Aggregator

This report covers the key trends and significant events in the crypto market for December 2024. By

error code: 521

HackerNews 编译，转载请注明出处： 工业网络与通信供应商Moxa警告称，其蜂窝路由器、安全路由器和网络安全设备的多种型号存在高危及严重漏洞。 这两个安全问题使得远程攻击者能够在易受攻击的设备上获得root权限并执行任意命令，进而可能导致任意代码执行。 Moxa路由器风险 Moxa设备被广泛应用于交通运输、公用事业、能源和电信等行业的工业自动化和控制系统环境中。周五，该供应商针对以下两个漏洞发布了紧急警告： CVE-2024-9138（严重程度8.6，高危）：硬编码凭据使认证用户能够提升权限至root CVE-2024-9140（严重程度9.3，严重）：由于不当输入限制被利用导致的操作系统命令注入漏洞，可导致任意代码执行 第二个漏洞尤为危险，因为它可被远程攻击者利用。 Moxa已发布固件更新以解决这些漏洞，并指出“强烈建议立即采取行动，以防止潜在利用并缓解这些风险。” 以下设备同时受到CVE-2024-9140和CVE-2024-9138的影响： EDR-8010系列（固件3.13.1及更早版本） EDR-G9004系列（固件3.13.1及更早版本） EDR-G9010系列（固件3.13.1及更早版本） EDF-G1002-BP系列（固件3.13.1及更早版本） NAT-102系列（固件1.0.5及更早版本） OnCell G4302-LTE4系列（固件3.13及更早版本） TN-4900系列（固件3.13及更早版本） 此外，EDR-810系列（固件5.12.37及更早版本）、EDR-G902系列（固件5.7.25及更早版本）以及TN-4900系列（固件3.13及更早版本）仅易受CVE-2024-9138的影响。 EDR-8010系列、EDR-G9004系列、EDR-G9010系列和EDF-G1002-BP系列的用户应升级至2024年12月31日发布的固件版本3.14以解决此问题。 建议通过Moxa公告中提供的每个设备型号的下载链接获取官方固件镜像。 建议OnCell G4302-LTE4系列和TN-4900系列的管理员联系Moxa支持以获取补丁指导。 对于NAT-102系列，目前尚无补丁可用，建议管理员采取缓解措施。 Moxa建议限制设备的网络暴露和SSH访问，并使用防火墙、入侵检测系统（IDS）或入侵防御系统（IPS）来监控和阻止利用尝试。 公告明确指出，MRC-1002系列、TN-5900系列和OnCell 3120-LTE-1系列设备不受这两个漏洞的影响。   消息来源：Bleeping Computer, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

Hello JavaScript Enthusiasts!Welcome to the newest edition of "This Week in JavaScript!"It’s 2025,

阅读： 13热点资讯新的“DoubleClickjacking”漏洞可绕过网站的劫持保护可以接入多个AI平台的开源项目One-API被植入挖矿软件，请用户及

OverviewRecently, NSFOCUS CERT detected that the details of Windows LDAP remote code execution

Overview Recently, NSFOCUS CERT detected that the details of Windows LDAP remote code execution vulnerability (CVE-2024-49113) were disclosed. Due to an out-of-bounds read vulnerability in wldap32.dll of Windows LDAP service, an unauthenticated attacker can induce a target server (as an LDAP client) to initiate a query request to a malicious LDAP server controlled by the […]

The post Windows LDAP Denial of Service Vulnerability (CVE-2024-49113) Alert appeared first on NSFOCUS, Inc., a global network and cyber security leader, protects enterprises and carriers from advanced cyber attacks..

