SonicWall缝隙忠告：仅更新固件不及以防绕过MFA
颁布功夫 2026-05-211、SonicWall缝隙忠告：仅更新固件不及以防绕过MFA
5月20日 ，近期 ，黑客成功暴力破解SonicWall第六代（Gen6）SSL-VPN设备上的VPN痛处 ，并绕过多成分身份验证（MFA） ，进而部署勒索软件攻击工具。网络安全公司ReliaQuest的钻研人员回应了2月至3月间多起入侵事务 ，并以“中等相信度”判断 ，这是针对编号CVE-2024-12802缝隙的初次现实利用案例。该缝隙的产生原因是UPN登录体式短缺MFA强造执行 ，使占有有效痛处的攻击者可能直接认证并绕过MFA�；�。SonicWall在安全布告中明确指出 ，Gen6设备仅装置固件更新并不能彻底解除缝隙 ，治理员还必须手动沉新配置LDAP服务器；不然即便设备运行着更新后的固件 ，依然存在被入侵的风险。相比之下 ，第七代和第八代设备只需更新到新版固件即可齐全解除风险。在现实入侵过程中 ，黑客通常只需30到60分钟就能实现登录、网络窥伺、测试内部系统痛处沉用 ，而后有意识地注销。鉴于第六代SSL-VPN设备已于今年4月16日终场支持且不再接管安全更新 ，官方建议用户尽快升级至仍在积极支持的较新版本。
https://www.bleepingcomputer.com/news/security/hackers-bypass-sonicwall-vpn-mfa-due-to-incomplete-patching/
2. Grafana因漏轮换GitHub令牌致数据泄露
5月20日 ，近期 ，Grafana遭逢数据泄露事务 ，本原在于一个GitHub工作流令牌在轮换过程中被遗漏。该令牌的露出源于上周产生的TanStack npm供给链攻击：在这次归罪于TeamPCP黑客组织的Shai-Hulud恶意软件攻击活动中 ，数十个习染了凭证窃取代码的TanStack软件包被颁布到npm索引上 ，导致蕴含Grafana在内的开发者环境受到威胁。倒剽些恶意npm包被颁布时 ，Grafana的CI/CD工作流刚好使用了它们 ，其中的信息窃取� ？樵谄銰itHub环境中执行 ，从而将GitHub工作流令牌泄露给了攻击者。Grafana公司诠释称 ，5月1日他们检测到由TanStack软件包被入侵引发的恶意活动后 ，当即启动了事务响应打算并轮换了大量GitHub工作流令牌。然而 ，由于忽略漏掉了一个令牌 ，攻击者利用该令牌成功接见了Grafana的私有存储库。公司后续审查证实 ，最初被以为未受影响的特定GitHub工作流程现实上已被粉碎。公司发现入侵者还下载了Grafana用于其业务运营的具体内部信息 ，其中蕴含在专业关系中会互换的业务联系人姓名和电子邮件地址。Grafana明确指出 ，这些信息并非客户出产数据 ，也不是从出产系统或Grafana云平台提取或处置的信息。
https://www.bleepingcomputer.com/news/security/grafana-breach-caused-by-missed-token-rotation-after-tanstack-attack/
3. 盗刷论坛B1ack’s Stash免费颁布460万条信誉卡数据
5月20日 ，暗网上最活跃的被盗信誉卡买卖平台之一B1ack’s Stash ，近日免费颁布了460万条信誉卡纪录 ，原因并非法律进攻或系统被入侵 ，而是为了惩治违规卖家。部门通过该平台采办被盗信誉卡数据的卖家被发现将数据转售到其他平台 ，违反了服务条款。作为回应 ，平台运营商暂停了与这些卖家有关的800万条被盗CVV2纪录 ，并决定免费开释其中一部门库存 ，而非直接删除。这种公开泄露相当于暗网版的“在广场上点火赃物” ，成为一种怪异的惩戒伎俩。据SOCRadar分析 ，这次泄露的每笔纪录都异常齐全 ，蕴含卡号、有效期、CVV2安全码、持卡人姓名、账单地址、电子邮件地址、电话号码和IP地址 ，诓骗者只需一次操作即可获取所有必要信息。SOCRadar验证后发现 ，部门纪录已过期或沉复 ，筛选后约有430万笔纪录看起来最新且可能可用。地域散布上 ，约70%来自美国 ，加拿大、英国、法国和马来西亚位列前五 ，香港、新加坡和泰国等亚洲金融中心也呈此刻前15名 ，注明数据源自针对全球英语国度和高采办力市场的屡次盗刷或垂钓活动。
