5th域安全微讯早报【20250425】099期

2025-04-25 星期五 Vol-2025-099

今日热点导读

1. 英国Ofcom全面封堵"全球地址"租赁漏洞，斩断电信诈骗关键链条

2. 特朗普签署行政命令全面推动AI进入美国K-12教育体系

3. 英国全面禁止对俄出口游戏控制器切断无人机作战装备来源

4. NSA发布国家安全系统智能控制器网络安全协议

5. IARPA聚焦大型语言模型安全启动下一代AI网络安全研究计划

6. 谷歌广告系统泄露470万患者医疗数据，加州蓝盾陷三年数据泄露丑闻

7. 微软“零日探索”竞赛成果丰硕，黑客助力安全并获高额奖励

8. 美国CISA联合多部门在路易斯安那州立大学开展关键基础设施网络防御演练

9. 西班牙巴塞罗那附近城镇饮用水供应商遭网络攻击 13万居民数据面临泄露风险

10. 朝鲜Lazarus黑客组织利用水坑攻击渗透韩国六家企业

11. XRP官方NPM软件包遭供应链攻击，恶意版本窃取加密货币私钥

12. Zyxel FLEX-H系列设备曝高危RCE漏洞，无需认证即可远程执行系统命令

13. Citrix NetScaler控制台高危漏洞曝光，未经身份验证即可获取管理员权限

14. Commvault现高危RCE漏洞，企业数据备份安全受威胁

15. 思科多款关键产品曝严重SSH漏洞（CVE-2025-32433），无需认证即可远程执行代码

16. Langflow曝高危代码注入漏洞（CVE-2025-3248），AI工作流平台面临RCE风险

17. SonicWall SSLVPN曝空指针引用漏洞（CVE-2025-32818），可致防火墙崩溃

18. Redis惊现高危漏洞，攻击者可致服务器内存耗尽或崩溃

19. NVIDIA NeMo框架曝三大高危漏洞可致AI系统遭远程代码攻击

20. 威胁行为者利用零日漏洞攻击复杂度显著上升，谷歌呼吁强化分层防御体系

备注: 专题资讯信息，欢迎订阅！

资讯详情

政策法规

1. 英国Ofcom全面封堵"全球地址"租赁漏洞，斩断电信诈骗关键链条

【SecurityLab网站4月24日报道】英国电信监管机构Ofcom宣布禁止电信运营商向第三方租赁"全球地址"（网络路由标识符），以遏制日益猖獗的通信劫持犯罪。该禁令立即停止新合约，现有合约过渡期至2026年4月22日。此次监管行动直击电信诈骗核心环节——犯罪分子通过租用全球地址截获银行验证码等敏感信息。英国国家网络安全中心（NCSC）证实，该漏洞已成为金融犯罪主要渠道。消费者权益组织Which?对此表示支持，同时呼吁科技、银行与电信行业协同构建更全面的反诈体系。这一举措标志着英国在数字安全监管领域的突破性进展。

2. 特朗普签署行政命令全面推动AI进入美国K-12教育体系

【Nextgov网站4月24日报道】美国总统特朗普于4月23日签署《推进美国青少年人工智能教育》行政命令，通过成立联邦工作组和优化拨款计划，将AI技术教育全面纳入K-12学校课程。新成立的AI教育工作组由科技政策办公室主任领导，成员涵盖教育部、能源部等多部门高层，需在90天内制定"总统AI挑战赛"计划，并在12个月内推广全国性AI课程。命令要求教育部长优先使用联邦拨款培训教师AI技能（如简化行政工作、开发教学工具），并在120天内将AI认证框架引入高中教育。此举与特朗普3月要求教育部权力下放的命令形成政策张力，但获美国负责任创新组织等团体支持，认为AI素养对未来经济竞争力至关重要。

3. 英国全面禁止对俄出口游戏控制器切断无人机作战装备来源

【The Record网站4月24日报道】英国政府宣布即日起全面禁止向俄罗斯出口视频游戏控制器，以防止其被改装用于操控乌克兰战场上的攻击无人机。此次制裁包含150多项新措施，商务部长斯蒂芬·多蒂明确指出"游戏设备正被俄军用于杀害平民"。联合国报告证实，俄军使用短程无人机袭击民用目标已成为前线最致命威胁之一。新规还禁止出口油气开采软件及武器制造相关专业技术，旨在削弱俄罗斯战争经济。此举紧随欧盟同类禁令之后，但美国尚未跟进。制裁发布当日，基辅遭俄军大规模空袭，而特朗普在社交媒体呼吁俄乌停战，其主张解除对俄能源制裁的立场与英国持续军援乌克兰的政策形成鲜明对比。（注：原文中特朗普发言内容涉及政治敏感表述，已作简化处理）

