软件“粘合”到合法的安卓应用程序上，使得受害者能够正常使用他们打算安装的应用程序的全部功能，以避免受害者怀疑危险代码在后台运行。
【参考链接】
https://ti.nsfocus.com/security-news/IlNPc
8.ESET修复安全流量扫描功能中的高严重性漏洞
【标签】CVE-2023-5594
【概述】
ESET已修补CVE-2023-5594，这是一个高严重性漏洞，可能导致浏览器信任不应信任的网站。ESET已为其多个端点和服务器安全产品发布了补丁，以解决一个高严重性漏洞，该漏洞可能被利用导致Web浏览器信任不应信任的网站。该漏洞编号为CVE-2023-5594，影响了ESET产品中的SSL/TLS协议扫描功能。它可能导致浏览器信任使用过时且不安全的算法签名的证书的网站。
【参考链接】
https://ti.nsfocus.com/security-news/IlNO2
9.IcedID木马分析
【标签】IcedID
【概述】
IcedID，也被称为BokBot，在2017年被发现时最初为银行木马，后来演变为在受感染系统上分发和安装更多的恶意软件。
【参考链接】
https://ti.nsfocus.com/security-news/IlNPO
10.前端 JS 安全对抗原理与实践
【标签】JS
【概述】
前端代码都是公开的，为了提高代码的破解成本、保证JS代码里的一些重要逻辑不被居心叵测的人利用，需要使用一些加密和混淆的防护手段。如今这个时代，数据已经变得越来越重要，网页和APP是主流的数据载体，如果获取数据的接口没有设置任何的保护措施的话，数据就会被轻易地窃取或篡改。
【参考链接】
https://ti.nsfocus.com/security-news/IlNNW
版权声明
本站“技术博客”所有内容的版权持有者为绿盟科技集团股份有限公司（“绿盟科技”）。作为分享技术资讯的平台，绿盟科技期待与广大用户互动交流，并欢迎在标明出处（绿盟科技-技术博客）及网址的情形下，全文转发。
上述情形之外的任何使用形式，均需提前向绿盟科技（010-68438880-5462）申请版权授权。如擅自使用，绿盟科技保留追责权利。同时，如因擅自使用博客内容引发法律纠纷，由使用者自行承担全部法律责任，与绿盟科技无关。