新闻速览

•美法院裁定间谍软件商NSO  Group违反隐私保护法，将面临巨额赔偿

•《战争雷霆》游戏玩家泄露“台风”战斗机秘密文件，惊动意大利国防部

•数据安全保护不力，浙江某软件科技公司被公安机关行政处罚

•违规抓取LinkedIn数据，Kaspr被罚

•美国联邦贸易委员会要求万豪和喜来登强化数据安全措施

•IBM发布安全更新，修复Cognos Analytics两个关键漏洞

•PoC代码已流出，Adobe紧急修复ColdFusion关键漏洞

•Apache发布安全更新，修复Tomcat远程代码执行漏洞

•WordPress热门插件中发现安全缺陷，可能导致远程代码执行

•微软修复Office  365随机停用错误，用户可立即更新

热点观察

美法院裁定间谍软件商NSO Group违反隐私保护法，将面临巨额赔偿

美国联邦法官日前裁定，以色列间谍软件制造商NSO Group因利用WhatsApp的零日漏洞在至少1400台设备上部署Pegasus间谍软件而违反了美国黑客法律。NSO Group将Pegasus作为政府监控软件进行销售，允许客户监控受害者的活动并从被攻陷的设备中提取数据。

WhatsApp公司在五年前提起诉讼，指控NSO Group违反了《计算机欺诈和滥用法》（CFAA）以及加利福尼亚州的《计算机数据访问与欺诈法》（CDAFA）。法庭文件显示，NSO在提起诉讼后仍继续利用WhatsApp的漏洞，使用多种零日漏洞，包括一个名为“Erised”的未知漏洞，进行零点击攻击以部署Pegasus。文件还指出，NSO的开发人员逆向工程WhatsApp的代码，创建能够发送恶意消息的工具，从而安装间谍软件。

WhatsApp公司发言人强调了对间谍软件公司的问责重要性，称“监控公司应当意识到，非法监视将不被容忍。”Meta首席执行官马克·扎克伯格也表示：“我们为此感到自豪，WhatsApp在隐私和加密方面继续引领潮流。”

原文链接：

https://www.bleepingcomputer.com/news/security/us-court-finds-spyware-maker-nso-liable-for-whatsapp-hacks/

《战争雷霆》游戏玩家泄露“台风”战斗机秘密文件，惊动意大利国防部

据英国《泰晤士报》23日报道，近日，一名《战争雷霆》游戏玩家为了在与其他玩家关于游戏载具性能的争论中获胜，将现实中有关欧洲“台风”战斗机的秘密文件上传到了网上。《战争雷霆》是一款由Gaijin Entertainment游戏公司开发和发行的专业载具类战争网络游戏。

这次泄密事件的源头，是一些《战争雷霆》游戏玩家在论坛上围绕“台风”战斗机装备过的两款雷达的性能展开激烈讨论，其中一位玩家为证明自己的观点，一时冲动上传了关于“台风”战斗机的秘密文件。资料显示，“台风”战斗机由欧洲战斗机公司（英、德、意和西班牙4国合作）打造，采用双发动机、三角翼、鸭式布局等设计。

报道称，在分享文件之前，该用户已收到警告，但仍然选择继续上传，他上传的文件争论涉及“台风”战斗机使用过的Captor-M机械扫描雷达与Captor-E有源相控阵雷达之间性能的比较，以及后者在性能上的显著提升。

在与意大利国防部确认后，《战争雷霆》游戏论坛的管理人员发现这些文件属于秘密文件，因此迅速删除了这些材料，并封禁了上传秘密军事文件的用户账号。意大利国防部表示正在调查此事，并称将在适当的情况下展开调查。

原文链接：

https://m.gmw.cn/2024-12/24/content_1303930346.htm

数据安全保护不力，浙江某软件科技公司被公安机关行政处罚

近日，浙江台州公安机关工作中发现，浙江某软件科技公司受托搭建的数据库存在安全漏洞，数据库中承载的大量电子政务数据存在泄露风险。

经查，该公司主要为政府部门提供软件开发、信息系统建设和运维等服务。在与台州当地部分政府部门合作期间，该公司未对受托维护、处理的电子政务数据履行应尽的数据安全保护义务，未依法建立全流程数据安全管理制度，导致电子政务数据存在严重泄露风险，相关行为违反了《中华人民共和国数据安全法》。