4. NSA发布国家安全系统智能控制器网络安全协议

【ExecutiveGov网站4月24日报道】美国国家安全局（NSA）发布《国家安全系统智能控制器安全指南》技术报告，针对工控系统（OT）与IT网络融合带来的新型风险提出防护措施。报告指出，智能控制器因普遍缺乏默认安全配置，成为高价值攻击目标，尤其遗留OT系统风险突出。NSA建议采取三项核心措施：定期测试更新OT固件/软件（涵盖主机、嵌入式及网络设备）、强制禁用无线接口默认模式，以及参照NIST标准与ISA技术要求建立防护体系。该研究同时支持"OT保障合作伙伴计划"试点项目，相关成果将提交美军情报支援行动标准委员会，用于工业自动化控制系统未来安全标准更新。此次指南是NSA继2月发布边缘设备防护策略后，针对关键基础设施安全的又一举措。

5. IARPA聚焦大型语言模型安全启动下一代AI网络安全研究计划

【ExecutiveGov网站4月24日报道】美国情报高级研究计划局（IARPA）局长里克·穆勒透露，该机构正将大型语言模型（LLM）列为下阶段人工智能网络安全研究的核心方向。穆勒在情报与国家安全联盟活动中指出，研究重点包括：识别LLM训练偏差导致的意外后果、防范机密数据泄露风险（即使通过精心设计的提示词触发），以及应对模型幻觉问题。当前TrojAI项目（2019年启动的AI系统防木马计划）即将收官，新研究将继承其跨图像分类、自然语言处理等领域的多模态安全防护经验。IARPA曾于2023年9月与美国国家标准与技术研究院（NIST）联合举办AI训练数据防篡改挑战赛，持续推动AI安全前沿探索。

安全事件

6. 谷歌广告系统泄露470万患者医疗数据，加州蓝盾陷三年数据泄露丑闻

【SecurityLab网站4月24日报道】加州蓝盾医疗系统披露重大数据泄露事件，470万患者的敏感健康信息通过Google Analytics不当设置泄露给谷歌广告系统。此次泄露持续近三年（2021年4月至2024年1月），涉及保险计划、就诊记录、财务义务等核心数据，部分案例中唯一账户标识符的泄露更可能使医疗诊断与个人网络行为关联。这是该机构继2024年遭遇BlackSuit勒索软件攻击后的第二起重大事件，暴露了医疗系统在第三方服务使用中的监管漏洞。尽管社保号等金融信息未受影响，专家仍建议受害者监控信用报告。值得注意的是，涉事机构至今未提供身份保护方案，凸显医疗数据安全管理体系的系统性缺陷。

7. 微软“零日探索”竞赛成果丰硕，黑客助力安全并获高额奖励

【SecurityLab网站4月24日报道】微软举办了规模最大的漏洞搜寻竞赛“零日探索”。此次竞赛吸引了全球顶尖研究人员，聚焦Copilot和微软云服务潜在风险场景，总奖金池达400万美元。在资格认证及活动结束后，专家们提交超600份漏洞报告，微软已支付超160万美元奖金，部分报告仍在审核。前期参与者竞争前往雷德蒙德决赛的资格，决赛中有“夺旗”任务等环节。约百名参与者还接受了AI漏洞搜寻、SSRF培训等。基于此次活动的成功，微软宣布两项新举措：Copilot漏洞奖励乘数维持100%，发现严重漏洞的研究人员可获双倍标准奖励；“零日任务”将成为年度活动，未来会有新任务和奖金，促进研究社区与微软开发者的互动。“零日探索”是微软奖励漏洞报告全球计划的一部分，2023年微软为此支付超1600万美元。微软遵循透明原则，为关键漏洞分配CVE标识符，并在修复问题后发布攻击分析材料。该活动也是“安全未来倡议”的一部分，致力于在产品各环节内置安全，为数字安全未来奠定基础。

