Aggregator

本报告深入分析针对 Oracle E-Business Suite（EBS）的关键漏洞CVE-2025-61882，以及其在大规模勒索活动中的实际利用情况。该漏洞CVSS评分9.8，影响Oracle EBS 12.2.3至12.2.14版本

HackerNews 编译，转载请注明出处： GreyNoise 查明，三项分别针对思科与帕洛阿尔托网络防火墙、飞塔虚拟专用网络（VPN）的漏洞利用行动，其攻击 IP 均来自相同子网。 这家威胁情报公司最初于 9 月初发出警告，称监测到针对思科 ASA 设备（自适应安全设备，常用于防火墙与 VPN 功能）的扫描尝试 —— 而大约三周后，思科才披露了两个影响 “安全防火墙自适应安全设备（ASA）” 和 “安全防火墙威胁防御（FTD）” 软件的零日漏洞。 这两个漏洞的编号分别为CVE-2025-20333（CVSS 评分 9.9，属于极高风险）和CVE-2025-20362（CVSS 评分 6.5，属于中高风险），已被 “ArcaneDoor” 间谍行动利用。 上周，GreyNoise 又发布警告，指出针对帕洛阿尔托网络 “GlobalProtect”（全球保护，一款远程访问 VPN 解决方案）登录入口的扫描活动大幅增加，且参与该活动的 “唯一自治系统编号（ASN，用于标识互联网中的网络服务提供商或网络段）” 数量也显著上升。 该网络安全公司观察到，短短两天内，相关扫描活动激增 500%，攻击来源涉及约 1300 个独立 IP。随后几天，随着更多威胁者加入，参与攻击的独立 IP 数量迅速攀升至 2200 个。 在过去一周内，GreyNoise 监测到针对帕洛阿尔托网络防火墙的独立登录尝试超过 130 万次，并已公布该攻击行动中使用的凭证（用户名与密码组合）列表。 本周四，GreyNoise 进一步警告称：针对思科与帕洛阿尔托网络防火墙的扫描行动，其 IP 来源与针对飞塔 VPN 的暴力破解攻击 IP 同属相同子网 —— 这意味着三类攻击存在关联。 GreyNoise 表示：“飞塔 VPN 暴力破解尝试激增后，通常会在六周内出现飞塔 VPN 漏洞的披露。基于这些发现，建议阻断所有对飞塔 SSL VPN 发起暴力破解的 IP，并考虑加强防火墙与 VPN 设备的防御措施。” 事实上，GreyNoise 指出：针对知名厂商防火墙与 VPN 产品的攻击活动若出现激增，约 80% 的情况下，这都是一个早期预警信号 —— 意味着这些产品的新漏洞可能在未来六周内被披露。 此次针对思科、飞塔、帕洛阿尔托网络设备的三项攻击行动，存在三大关键关联特征：使用相同的 TCP 指纹（TCP 协议通信时的独特特征，可用于识别攻击工具或来源）、利用相同子网、在相似时间段内出现活动高峰。 GreyNoise 强调：“我们高度确信，这三项攻击行动至少在一定程度上由同一（或同一批）威胁者主导。” 目前，该公司已同步公布了飞塔 VPN 攻击行动中使用的凭证列表。   消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

这篇文章介绍了错误代码521的原因、影响及解决方法。

HackerNews 编译，转载请注明出处： 奥地利数据保护机构于周三作出裁定，认定微软通过其教育软件非法追踪学生 —— 具体违规行为包括未向学生提供数据访问权限，以及在未获得同意的情况下使用 Cookie（小型数据存储文件）。 奥地利数据保护局（Datenschutzbehörde，简称 DSB）的这一裁决，源于 2024 年奥地利隐私倡导组织 “noyb”（全称 “none of your business”，意为 “与你无关”，专注于数据隐私维权）提起的投诉。该组织指控这家科技巨头在处理儿童数据时，违反了欧盟《通用数据保护条例》（General Data Privacy Regulation，简称 GDPR）。 本案的投诉人是一名未成年人的父亲，其孩子所在的学校正使用微软教育软件。他表示，自己从未同意微软使用 Cookie，也无法获取关于孩子数据被如何使用的相关信息。 微软 365 教育版（Microsoft 365 Education）是学校区域（指学区）常用的工具，用于技术管理、支持协作及在云端存储数据。该套件包含 Word、Excel、Outlook、PowerPoint 等 Office 办公应用，同时涵盖安全工具与 Teams 等协作平台。 noyb 组织的数据保护律师菲利克斯・米科拉施（Felix Mikolasch）于周五（同注，未明确具体日期）在一份事先准备好的声明中表示：“该裁决凸显了微软 365 教育版在透明度上的缺失。学校几乎无法向学生、家长及教师说明他们的数据正被如何处理。” 微软发言人在一份事先准备好的声明中回应称，公司将对该裁决进行审查，并强调：“微软 365 教育版符合所有必需的数据保护标准，教育领域的机构可继续合规使用该产品，完全符合 GDPR 要求。” 目前，奥地利数据保护机构已责令微软采取两项整改措施：一是向本案投诉人提供其孩子的数据访问权限；二是开始更清晰地说明其收集的数据将被用于何种用途。   消息来源：therecord.media； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