The post Windows LDAP Denial of Service Vulnerability (CVE-2024-49113) Alert appeared first on Security Boulevard.

error code: 521

HackerNews 编译，转载请注明出处： 一款名为FireScam的安卓信息窃取恶意软件被发现伪装成Telegram消息应用的高级版，以窃取数据并对受感染的设备实施持续的远程控制。 “这款恶意软件伪装成假冒的‘Telegram高级版’应用，通过一个假冒俄罗斯联邦知名应用商店RuStore的GitHub.io托管钓鱼网站进行分发。”网络安全公司Cyfirma表示，这是一款“复杂且多面的威胁”。 “恶意软件采用多阶段感染过程，从投放器APK文件开始，一旦安装，便执行广泛的监控活动。” 该钓鱼网站（rustore-apk.github[.]io）模仿俄罗斯科技巨头VK在该国推出的应用商店RuStore，并设计用于交付投放器APK文件（“GetAppsRu.apk”）。一旦安装，投放器便成为主要有效载荷的传输工具，负责将包括通知、消息和其他应用数据在内的敏感数据外泄到Firebase实时数据库端点。 投放器应用请求多项权限，包括在Android 8及更高版本的受感染安卓设备上写入外部存储以及安装、更新或删除任意应用的能力。 “ENFORCE_UPDATE_OWNERSHIP权限将应用更新限制为应用的指定所有者。应用的初始安装程序可以声明自己是‘更新所有者’，从而控制应用的更新。”Cyfirma指出。 “此机制确保其他安装程序在尝试更新前需要用户批准。通过将自己指定为更新所有者，恶意应用可以防止来自其他来源的合法更新，从而在设备上保持其持久性。” FireScam采用多种混淆和防分析技术来逃避检测。它还监控传入的通知、屏幕状态变化、电子商务交易、剪贴板内容和用户活动，以收集感兴趣的信息。另一个值得注意的功能是其能够从指定URL下载和处理图像数据。 当这个假冒的Telegram高级版应用启动时，它会进一步请求用户访问联系人列表、通话记录和短信消息的权限，然后通过WebView显示Telegram官方网站的登录页面以窃取凭据。无论受害者是否登录，数据收集过程都会启动。 最后，它注册一个服务以接收Firebase云消息（FCM）通知，从而能够接收远程命令并保持隐蔽访问——这是恶意软件广泛监控能力的一个迹象。同时，恶意软件还与其命令和控制（C2）服务器建立WebSocket连接，用于数据外泄和后续活动。 Cyfirma表示，该钓鱼域名还托管了另一个名为CDEK的恶意程序，这可能是指一家俄罗斯包裹和递送跟踪服务。然而，网络安全公司表示，在分析时未能获得该程序。 目前尚不清楚操作者是谁，用户是如何被引导到这些链接的，以及是否涉及短信钓鱼或恶意广告技术。 “通过模仿合法平台（如RuStore应用商店），这些恶意网站利用用户信任欺骗个人下载并安装假冒应用。”Cyfirma表示。 “FireScam执行其恶意活动，包括数据外泄和监控，进一步证明了基于钓鱼的分发方法在感染设备和逃避检测方面的有效性。”   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

关键词实时资讯当地时间1月6日，美国国防部通过《联邦公报》发布最新版的“中国涉军企业”清单（Communist Chinese military company，“CMC”，根据美国法律正式规定为“第