https://securityaffairs.com/192415/cyber-crime/carding-site-b1acks-stash-dumps-4-6-million-stolen-cards-for-free.html
4. GitHub员工装置恶意扩大 ，致3800个内部代码库泄露
5月20日 ，GitHub已证实 ，因其一名员工装置了恶意的VS Code扩大法式 ，导致约3800个内部存储库遭到入侵。该公司已从VS Code利用商店中移除了这款未定名的木马扩大 ，并对受习染设备进行了隔离�；�。GitHub暗示 ，在检测到员工设备遭入侵事务后 ，当即移除了恶意扩大版本、隔离终端并启动事务响应。目前的评估以为 ，这次活动仅涉及GitHub内部代码库的数据泄露 ，攻击者宣称泄露了约3800个代码库 ，这与调查了局大体吻合。GitHub同时强调 ，没有证据批注存储在受影响存储库之表的客户数据受到了影响。固然GitHub尚未将这次泄露事务归罪于具体组织 ，但TeamPCP黑客组织此前在Breached网络犯罪论逃鸹称获得了GitHub源代码和“约4000个私有代码库”的接见权限 ，并要求至少5万美元赔偿被盗数据。该组织暗示并不在乎诓骗GitHub ，只但愿找到买家 ，不然将免费泄露数据。
https://www.bleepingcomputer.com/news/security/github-confirms-breach-of-3-800-repos-via-malicious-vscode-extension/
5. Dify AI平台曝严沉缝隙：点击链接即可盗取账户
5月20日 ，Dify是一个广受迎接的低代码AI利用开发平台 ，在GitHub上占有超过14.2万颗星 ，其Docker容器已被拉取超过1000万次。然而 ，Imperva钻研人员发现该平台存在严沉安全缝隙 ，攻击者只需诱使受害者点击一个链接即可齐全收受账户。Imperva忠告称 ，AI工具竞相增长新职能却忽视了安全性。钻研人员发现了两个严沉缝隙并掌管任地予以披露 ，但Dify始终没有回应 ，几个月后缝隙被偷偷建复。第一个缝隙极易利用但风险极大 ，影响Dify的文件上传处置。Dify公开存储所有文件 ，无需身份验证 ，URL模式可预测且没有接见节造。攻击者可创建临使厮号上传恶意文件 ，更改链接后发送给受害者。当浏览器渲染来自受信赖起源的SVG文件时 ，嵌入的剧本可齐全接见该起源的会话高低文 ，蕴含cookie、本地存储和API挪用 ，只需一次点击即可导致账户被盗。第二个缝隙是共享环境中租户隔离不及 ，Dify将用户的利用法式私有源代码露出给统一平台的其他用户。只管Dify的沙箱旨在隔离代码 ，但Python执行共享文件系统地位并在一样硬编码系统身份下运行 ，攻击者可从共享/tmp文件夹获取其他用户的剧本。
https://cybernews.com/security/dify-critical-vulnerabilities-disclosed/
6. Linux现“PinTheft”提权缝隙 ，Arch Linux风险最高
5月20日 ，近日 ，一个已建复的Linux权限提升缝隙被披露了公开可用的概想验证（PoC）缝隙利用法式 ，允许本地攻击者在特定Linux系统上获得root权限。该缝隙被V12安全团队定名为PinTheft ，目前仍在期待分配CVE编号 ，它存在于Linux内核的RDS（靠得住数据报套接字）中 ，已于本月初得到建复。V12团队诠释称 ，PinTheft是一个利用RDS零拷贝双沉开释缝隙的本地提权缝隙 ，通过io_uring固定缓冲区将其转化为页面缓存覆盖。V12还颁布了一个PoC缝隙利用法式 ，该法式会窃取FOLL_PIN引用 ，直到io_uring持有被窃取的页面指针 ，从而获得root shell。然而 ，PinTheft的成功利用必要特定前提：在指标系统上加载RDS� ？椤⑵粲胕o_uring Linux I/O API、存在可读的SUID-root二进造文件以及对x86_64架构的支持。这些前提大大缩幼了攻击面。V12指出 ，在最常见的Linux刊行版中 ，RDS� ？槟辖鲈贏rch Linux上启用 ，这意味着Arch Linux用户面对的风险最大。
https://www.bleepingcomputer.com/news/linux/exploit-released-for-new-pintheft-arch-linux-root-escalation-flaw/
京公网安备11010802024551号