文章介绍了如何解决Cloudflare错误代码521的问题,指出该错误通常由Web服务器无法连接引起,并提供了检查服务器状态、网络连接和配置设置等解决方法。

文章介绍了 Karakeep 的功能与部署方法，包括保存文字、图片、网页链接及自动打标签和生成总结的能力。作者通过 Docker Compose 在 NAS 上部署 Karakeep，并分享了配置细节及优化方法，如对接大模型 API 和使用浏览器扩展及手机 App 提升便利性。

A vulnerability classified as critical has been found in thorsten phpMyFAQ up to 4.0.12. This affects an unknown function of the component User Registration Handler. This manipulation causes incorrect user management. This vulnerability appears as CVE-2025-59943. The attack may be initiated remotely. There is no available exploit. It is recommended to upgrade the affected component.

A vulnerability, which was classified as critical, was found in SourceCodester Farm Management System 1.0. Affected by this vulnerability is an unknown functionality of the file /buyNow.php. Such manipulation of the argument Name leads to sql injection. This vulnerability is uniquely identified as CVE-2025-11486. The attack can be launched remotely. Moreover, an exploit is present.

A vulnerability classified as critical was found in PHPGurukul Beauty Parlour Management System 1.1. This issue affects some unknown processing of the file /admin/manage-services.php. Executing manipulation of the argument delid can lead to sql injection. This vulnerability appears as CVE-2025-11503. The attack may be performed from remote. In addition, an exploit is available.

A vulnerability, which was classified as critical, has been found in PHPGurukul Beauty Parlour Management System 1.1. Impacted is an unknown function of the file /admin/new-appointment.php. The manipulation of the argument delid leads to sql injection. This vulnerability is traded as CVE-2025-11505. It is possible to initiate the attack remotely. Furthermore, there is an exploit available.

A vulnerability was found in Ankitects Anki up to 25.02.5 on Windows. It has been classified as problematic. This affects an unknown part of the component Sound File Handler. Performing manipulation results in relative path traversal. This vulnerability is cataloged as CVE-2025-62187. It is possible to initiate the attack remotely. There is no exploit available. Upgrading the affected component is recommended.

A vulnerability, which was classified as problematic, has been found in Ankitects Anki up to 25.02.4 on Windows. This issue affects some unknown processing of the component Shared Deck Handler. Performing manipulation results in inclusion of functionality from untrusted control sphere. This vulnerability was named CVE-2025-62186. The attack needs to be approached locally. There is no available exploit. It is advisable to upgrade the affected component.

A vulnerability identified as problematic has been detected in Ankitects Anki up to 25.02.4. The affected element is an unknown function of the file youtube-dl.exe. This manipulation causes uncontrolled search path. This vulnerability appears as CVE-2025-62185. The attack requires local access. There is no available exploit. You should upgrade the affected component.

A vulnerability categorized as critical has been discovered in Redis up to 8.2.1. Affected by this vulnerability is an unknown functionality of the component Lua Handler. The manipulation results in code injection. This vulnerability is cataloged as CVE-2025-46818. The attack must be initiated from a local position. There is no exploit available. It is advisable to upgrade the affected component.