error code: 521

HackerNews 编译，转载请注明出处： 印度政府已公布《数字个人数据保护（DPDP）规则》草案，供公众咨询。印度新闻信息局（PIB）周日发布的声明称：“数据受托方必须提供清晰易懂的个人信息处理说明，以便获取知情同意。” “公民有权要求删除数据、指定数字代理人，并使用用户友好的机制管理自己的数据。” 该规则旨在实施《2023年数字个人数据保护法》，同时赋予公民对其数据的更大控制权，让他们可以选择是否同意处理其信息，并有权要求数字平台删除数据及解决投诉。 在印度运营的公司还需实施加密、访问控制和数据备份等安全措施，以保护个人数据，并确保其保密性、完整性和可用性。DPDP法案中数据受托方需遵守的其他重要规定如下： 实施检测和应对违规行为及日志维护的机制 在数据泄露事件发生后72小时（如获允许可延长）内向数据保护委员会（DPB）提供导致事件的详细事件顺序、为减轻威胁所采取的行动以及已知涉事人员身份 在三年期限后删除不再需要的个人数据，并在删除此类信息前48小时通知个人 在其网站/应用程序上清晰显示负责处理用户个人数据相关问题的指定数据保护官（DPO）的联系方式 在处理18岁以下儿童或残疾人的个人数据前，需获得其父母或法定监护人的可验证同意（豁免情况包括医疗专业人员、教育机构及儿童保育提供者，但仅限于健康服务、教育活动、安全监测和交通追踪等特定活动） 每年进行一次数据保护影响评估（DPIA）和全面审计，并将结果报告给DPB（仅限于被视为“重要”的数据受托方） 在跨境数据传输方面遵守联邦政府的要求（必须留在印度境内的个人数据具体类别将由专门委员会确定） 草案还提出，当联邦和州政府机构处理公民数据时，需为公民提供一定保障，要求此类处理合法、透明且“符合法律和政策标准”。 滥用或未能保护个人数字数据或未向DPB报告安全漏洞的组织将面临最高2.5亿卢比（近3000万美元）的罚款。 电子和信息技术部（MeitY）正就草案规定征求公众意见，截止日期为2025年2月18日，并表示提交的意见不会向任何第三方披露。 《2023年数字个人数据保护法》于2023年8月正式通过，自2018年以来已多次修订。该数据保护法规是在印度最高法院2017年裁定重申隐私权为印度宪法基本权利后出台的。 此前一个多月，电信部根据《2023年电信法》发布了《2024年电信（电信网络安全）规则》，以保障通信网络的安全，并实施严格的数据泄露披露准则。 根据新规则，电信实体必须在发现影响其网络或服务的安全事件后六小时内向联邦政府报告，受影响公司还须在24小时内提供其他相关信息。 此外，电信公司还需任命一名首席电信安全官（CTSO），该官员必须是印度公民及印度居民，并以指定格式与联邦政府共享流量数据（不包括消息内容），以“保护和确保电信网络安全”。 然而，互联网自由基金会（IFF）表示，“措辞过于宽泛”且从草案中删除了“流量数据”的定义，可能会为滥用行为大开方便之门。   消息来源：The Hacker News, 编译：zhongx；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

#科技资讯 高通推出中低端定位的骁龙 X 芯片，型号为 X1-26-100，设备总价预计在 600 美元左右以吸引更多用户购买。性能方面该芯片最高 3.0GHz、NPU 提供 45 T

腾讯啄木鸟代码安全团队，依托混元大模型的超强代码理解和安全分析能力，在SQL注入威胁检测场景验证中，新增识别上百个漏洞检测策略，相比传统方法人效比提升3.8倍，在Github高star项目上斩获10+0day漏洞。

腾讯啄木鸟代码安全团队，依托混元大模型的超强代码理解和安全分析能力，在SQL注入威胁检测场景验证中，新增识别上百个漏洞检测策略，相比传统方法人效比提升3.8倍，在Github高star项目上斩获10+0day漏洞。

腾讯啄木鸟代码安全团队，依托混元大模型的超强代码理解和安全分析能力，在SQL注入威胁检测场景验证中，新增识别上百个漏洞检测策略，相比传统方法人效比提升3.8倍，在Github高star项目上斩获10+0day漏洞。

腾讯啄木鸟代码安全团队，依托混元大模型的超强代码理解和安全分析能力，在SQL注入威胁检测场景验证中，新增识别上百个漏洞检测策略，相比传统方法人效比提升3.8倍，在Github高star项目上斩获10+0day漏洞。

腾讯啄木鸟代码安全团队，依托混元大模型的超强代码理解和安全分析能力，在SQL注入威胁检测场景验证中，新增识别上百个漏洞检测策略，相比传统方法人效比提升3.8倍，在Github高star项目上斩获10+0day漏洞。

腾讯啄木鸟代码安全团队，依托混元大模型的超强代码理解和安全分析能力，在SQL注入威胁检测场景验证中，新增识别上百个漏洞检测策略，相比传统方法人效比提升3.8倍，在Github高star项目上斩获10+0day漏洞。