安全简讯（2024.01.12）

每日头条

1. 巴西某公开的Elasticsearch实例包含2.23亿条公民信息

据媒体1月11日报道，这次数据泄露暴露了超过 2.23 亿条信息，表明巴西全体人口可能都受到了影响。数据包含全名、出生日期、性别和公积金号码（Cadastro de Pessoas Físicas）（巴西的 11 位纳税人识别号码）等信息。尽管这些数据不再公开，但它可能已落入恶意行为者手中，他们可能会利用这些信息进行身份盗窃、欺诈和有针对性的网络犯罪。此类行为可能会给受害者带来经济损失、账户泄露和其他严重后果。泄露的规模放大了其利用的潜在损害。

2. Ivanti VPN中的两个0day漏洞可绕过验证创建后门账号

媒体1月11日，研究人员表示，未知威胁行为者正在积极瞄准Ivanti VPN中的两个关键的零日漏洞，这些漏洞使他们能够绕过双因素身份验证，并在使用 Ivanti 的虚拟专用网络设备的网络内执行恶意代码。Ivanti 在周三发布的帖子中报告了有关零日漏洞的基本细节，敦促客户立即遵循缓解指南。它们的编号为 CVE-2023-846805 和 CVE-2024-21887，驻留在 Ivanti Connect Secure（一种 VPN 设备，通常缩写为 ICS）中。这种广泛使用的 VPN 以前称为 Pulse Secure，近年来曾包含过零日漏洞，这些漏洞受到广泛利用，在某些情况下造成了破坏性影响。

3. 思科修复UNITY CONNECTION中的漏洞CVE-2024-20272

1月11日，思科解决了其 Unity Connection 中的一个严重缺陷（编号为 CVE-2024-20272），未经身份验证的远程攻击者可利用该缺陷获取易受攻击设备的 root 权限。Cisco Unity Connection 是一个消息传递平台和语音邮件系统，是思科统一通信产品套件的一部分。该漏洞存在于 Cisco Unity Connection 基于 Web 的管理界面中。未经身份验证的远程攻击者可以利用该问题将任意文件上传到受影响的系统并在底层操作系统上执行命令。

4. 超过30万个WordPress网站存在CVE-2023-6875漏洞

据1月10日报道，一个严重漏洞 CVE-2023-6875，该漏洞针对流行的 WordPress SMTP插件 Post SMTP，对超过 300,000 个网站构成严重威胁。它是攻击者的门户，可直接通往 WordPress 电子邮件安全的核心。CVE-2023-6875 的 CVSS 分数为 9.8，存在于 Post SMTP 环境中，利用了 connect-app REST 端点中的类型杂乱问题。该缺陷存在于 2.8.7 之前的所有版本中，就像为未经身份验证的攻击者打开的后门。他们不仅可以重置 API 密钥（对于邮件程序的身份验证至关重要），还可以查看敏感日志。

5. Ultra I&C遭到黑客团伙ALPHV的攻击超过30GB数据泄露

1月11日媒体报道， ALPHV 的黑客已经在他们的博客上泄露了 Ultra I&C 的数据。据他们声称，在 2023 年 12 月 27 日的攻击中，窃取了30GB数据。Ultra I&C 尚未对泄密消息发表评论。ALPHV 包含各种信息，包括审计、财务和员工的个人数据。犯罪分子声称，被盗数据包含有关联邦调查局、北约、瑞士、以色列和多家国防公司的信息。瑞士联邦国防部表示，此类性质的事件一向受到非常严肃对待，因此该部门目前正在进行彻底调查。不过，根据目前的数据，瑞士陆军的操作系统并未受到网络攻击的影响。到目前为止，黑客只公布了商业数据。

6. 博世力士乐螺母扳手被爆23个漏洞可远程执行任意代码

Nozomi Networks 的研究人员发现广泛使用的博世力士乐螺母扳手NXA015S-36V-B中存在 23 个漏洞。这些高精度工具被全球各地的工厂和工厂采用，用于各种设备的制造和维护中的紧固。专家表示，这些漏洞允许远程访问设备并执行任意代码。研究人员展示的两种攻击场景清楚地表明后果可能相当严重。许多已发现的漏洞可在未经身份验证的情况下直接从企业网络进行攻击。其他人则允许已经获得对工具管理系统的有限访问权限的恶意行为者提升其特权，以从外部网络进行全面攻击。博世力士乐已确认收到研究人员提供的有关漏洞的信息，并承诺在 2024 年 1 月底之前发布补丁。

安全动态

瞻博网络发布 Junos OS 和 Junos OS Evolved 安全公告

https://www.cisa.gov/news-events/alerts/2024/01/11/juniper-networks-releases-security-bulletin-junos-os-and-junos-os-evolved

肯尼亚发布保护个人数据的新指南

https://www.darkreading.com/cyber-risk/kenyan-issues-new-guidance-for-protecting-personal-data

自动为 Lua 构建基线 JIT

https://sillycross.github.io/2023/05/12/2023-05-12/

liveSite 2019.1 远程代码执行

https://cxsecurity.com/issue/WLB-2024010042

SimpleWebServer 2.2-rc2 - 拒绝服务 (DoS)

https://cxsecurity.com/issue/WLB-2024010041

Bugsy - 为您的代码提供自动安全漏洞修复的命令行界面工具