每周网安资讯 （2.11-2.17）|Jsish存在跨界内存写漏洞

网安资讯

1、市场监管总局公开征求《标准数字化标准体系建设指南（征求意见稿）》意见

为深入贯彻落实党中央、国务院关于推动标准化工作向数字化、网络化、智能化转型的决策部署，实施《国家标准化发展纲要》和《质量强国建设纲要》，充分发挥标准的基础性、引领性作用，加快构建结构合理、层次分明、适应经济社会高质量发展的标准数字化标准体系。市场监管总局起草了《标准数字化标准体系建设指南（征求意见稿）》，现向社会公开征求意见。

2、北京市政数局公开征集《关于加快北京市公共数据资源开发利用的实施意见（征求意见稿）》意见

为深入贯彻中共中央办公厅、国务院办公厅《关于加快公共数据资源开发利用的意见》，加快本市公共数据资源高效开发利用，充分释放公共数据要素潜能，培育数据要素市场，北京市政务服务和数据管理局制定了《关于加快北京市公共数据资源开发利用的实施意见（征求意见稿）》，现向社会公开征集意见，欢迎社会各界提出意见建议。

安全情报

1、Abyss Locker组织利用VPN设备漏洞部署勒索软件

2023年出现的相对较新的威胁组织Abyss Locker，在2024年活跃，2025年仍在进行攻击。该组织利用未修补的VPN设备漏洞进行初始访问，通过多种方式获取凭据，采用多种技术逃避检测和禁用安全控制，部署多种工具和恶意软件进行命令与控制（C2）通信，利用多种工具在网络内横向移动，使用Rclone工具将数据窃取到亚马逊网络服务（AWS）和BackBlaze，并对Windows系统和ESXi主机进行加密。

2、攻击者使用公开的静态ASP.NET机器密钥进行代码注入攻击

2024年底，微软观察到一个未归因的攻击者利用公开可用的静态ASP.NET机器密钥进行攻击活动，用于注入恶意代码并传递Godzilla后利用框架。攻击者利用开发者从公开可访问资源（如代码文档和存储库）中获取的各种公开披露的ASP.NET机器密钥，在目标服务器上执行恶意操作。微软已识别出超过3000个可用于此类攻击的公开披露密钥，这种攻击被称为ViewState代码注入攻击。

3、Kimsuky组织使用新的自定义RDP Wrapper进行远程访问

2025年，Kimsuky组织通过鱼叉式网络钓鱼攻击向韩国用户分发包含恶意命令的快捷方式文件（*.LNK），伪装成文档文件，执行后会运行PowerShell或Mshta下载并执行额外的恶意软件，如PebbleDash和RDP Wrapper，还利用Proxy、KeyLogger、信息窃取恶意软件等控制感染系统。

4、微软补丁日通告：2025年2月版

微软近期发布了2025年2月的安全更新。本次安全更新修复了总计55个安全漏洞，其中包括4个零日漏洞，有两个在攻击中被积极利用。在漏洞类型方面，主要包括19个特权提升漏洞、2个安全功能绕过漏洞、22个远程代码执行漏洞、1个信息泄露漏洞、9个拒绝服务漏洞、3个欺骗漏洞。本次发布的安全更新涉及Windows、Microsoft Edge、Microsoft Office、Azure、Apps、Microsoft Visual Studio等多个产品和组件。

5、Winnti Group针对日本展开新的攻击活动RevivalStone

2024年3月，攻击者团体Winnti Group发起了新的攻击活动RevivalStone，目标为日本制造、材料、能源领域的企业。攻击者利用目标组织Web服务器上运行的ERP系统中的SQL注入漏洞，并在Web服务器上放置WebShell。然后，Webshell 用于执行侦察和凭证收集，以便在组织网络内进行横向移动，并在服务器上部署 Winnti 恶意软件。Winnti恶意软件具有多种复杂的功能和特性，如代码难以阅读、检测回避、加密等。

漏洞预警

1、Jsish存在跨界内存写漏洞

Jsish是一款使用C语言编写的、内置数据库的小型JavaScript解析器。Jsish v.3.0.11及之前版本存在安全漏洞，该漏洞源于允许攻击者通过StringReplaceCmd函数导致拒绝服务。

2、Zblogcn Zblogphp存在跨站脚本漏洞

Z-BlogPHP是Z-blog社区的一套开源的基于PHP的博客系统。Z-BlogPHP v.1.0版本存在安全漏洞。本地攻击者利用该漏洞通过模块管理模型title参数中特制的有效载荷执行任意代码。

3、Etcd存在认证机制不恰当漏洞

etcd是一套使用Go语言编写的用于分布式系统的键值存储系统。Etcd-io v.3.4.10版本存在安全漏洞。远程攻击者利用该漏洞通过调试功能提升权限。

4、Kitesky Kitecms存在危险类型文件的不加限制上传漏洞

KiteCMS是一个网站CMS。KiteCMS存在安全漏洞。攻击者利用该漏洞通过上传文件类型执行任意代码。

5、Monospace Directus存在资源穷尽漏洞

Directus是一个实时 Api 和应用程序仪表板。用于管理 Sql 数据库内容。Directus API v.2.2.0 版本存在安全漏洞。远程攻击者利用该漏洞通过大量HTTP请求导致系统拒绝服务。

关于捷普

捷普作为一家国内先进的新时代网络信息安全产品和服务提供商，坚持以“全面安全智慧安全”为产品理念，持续技术创新，为广大用户提供基础设施安全、信创安全、工业互联网安全、云安全、物联网安全、国密安全等六大系列网络安全产品。并在风险评估、渗透测试等安全服务上占据优势，协助用户全面提升IT基础设施的安全性、合规性和生产效能，面向数字时代保障信息系统全面安全。

END