8. 美国CISA联合多部门在路易斯安那州立大学开展关键基础设施网络防御演练

【IndustrialCyber网站4月24日报道】美国网络安全和基础设施安全局(CISA)、国土安全部(DHS)及爱达荷国家实验室(INL)在控制环境实验室资源中心(CELR)为路易斯安那州立大学(LSU)及能源行业合作伙伴举办了针对运营技术(OT)的网络攻防演练。作为首所参与CELR演练的美国高校，LSU将获得专属石油天然气CELR平台，用于培养海湾地区网络安全人才。此次合作凸显美国加强关键基础设施防护的战略部署：1）模拟真实OT/ICS网络攻击场景；2）计划今秋在LSU部署首个高校CELR平台；3）已建立INL与LSU的正式研发合作机制，包括实习生计划。CISA官员强调，面对民族国家攻击者的持续威胁，此类公私合作对提升国家网络韧性至关重要。

9. 西班牙巴塞罗那附近城镇饮用水供应商遭网络攻击 13万居民数据面临泄露风险

【The Record网站4月24日报道】西班牙加泰罗尼亚大区马塔罗市水务公司Aigües de Mataró本周遭遇网络攻击。这家为13万居民提供服务的市政企业表示，虽然供水系统和水质监控未受影响，但客户财务信息等敏感数据可能已经泄露。攻击于4月22日被发现后，公司立即启动应急预案，并向加泰罗尼亚警方及网络安全机构报案。此次事件导致在线服务中断，可能造成账单处理延迟。尽管攻击方式尚未确认，但事件再次凸显勒索软件对关键基础设施的威胁。西班牙近年来频遭类似攻击，2023年巴塞罗那医院遭袭曾导致数千医疗预约取消。作为国际反勒索软件倡议成员，西班牙正持续加强关键领域网络安全防护。

10. 朝鲜Lazarus黑客组织利用水坑攻击渗透韩国六家企业

【BleepingComputer网站4月24日报道】朝鲜国家级黑客组织Lazarus在2024年11月至2025年2月期间，针对韩国软件、IT、金融及电信领域发起代号"SyncHole"的水坑攻击。攻击者入侵韩国主流媒体门户，通过服务器端脚本筛选目标，并诱导受害者访问伪装成Cross EX软件（韩国网银/政府网站安全工具）的恶意站点。利用已修补漏洞（含未公开零日KVE-2024-0014），攻击链最终部署ThreatNeedle后门（支持37条指令）、LPEClient侦察工具及Innorix文件传输系统漏洞利用程序。卡巴斯基分析显示，攻击采用模块化恶意软件架构，且攻击时段符合朝鲜工作时间。韩国互联网安全局(KrCERT)已协调相关漏洞修补工作。

11. XRP官方NPM软件包遭供应链攻击，恶意版本窃取加密货币私钥

【Hackread网站4月24日报道】XRP Ledger官方SDK的NPM软件包（xrpl）遭供应链攻击，攻击者上传了5个恶意版本（4.2.1至4.2.4及2.14.2）。Aikido安全团队发现，这些版本在GitHub无对应代码，且植入的后门函数checkValidityOfSeed会向攻击者域名（0x9cxyz）发送用户私钥。恶意代码通过Wallet类构造函数触发，影响每周超14万次下载量。攻击手法持续升级，早期版本篡改构建文件，后期版本直接修改TypeScript源码。XRP官方已发布安全版本4.2.5和2.14.3，建议用户立即升级并转移受影响钱包资产。

漏洞预警

12. Zyxel FLEX-H系列设备曝高危RCE漏洞，无需认证即可远程执行系统命令

【CybersecurityNews网站4月24日报道】Zyxel企业级安全设备FLEX-H系列存在严重漏洞（CVE-2025-1731/1732），允许攻击者在无需身份认证的情况下实现远程代码执行。该漏洞由研究员rainpwn发现并于4月22日披露，根源在于设备PostgreSQL数据库服务配置缺陷：虽然默认限制本地访问5432端口，但攻击者可通过SSH隧道建立远程连接通道。由于数据库未启用认证机制，攻击者可利用PostgreSQL的COPY FROM PROGRAM函数执行系统命令，进而通过竞争条件建立SSH隧道、窃取管理员令牌、上传恶意文件等攻击链最终获取root权限。Zyxel已于4月14日发布固件更新，建议受影响企业立即升级系统，实施网络分段并监控SSH端口及数据库异常活动。该案例凸显本地服务访问控制的重要性，专家警告漏洞利用工具可能快速扩散，相关机构需视此更新为紧急安全措施。

