安全简讯（2024.01.26）

每日头条

1. BuyGoods配置错误泄露198GB内部数据和用户信息

1月24日，网络安全研究员 Jeremiah Fowler 最近发现了一个配置错误的云数据库，导致大量敏感数据暴露。受影响的数据库包含归属于BuyGoods.com。暴露的数据库大小总计 198.3 GB，缺乏任何形式的安全认证，可供公众公开访问。这个未受保护的数据库中有超过 260,000 条记录，包含全面的信息。这包括有关联营公司付款、退款交易、发票、会计记录和各种其他形式的数据的详细信息。更糟糕的是，暴露的服务器还暴露了客户和附属公司的个人记录，其中包含高度敏感的个人身份信息（PII）和了解你的客户（KYC）数据。这些暴露的信息包括客户的自拍照以及他们的个人身份证、执照、护照，甚至未经编辑的信用卡详细信息。此次隐私泄露事件的全球影响可能是巨大的，因为这些记录涉及来自世界各地的个人。

2. 惠普向美国监管机构披露其遭到Cozy Bear的入侵

1月25日，技术制造商惠普企业公司 (HPE) 周三表示，疑似与俄罗斯政府有联系的黑客进入了该公司基于云的电子邮件环境。与Cozy Bear（也称为 Midnight Blizzard）有关的黑客已经侵入其网络，并花费数月时间窃取数据。该公司没有回应有关谁通知他们这一事件的置评请求。攻击活动从 2023 年 5 月开始，该组织主要被称为 APT29，据信是俄罗斯对外情报局 (SVR) 的一部分，负责外国间谍活动和电子监视。这些黑客是俄罗斯对美国一些最具破坏性的攻击的幕后黑手，包括 2020 年 SolarWinds 黑客攻击和 2016 年对民主党全国委员会的攻击。

3. Arctic Wolf Labs曝光用Go开发的CherryLoader

1月24日，CherryLoader 披着无辜的外衣进行欺骗，伪装成合法的 CherryTree 笔记应用程序。然而，在这个外表之下隐藏着一个狡猾而危险的工具，旨在以惊人的效率渗透系统。通过利用 Go 的强大功能，CherryLoader 引入了恶意软件下载器中以前未曾见过的模块化程度和灵活性，使攻击者能够交换漏洞而无需重新编译。CherryLoader 的攻击链既复杂又有效。最初，受害者从特定的 IP 地址接收恶意软件，导致下载两个文件：一个受密码保护的 RAR 文件和一个负责解压 RAR 内容的可执行文件。解压后的内容显示了一个 Golang 二进制文件以及其他文件，这些都是加载程序工具包的一部分，旨在通过剥离二进制文件和破坏导入地址表等技术来阻碍分析工作。CherryLoader 的执行涉及一个多步骤过程，从密码检查开始，然后使用简单的 XOR 算法解密嵌入文件。值得注意的是，该解密过程不依赖于输入的密码，这暗示其主要作用是阻止分析而不是安全。

4. GKE集群严重漏洞Sys:All可导致25万个集群被控制

1月24日，网络安全研究人员发现了一个影响 Google Kubernetes Engine (GKE) 的漏洞，拥有 Google 帐户的威胁参与者可能会利用该漏洞来控制 Kubernetes 集群。云安全公司 Orca将这一严重缺陷代号为Sys:All 。据估计，多达 250,000 个活跃的 GKE 集群容易受到攻击。system:authentiated group 是一个特殊的组，包括所有经过身份验证的实体，包括人类用户和服务帐户。因此，当管理员无意中授予它过于宽松的角色时，可能会产生严重后果。Sys:All 已被发现影响众多组织，导致各种敏感数据暴露，例如 JWT 令牌、GCP API 密钥、AWS 密钥、Google OAuth 凭证、私钥和容器注册表凭证，其中最后一个可能然后用于对容器镜像进行木马化。在向 Google 负责任地披露后，该公司已采取措施阻止将 system:authentiated 组绑定到 GKE 1.28 及更高版本中的 cluster-admin 角色。

5. 思科修复涉及多个产品的RCE漏洞CVE-2024-20253

1月24日，思科已经修复了统一通信和联络中心解决方案的一个关键安全漏洞，该漏洞可能让未经身份验证的远程攻击者在受影响的设备上执行任意代码。该安全漏洞官方编号为 CVE-2024-20253，在 CVSS 上的严重等级高达 9.9。CVE-2024-20253 的核心在于一个危险的安全漏洞：在将用户提供的数据摄入内存时对其进行不当处理。此缺陷为未经身份验证的远程攻击者打开了大门，可以制作恶意消息并将其发送到易受攻击的设备上的侦听端口。该漏洞影响以下默认配置的思科产品PCCE、Unified CM、UCCE和UCCX等。

6. 研究团队发布APT10的恶意工具LODEINFO的分析报告

1月24日，在数字世界的阴暗角落，网络安全防御者和攻击者之间的战斗不断激烈地展开，一个新的对手已经出现，他们使用复杂的欺骗和逃避工具：LODEINFO恶意软件。这种无文件威胁自 2019 年 12 月以来一直困扰着网络空间，代表着网络犯罪分子策略的重大转变，特别是针对日本部门，包括媒体、外交、公共机构、国防工业和智库的网络犯罪分子策略的重大转变。最近， ITOCHU Cyber & Intelligence Inc.的安全研究人员。分析了 LODEINFO 恶意软件的每个版本并发现了变化。

LODEINFO 是臭名昭著的 APT 组织 APT10 的先锋，展示了网络威胁的惊人演变。它通过看似无害的鱼叉式网络钓鱼电子邮件渗透系统，利用恶意 Word 文档来执行其险恶的议程。最初也使用 Excel 文件，但攻击者改进了方法以提高成功率。

安全动态

2023 年，45% 的关键 CVE 未修补

https://www.helpnetsecurity.com/2024/01/25/cybersecurity-attack-attempts-increase/

CVE-2023-49657：Apache Superset 遭受高风险存储 XSS 漏洞

https://securityonline.info/cve-2023-49657-apache-superset-hit-by-high-risk-stored-xss-vulnerability/

数千台 GitLab 服务器容易受到利用漏洞 CVE-2023-7028 的零点击帐户接管攻击

https://securityaffairs.com/158075/hacking/gitlab-servers-vulnerable-cve-2023-7028.html

谷歌软件容器系统发现“重大安全漏洞”

https://therecord.media/google-kubernetes-engine-security-loophole-access-permissions

BloodHound 中的 ADCS 攻击路径

https://posts.specterops.io/adcs-attack-paths-in-bloodhound-part-1-799f3d3b03cf