HackerNews 编译，转载请注明出处： Zimbra 零日漏洞详情 Zimbra 协作套件（Zimbra Collaboration）中一个现已修复的安全漏洞，于今年早些时候被作为零日漏洞（指未被厂商发现、未修复的漏洞）利用，攻击者借此针对巴西军方发起网络攻击。 该漏洞编号为CVE-2025-27915，CVSS 漏洞评分（衡量漏洞严重程度的标准）为 5.4，本质是 Zimbra 经典网页客户端（Classic Web Client）中的存储型跨站脚本漏洞（XSS） 。其成因是对 ICS 日历文件中的 HTML 内容过滤不充分，最终可导致攻击者执行任意代码。 美国国家标准与技术研究院（NIST）国家漏洞数据库（NVD）对该漏洞的描述指出：“当用户查看包含恶意 ICS 条目（指 ICS 文件中的特定内容块）的电子邮件时，嵌入在<details>标签内、通过ontoggle事件触发的 JavaScript 代码会被执行。” 这种漏洞利用方式使得攻击者能在受害者的会话（即用户当前登录状态）中运行任意 JavaScript 代码，进而可能实施未授权操作 —— 例如设置邮件过滤器，将受害者的邮件重定向至攻击者控制的邮箱地址。最终，攻击者可对受害者账号执行多种未授权操作，包括邮件劫持与数据窃取。 漏洞修复与真实攻击案例 Zimbra 已于 2025 年 1 月 27 日发布的版本（9.0.0 Patch 44、10.0.13、10.1.5）中修复了该漏洞。不过，当时 Zimbra 发布的安全公告中，并未提及该漏洞已被用于真实世界的攻击活动。 但据网络安全公司 StrikeReady Labs 于 2025 年 9 月 30 日发布的报告显示，已监测到的真实攻击活动中，身份不明的威胁 actor（指发起攻击的个人或组织）通过伪造利比亚海军礼宾办公室的身份，向巴西军方发送包含恶意 ICS 文件的邮件，利用上述漏洞发起攻击。 该恶意 ICS 文件中包含一段 JavaScript 代码，其功能相当于一个 “全能数据窃取器”：可将受害者的账号凭证（如用户名密码）、电子邮件、联系人信息及共享文件夹数据窃取至外部服务器（域名为 “ffrk [.] net”）；同时会搜索受害者邮箱中特定文件夹内的邮件，并添加名为 “Correo” 的恶意 Zimbra 邮件过滤规则，将这些邮件自动转发至邮箱 “[email protected]”。 为躲避检测，这段恶意脚本还被设计了两种反侦察机制：一是隐藏邮箱界面中的部分元素，避免被用户察觉；二是设置 “触发条件”—— 仅当距离上次执行已超过 3 天时才会启动（防止频繁运行导致暴露）。 相关攻击模式与 Zimbra 回应 目前尚不清楚此次针对巴西军方的攻击背后的具体组织，但今年早些时候，网络安全公司 ESET 曾披露，代号为APT28的俄罗斯高级持续性威胁组织（APT，指具备长期潜伏、精准攻击能力的黑客组织），曾利用包括 Roundcube、Horde、MDaemon 及 Zimbra 在内的多款网页邮件系统中的 XSS 漏洞，获取未授权访问权限。 此外，其他黑客组织（如Winter Vivern、UNC1151，后者又名 “Ghostwriter”）也采用过类似攻击手法（利用 XSS 漏洞）实施凭证窃取。 最新更新 在《黑客新闻》（The Hacker News）获取的一份声明中，Zimbra 表示其调查未发现该漏洞被用于针对巴西实体发起攻击的证据，并强调：“所有运行 2025 年 1 月及之后发布的版本（9.0.0 Patch 44、10.0.13、10.1.5）的 Zimbra 协作套件（ZCS）实例均不受该漏洞影响，不存在持续风险。” 目前《黑客新闻》已联系 StrikeReady Labs 寻求进一步置评，若收到回复将对报道进行补充更新。   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

文章描述了错误代码521的含义及其常见原因，指出该错误通常由服务器连接问题或配置错误引起，并建议检查服务器状态和网络设置以解决问题。

Overview Recently, NSFOCUS CERT detected that Oracle issued a security bulletin to fix the remote code execution vulnerability (CVE-2025-61882) in Oracle E-Business Suite; Because Oracle Concurrent Processing (BI Publisher Integration) of Oracle E-Business Suite does not strictly validate and filter user input, unauthenticated attackers can use SSRF, CRLF injection, Vulnerability chains such as path traversal […]

The post Oracle E-Business Suite Remote Code Execution Vulnerability (CVE-2025-61882) Notice appeared first on NSFOCUS, Inc., a global network and cyber security leader, protects enterprises and carriers from advanced cyber attacks..

The post Oracle E-Business Suite Remote Code Execution Vulnerability (CVE-2025-61882) Notice appeared first on Security Boulevard.