13. Citrix NetScaler控制台高危漏洞曝光，未经身份验证即可获取管理员权限

【CybersecurityNews网站4月24日报道】CitrixNetScalerConsole存在严重漏洞，允许完全未经身份验证的用户获取管理访问权限，且概念验证（PoC）漏洞代码已被发布。该漏洞（CVE-2024-6235）早在2024年7月10日由Citrix披露，CVSSv4评分为9.4，属于严重级别。起初该漏洞被视为“敏感信息泄露”，但Rapid7研究员证实，攻击者可利用内部API漏洞获取管理员级会话ID，进而创建管理员账户，将风险升级为系统入侵。Shodan搜索表明，约318个NetScaler控制台实例暴露在互联网上面临攻击风险。具体而言，攻击者发送含特定HTTP标头的GET请求即可获取会话令牌，结合从管理面板提取的rand_key参数便能创建超级管理员账户。该漏洞影响NetScaler Console 14.1版本（14.1-25.53之前），早期版本不受影响。Citrix已在2024年7月发布补丁。安全专家建议相关机构尽快升级至14.1-25.53或更高版本，避免将控制台暴露于公网，并强化补丁管理与访问控制。

14. Commvault现高危RCE漏洞，企业数据备份安全受威胁

【CybersecurityNews网站4月24日报道】Commvault的备份和数据保护平台出现严重的预认证远程代码执行（RCE）漏洞，编号为CVE-2025-34028。该漏洞存在于Commvault“创新版本”11.38.0至11.38.19中，已在11.38.20版本修复。watchTowrLabs的研究人员发现此漏洞并公开了概念验证（PoC）代码。该漏洞存在于Web管理界面的两个预认证端点deployWebpackage.do和deployServiceCommcell.do，由于配置文件中未对其设置认证要求，攻击者无需身份验证，通过网络访问即可利用。攻击过程涉及触发服务器端请求伪造（SSRF）漏洞，强制服务器下载含恶意JSP文件的ZIP包，利用路径遍历解压到可执行位置，进而执行恶意代码。Commvault在企业、托管服务提供商及政府机构广泛应用，因其常存储特权账户凭据，该漏洞对数据安全威胁极大，尤其是在应对勒索软件威胁时。安全团队需排查部署情况，相关组织应尽快升级至11.38.20及更高版本以防范风险。

15. 思科多款关键产品曝严重SSH漏洞（CVE-2025-32433），无需认证即可远程执行代码

【CybersecurityNews网站4月24日报道】思科系统公司确认其多款核心产品受Erlang/OTP SSH服务器高危漏洞影响（CVSS评分10.0）。该漏洞源于SSH协议实现缺陷，允许攻击者发送特制数据包绕过认证，直接以root权限执行系统命令。受影响的18个产品系列包括网络服务编排器(NSO)、Ultra Cloud Core 5G核心组件、Catalyst Center网络管理系统等关键基础设施。思科表示漏洞无需认证即可利用（攻击向量：AV:N/AC:L/PR:N/UI:N），特别威胁暴露在互联网的系统，且可能通过Erlang分布式节点扩散攻击。目前概念验证代码已公开，但尚未发现实际攻击。思科计划自5月起分阶段发布补丁，建议用户立即隔离管理接口、限制SSH访问源IP，并监控异常认证行为。值得注意的是，该漏洞是2025年第三个SSH相关高危漏洞，凸显分布式系统协议安全审计的紧迫性。对于无法立即修补的系统，思科建议启用运行时威胁检测机制防范漏洞利用。

16. Langflow曝高危代码注入漏洞（CVE-2025-3248），AI工作流平台面临RCE风险

【CybersecurityNews网站4月24日报道】开源AI工作流平台Langflow 1.3.0之前版本存在严重远程代码执行漏洞（CVSS 9.8）。该漏洞位于/api/v1/validate/code端点，因未对用户提交的Python代码进行身份验证和沙盒隔离，攻击者可利用Python函数装饰器(@exec)和默认参数特性注入恶意代码。Zscaler研究人员发现，攻击者通过构造特制POST请求即可在服务器执行任意命令，典型案例包括写入文件、执行系统指令等。该漏洞尤其危险在于：1）无需认证即可利用；2）代码在AST解析阶段即被执行；3）影响所有可公开访问的Langflow实例。攻击者可借此窃取数据、建立持久化访问或横向移动。官方已在1.3.0版本强制端点认证，建议用户立即升级，并实施网络分段和零信任防护。该事件再次凸显AI开发工具在动态代码执行场景下的安全风险，强调必须严格实施执行上下文隔离机制。