台州公安机关依法对该公司和该公司负责人进行了行政罚款，并责令其依法依规履行数据安全保护义务。同时，依法约谈涉事政府部门相关负责人，通报委托处理电子政务数据活动中存在的安全问题，责令进一步加强数据安全管理和保护，严防数据泄露。

原文链接：

https://mp.weixin.qq.com/s/22z7W97zpu6tc73ZPAMLlw

违规抓取LinkedIn数据，Kaspr被罚

巴黎的软件公司Kaspr日前因违反数据抓取规定，被法国国家信息与自由委员会（CNIL）处以25万美元的罚款。Kaspr提供了一款付费的Chrome浏览器扩展，允许用户收集LinkedIn用户的职业联系信息。根据欧盟通用数据保护条例（GDPR），该公司因数据抓取行为受到处罚。

CNIL指出，Kaspr不仅从LinkedIn用户那里收集了与最多二级联系人共享的有限联系信息，还在过长的时间内保留了这些信息。此外，Kaspr在数据收集实践方面缺乏透明度，直到2018年推出扩展后四年，才模糊地通知了被收集信息的个人。监管机构表示，当被询问如何收集到他们的联系信息时，Kaspr仅表示这些信息来自公开可访问的来源。

原文链接：

https://www.scworld.com/brief/linkedin-data-scraping-nets-almost-250k-fine-for-kaspr

美国联邦贸易委员会要求万豪和喜来登强化数据安全措施

美国联邦贸易委员会（FTC）日前要求万豪国际（Marriott International）及其子公司喜来登酒店（Starwood Hotels）制定并实施严格的客户数据安全方案。此举是针对其在数据安全方面的失误，导致了大规模的数据泄露事件。

自2016年收购喜来登以来，万豪未能实施“合理的数据安全”措施，导致三起重大数据泄露事件，影响了全球3.44亿客户的敏感信息。FTC要求万豪及喜来登采取更强有力的安全措施，以保护客户的敏感数据免受黑客攻击，并增强客户对其数据的控制权，包括建立、实施并维护全面的信息安全程序，并实施IT资产的日志记录和监控等。

根据要求，万豪酒店需要在2024年12月20日命令生效后180天内实施所需的全面信息安全程序及相关措施，截止日期为2025年6月17日。该命令将持续20年，且可在特定条件下延长。

原文链接：

https://www.bleepingcomputer.com/news/security/ftc-orders-marriott-and-starwood-to-implement-strict-data-security/

安全漏洞

IBM发布安全更新，修复Cognos Analytics两个关键漏洞

IBM日前发布了针对其Cognos Analytics软件的关键安全更新，以修复两个严重漏洞：CVE-2023-42017和CVE-2024-51466。这些漏洞可能使攻击者能够上传恶意文件或执行表达式语言（EL）注入攻击，从而危及敏感数据和系统稳定性。

CVE-2023-42017是一个恶意文件上传漏洞，源于系统未能验证通过Web界面上传的文件。特权用户可以利用这一弱点上传有害的可执行文件，进而将其发送给受害者进行进一步利用。此漏洞的风险包括对机密性、完整性和可用性的重大损害。攻击可以远程进行，攻击者所需的努力较少，但可能造成严重后果。

CVE-2024-51466是一个表达式语言注入漏洞，允许远程攻击者将恶意EL语句嵌入系统中。利用这一缺陷可能导致敏感信息泄露、资源耗尽或服务器崩溃。该漏洞的攻击向量不依赖于攻击者直接与系统的交互，进一步增加了其在网络环境中的可利用性。

受影响的IBM Cognos Analytics版本包括12.0.0至12.0.4和11.2.0至11.2.4 FP4。这些版本均存在这两个漏洞，因此建议用户立即应用更新。

原文链接：

https://cybersecuritynews.com/ibm-cognos-analytics-vulnerability/#google_vignette

