FreeBuf周报 | 黑客囤积法国9500万条公民数据；乌克兰因安全风险禁用Telegram - 新鲜讯息

各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、安全事件、一周好文和省心工具，保证大家不错过本周的每一个重点！

热点资讯

1. 议院听证会上，CrowdStrike 将蓝屏事件归咎于“多种因素叠加”

当地时间9月24日下午，在美国网络安全和基础设施保护小组委员会听证会上，CrowdStrike 的一位高级管理人员将自家公司产品于今年7月引发的全球性Windows电脑“蓝屏”宕机事故归咎于“多种因素的叠加”。

2. 只需10分钟即可被绕过，Chrome浏览器最新cookie安全功能薄弱

Infostealer恶意软件开发者发布更新，声称可以绕过谷歌Chrome浏览器最近推出的保护cookie等敏感数据的App-Bound Encryption功能。

3. 谷歌称用 Rust编写代码，五年漏洞数下降了68%

根据谷歌发布的最新公告：在过去五年的Android 系统版本中，内存安全漏洞的数量大幅下降了68%。这远远低于之前在 Chromium 中发现的 70%，使安卓成为大型项目如何在不破坏向后兼容性的情况下逐步、有条不紊地转向安全领域的绝佳范例。

4. 美国100万卡巴斯基用户发现：电脑的安全软件已自动替换为UltraAV

9月19日，美国卡巴斯基用户的一次软件更新显示，这次更新自动将用户计算机上的卡巴斯基的防病毒软件替换为了UltraAV，这一变更被指此前美国商务部以涉嫌国家安全风险为由，禁止卡巴斯基在美国销售或更新某些防病毒产品。

5. 乌克兰因安全风险首次禁用Telegram

乌克兰国家网络安全协调中心（NCCC）以国家安全为由，已下令限制在政府机构、军事单位和关键基础设施内使用 Telegram 消息应用程序。

安全事件

1. 又一安卓恶意软件曝光，至少1100 万台设备已“中招”

近日，有研究人员发现在恶意 SDK 供应链攻击中，有黑客通过 Google Play 在 1100 万台设备上安装了新版本的 Necro 恶意安卓载入器。

2. 起亚经销商网站曝出严重漏洞，黑客可在30秒内远程操控数百万辆汽车

近日，有安全研究人员发现起亚汽车经销商门户网站存在一个关键漏洞，黑客只需使用目标车辆的车牌，就能定位并窃取数百万辆 2013 年后生产的起亚汽车。

3. 黑客囤积法国9500万条公民数据并直接免费公开

据Cybernews消息，法国公民经历了一次大规模数据暴露事件，超过9500万条公民数据记录被直接公开在互联网上，涉及数据类型包括姓名、电话号码、电子邮件地址和部分支付信息等，这可能导致他们更易遭受针对性的网络攻击。

4. 不要赎金只破坏基础设施，Twelve 黑客大肆攻击俄罗斯实体

据观察，一个名为 “Twelve ”的黑客组织使用大量公开工具对俄罗斯目标实施破坏性网络攻击。卡巴斯基在周五的分析中表示：与要求赎金解密数据不同，该组织更倾向于加密受害者的数据，然后使用擦除器破坏他们的基础设施，以防止恢复。

5. CUPS 漏洞能使攻击者对Linux电脑远程执行任意代码

Linux 系统中广泛使用的打印系统CUPS（Common UNIX Printing System）存在漏洞，能在受攻击的电脑上远程执行任意代码。目前该漏洞尚未有修复补丁。

一周好文共读

1. Java代码审计实战 | Github开源项目

初入代码审计的师傅，苦于寻找开源的项目练练手，本文结合Github上的开源项目进行简单审计，方便师傅们跟随步骤学习思路。

2. 全面解析CVE-2024-22263：任意文件写入漏洞及其影响

Spring Cloud Data Flow 是一个基于微服务的平台，用于在 Cloud Foundry 和 Kubernetes 上进行流数据和批处理数据的处理。该平台存在一个任意文件写入漏洞。该漏洞位于 Skipper 服务器组件，该组件处理包上传请求。由于对上传路径的清理不足，恶意用户通过访问 Skipper 服务器 API 可以利用此缺陷，构造一个特定设计的上传请求。这使得攻击者能够在服务器的文件系统上的任意位置写入任意文件，可能导致整个服务器被攻陷。