17. SonicWall SSLVPN曝空指针引用漏洞（CVE-2025-32818），可致防火墙崩溃

【CybersecurityNews网站4月24日报道】SonicWall多款防火墙产品SSLVPN服务中存在高危漏洞（CVSS 7.5），允许未认证攻击者触发设备崩溃。该漏洞由Bishop Fox研究人员发现，源于SonicOS SSLVPN虚拟办公室界面的空指针引用问题（CWE-476），攻击者通过特制请求即可导致防火墙重启，造成服务中断。受影响设备包括Gen7系列（TZ270/TZ370/TZ470等）、NSa系列（2700-6700）及TZ80（固件≤8.0.0-8037），涉及固件版本7.1.1-7040至7.1.3-7015。SonicWall已发布修复版本（Gen7需升级至7.2.0-7015+，TZ80需8.0.1-8017+），强调该漏洞无临时缓解措施，必须通过固件更新解决。企业应优先修补暴露在互联网的防火墙，并监控异常重启事件。此次事件再次凸显网络边界设备安全性的关键作用。

18. Redis惊现高危漏洞，攻击者可致服务器内存耗尽或崩溃

【CybersecurityNews网站4月24日消息】流行开源内存数据结构存储Redis存在高严重性漏洞（CVE-2025-21605，CVSS评分7.5）。该漏洞源于输出缓冲区管理设计缺陷，默认未对普通客户端输出缓冲区设限，未经身份验证的攻击者可利用此无限扩大缓冲区，耗尽服务器内存，导致拒绝服务（DoS），即使服务器启用密码保护也能被攻击。此漏洞影响Redis2.6及后续未打补丁版本，攻击基于网络，复杂度低，无需特权和用户交互，虽不影响数据机密性和完整性，但严重威胁服务可用性。目前，Redis云服务已修复该问题，而自行管理Redis部署的组织需尽快升级到对应修补版本，如RedisOSS/CE7.4.3及以上、RedisStack7.4.0-v4及以上等。暂时无法升级的组织，可通过实施网络访问控制、启用TLS并要求客户端证书认证、配置合理输出缓冲区限制等策略缓解风险。使用Redis的组织应立即评估风险，采取措施保障服务安全。

19. NVIDIA NeMo框架曝三大高危漏洞可致AI系统遭远程代码攻击

【CybersecurityNews网站4月24日报道】NVIDIA生成式AI平台NeMo框架存在三个高危漏洞（CVE-2025-23249/23250/23251，CVSS评分均为7.6），攻击者可借此实现远程代码执行和数据篡改。其中CVE-2025-23249涉及不安全反序列化漏洞（CWE-502），允许通过操纵序列化对象注入恶意代码；CVE-2025-23250为路径遍历漏洞（CWE-22），可覆盖系统文件；CVE-2025-23251则源于代码生成控制缺陷（CWE-94）。这些漏洞影响Windows/Linux/macOS平台所有25.02之前版本，需用户交互即可远程利用。NVIDIA已于4月22日发布25.02版本修复补丁，建议用户立即升级并检查AI系统完整性。该事件凸显AI开发工具链的安全风险，上海大学研究员周鹏因发现漏洞获官方致谢。

风险预警

20. 威胁行为者利用零日漏洞攻击复杂度显著上升，谷歌呼吁强化分层防御体系

【CybersecurityNews网站4月24日报道】谷歌M-Trends 2025报告指出，网络攻击者正通过开发定制恶意软件、利用零日漏洞及部署高级规避技术显著提升攻击复杂度。数据显示，全球攻击驻留时间从2024年的10天增至11天，其中33%的初始入侵通过漏洞利用实现，16%依赖窃取凭证。报告特别警示，与中国相关的威胁团体展现出针对目标定制专用攻击工具的能力，通过僵尸网络代理及边缘设备突破传统防御盲区。攻击者利用零日漏洞时，通常结合网络侦察、定制化漏洞代码及低干扰载荷执行，规避安全检测。谷歌建议采取分层防御策略，包括强化系统配置、最小权限原则、部署FIDO2多因素认证，并优先修补关键漏洞。专家强调，零日漏洞作为“隐形武器”的威胁持续升级，需将基础安全措施列为优先防护重点。