PoC代码已流出，Adobe紧急修复ColdFusion关键漏洞

Adobe近日发布了紧急安全更新，以修复一个关键的ColdFusion漏洞（CVE-2024-53961）。该漏洞伴随有概念验证（PoC）利用代码。

该漏洞源于路径遍历弱点，影响Adobe ColdFusion的2023和2021版本，攻击者可以利用该漏洞读取受影响服务器上的任意文件。虽然Adobe尚未披露该漏洞是否已在实际环境中被利用，但建议客户查看更新后的序列过滤器文档，以获取有关阻止不安全Wddx反序列化攻击的更多信息。

美国网络安全和基础设施安全局（CISA）在5月时曾警告软件公司在发布产品前清除路径遍历安全漏洞，攻击者可以利用此类漏洞访问敏感数据，包括可用于暴力破解现有账户的凭证，从而入侵目标系统。

原文链接：

https://www.bleepingcomputer.com/news/security/adobe-warns-of-critical-coldfusion-bug-with-poc-exploit-code/

Apache发布安全更新，修复Tomcat远程代码执行漏洞

Apache最近发布了一项安全更新，修复了Tomcat web服务器中的一个重要漏洞，该漏洞可能导致攻击者实现远程代码执行。

Apache Tomcat是一款开源的web服务器和servlet容器，广泛用于部署和运行基于Java的web应用程序，为Java Servlets、JavaServer Pages（JSP）和Java WebSocket技术提供运行环境。该产品在大型企业、依赖Java的SaaS提供商，以及云和托管服务中得到广泛应用，软件开发人员也利用它构建、测试和部署web应用。

此次更新修复的漏洞被追踪为CVE-2024-56337，解决了CVE-2024-50379的一个不完全缓解问题。后者是一个关键的远程代码执行（RCE）漏洞，Apache于12月17日发布了相关补丁。开发团队意识到仅仅应用CVE-2024-50379的更新不足以确保系统安全，因此决定发布CVE-2024-56337，并强调需要进行手动操作。两个漏洞本质上相同，但使用新的CVE ID旨在提高受影响系统管理员的警觉性。

原文链接：

https://www.bleepingcomputer.com/news/security/apache-fixes-remote-code-execution-bypass-in-tomcat-web-server/

WordPress热门插件中发现安全缺陷，可能导致远程代码执行

安全研究人员发现，广泛使用的WordPress插件WPLMS和VibeBP存在一系列关键安全缺陷。这些插件是WPLMS高级学习管理系统（LMS）主题的重要组成部分，该主题已售出超过2.8万份，主要用于创建在线课程、管理学生和销售教育内容。

目前这些缺陷已经修复，但在未修复时存在重大风险：最严重的安全缺陷允许攻击者上传恶意文件，可能导致远程代码执行（RCE）；权限提升缺陷使得未经身份验证的低权限用户能够提升为管理员，可能导致整个网站被接管；SQL注入缺陷使得攻击者可以通过恶意查询获取敏感数据库信息。

这些安全缺陷出现在多个功能模块中，包括注册表单和REST API端点。为了解决这些问题，开发者已发布WPLMS（版本1.9.9.5.3）和VibeBP（版本1.9.9.7.7）的更新。

原文链接：

https://www.infosecurity-magazine.com/news/flaws-wordpress-plugins-wplms/

产业动态

微软修复Office 365随机停用错误，用户可立即更新

微软近日发布了针对Microsoft 365 Office应用程序中随机出现的“产品已停用”错误的修复。用户在微软社区网站、Reddit及其他在线平台上报告称，受影响的用户在使用Office应用时会收到“产品已停用”的警告。微软表示，这些错误是由于管理员发起的许可变更引起的。

微软在周末表示，导致这些停用警告的错误已得到解决。公司在更新的支持文档中指出：“工程团队已在服务端部署了补丁，以解决意外的产品停用问题。”

对于尚未收到修复的受影响客户，微软还提供了一些临时解决方案，建议他们点击错误横幅上的“重新激活”按钮并在提示时登录。另一种方法是退出并关闭所有Microsoft 365应用，然后重启，再次登录以解决停用问题。如果错误仍然存在，用户被建议让管理员检查Microsoft 365订阅管理门户，确认其订阅是否已过期。

原文链接：

https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-bug-behind-random-office-365-deactivation-errors/