网络安全动态 - 2025.06.13

关键词：软银    数据泄露    第三方漏洞

2025年06月12日报道。软银公司披露一起影响137,156名用户的数据泄露事件，起因是第三方服务商UF Japan的安全控制失效。攻击发生于2024年12月，直至2025年3月才被外部研究员发现。泄露信息包括姓名、地址和手机号，源于物理访问控制薄弱及权限配置过宽。攻击者为一名供应链内前员工，属内部威胁。

Source:https://cybersecuritynews.com/softbank-databreach/

关键词：CloudStack    云基础设施安全

2025年06月11日报道。Apache CloudStack曝出五个漏洞，其中CVE-2025-26521等两个高危漏洞允许攻击者获取Kubernetes集群管理员密钥或提权为顶级管理员，危及资源的机密性、完整性和可用性。攻击者可利用这些漏洞在项目内窃取凭证、重置密码或访问敏感API。

Source:https://cybersecuritynews.com/apache-cloudstack-vulnerability-2/

关键词：Microsoft 365 Copilot    零点击漏洞

2025年06月12日报道。研究人员披露微软Microsoft 365 Copilot存在名为“EchoLeak”的零点击漏洞，攻击者可借此远程窃取组织内部邮件、OneDrive、Teams等敏感数据，且无需用户交互。该攻击利用生成式AI中的“LLM作用域越权”机制，绕过XPIA检测、链接清洗及内容安全策略，触发Copilot对微软Graph高权限数据的非法调用。

Source:https://cybersecuritynews.com/zero-click-microsoft-365-copilot-vulnerability/

关键词：Teams    密码喷洒攻击

2025年06月12日报道。2024年12月起，威胁组织“UNK_SneakyStrike”利用TeamFiltration框架，针对全球数百家组织的8万多个Microsoft Entra ID账户发动密码喷洒攻击。该工具具备账户枚举、数据导出及植入后门能力，曾在1月8日单日攻击1.65万个账户。

Source:https://www.bleepingcomputer.com/news/security/password-spraying-attacks-target-80-000-microsoft-entra-id-accounts/