HackerNews 编译，转载请注明出处： 恶意 PyPI 包详情 网络安全研究人员已标记 Python 软件包索引（PyPI，Python Package Index）仓库中的一个恶意软件包。该包声称可提供创建 SOCKS5 代理服务的功能，同时暗藏类似后门的隐秘功能，能在 Windows 系统上投放额外有效负载（恶意代码）。 这个名为 “soopsocks” 的欺诈性软件包，在被下架前累计被下载 2653 次。它由一名名为 “soodalpie” 的用户于 2025 年 9 月 26 日首次上传，而该用户账号也正是在当天创建的。 JFrog（软件安全公司）在一份分析报告中表示：“该软件包在提供（代理）功能的同时，还表现出针对 Windows 平台的后门代理服务器行为，会通过 VBScript（Visual Basic 脚本）或可执行文件版本，以自动化方式完成安装流程。” 其中的可执行文件 “_AUTORUN.EXE” 是一个 Go 语言编译文件。除了包含宣传中提及的 SOCKS5 代理实现代码外，它还被设计用于运行 PowerShell 脚本、设置防火墙规则，并以提升后的权限重新启动自身。此外，该文件还会执行基础的系统与网络侦察操作，例如获取 Internet Explorer 浏览器的安全设置和 Windows 系统的安装日期，并将这些信息泄露至一个硬编码（固定写入代码中）的 Discord 网络钩子（webhook，用于接收外部数据的接口）。 进一步恶意行为分析 在 soopsocks 的 0.2.5 和 0.2.6 版本中，Python 包会启动一个名为 “_AUTORUN.VBS” 的 Visual Basic 脚本。该脚本同样能够运行 PowerShell 脚本，进而从外部域名 “install.soop [.] space:6969” 下载一个包含合法 Python 二进制文件的 ZIP 压缩包，并生成一个批处理脚本 —— 该批处理脚本被配置为通过 “pip install” 命令安装 soopsocks 包并运行它。 随后，PowerShell 脚本会调用这个批处理脚本，触发 Python 包的执行。接着，该 Python 包会（若尚未获取）提升自身权限至管理员级别，配置防火墙规则以允许通过 1080 端口进行 UDP 和 TCP 通信，将自身安装为系统服务，保持与 Discord 网络钩子的通信连接，并通过创建计划任务在主机上建立持久化机制，确保系统重启后能自动启动。 JFrog 指出：“从表面上看，soopsocks 是一个设计完善的 SOCKS5 代理，具备完整的 Windows 启动支持。但从其运行方式和执行的操作来看，存在明显的恶意行为特征 —— 例如修改防火墙规则、获取高权限、执行各类 PowerShell 命令，以及从简单的可配置 Python 脚本，逐步演变为包含硬编码参数的 Go 语言可执行文件，且该版本还具备向预设 Discord 网络钩子发送侦察数据的能力。” 相关行业安全动态 此次恶意包披露之际，据 Socket（软件供应链安全公司）消息，npm（JavaScript 包管理平台）的包维护者正就一系列问题表达担忧，包括：GitHub 为应对日益增多的软件供应链攻击而推出大规模变更后，npm 缺乏原生的 CI/CD（持续集成 / 持续部署）双因素认证（2FA）流程、受信任发布的自托管工作流支持不足，以及令牌管理机制不完善等。 本周早些时候，GitHub 宣布将很快吊销 npm 发布者的所有旧版令牌，并规定所有 npm 精细化访问令牌的默认有效期将从 30 天缩短至 7 天，最长有效期为 90 天 —— 而此前这类令牌的有效期是无限制的。 GitHub 表示：“长期有效的令牌是供应链攻击的主要攻击向量。当令牌被盗用时，较短的有效期能缩小暴露窗口，降低潜在危害。这一变更使 npm 与业内已普遍采用的安全最佳实践保持一致。” 与此同时，Socket 公司还发布了一款名为 “Socket Firewall” 的免费工具。该工具可在安装阶段拦截 npm、Python 和 Rust 生态系统中的恶意包，帮助开发者保护其开发环境免受潜在威胁。 该公司补充道：“Socket Firewall 不仅能保护用户免受有问题的顶级依赖包（直接引入的依赖）影响，还能阻止包管理器获取任何已知含恶意的传递依赖包（由顶级依赖包间接引入的依赖）。”   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

文章介绍了错误代码521的原因及其对网站的影响,指出该错误通常由服务器配置问题或连接超时导致,并建议检查服务器设置、联系主机提供商或调整Cloudflare缓存策略以解决问题。