SecZone 每日安全资讯（2023.10.08）-低调大师

SecZone 每日安全资讯（2023.10.08）

2023-10-08 284

环球动态
1.Microsoft将在Windows 11中引入密钥支持功能
作为Windows 11重大更新的一部分，微软今天推出了密钥支持功能。用户将能使用设备PIN或生物识别信息登录网站和应用，而无需提供用户名和密码。【Microsoft is Rolling out Support for Passkeys in Windows 11 (thehackernews.com)】

2.黑客利用零点字体伪装成Microsoft Outlook诱骗显示虚假的AV扫描警报
黑客正在利用零点字体在电子邮件中的新型技巧，使恶意邮件看起来像是Microsoft Outlook中的安全工具发出的扫描警报。这是首次记录到ZeroFont网络钓鱼技术以这种方式的使用。【针对 Microsoft 365 的钓鱼即服务平台 Greatness - FreeBuf网络安全行业门户】

3. 谷歌为攻击中利用的libwebp漏洞分配了新的最高CVE编号
谷歌已经为最近被攻击利用的libwebp安全漏洞分配了新的最高CVE编号（CVE-2023-5129）。这个零日漏洞在两周前修补过。【VMware Aria Operations for Networks 远程代码执行漏洞（CVE-2... - FreeBuf网络安全行业门户】

4. 新的AtlasCross黑客冒充美国红十字会发送网络钓鱼诱饵
“AtlasCross”新黑客组织冒充美国红十字会，针对有网络钓鱼诱饵的组织发送后门恶意软件。【Access denied | www.bleepingcomputer.com used Cloudflare to restrict access】

5. 苹果谷歌漏洞披露不充分，使腾讯QQ等数百万应用面临潜在风险
安全研究员指出，苹果和谷歌近期披露的产品零日漏洞不完整，可能隐藏了一个上游开源库libwebp的漏洞，使腾讯QQ等数百万应用面临“巨大的盲点”，处于被攻击的危险之中。【苹果谷歌漏洞披露不完整，让腾讯QQ等数百万应用处于危险之中 - 安全内参 | 决策者的网络安全知识库 (secrss.com)】

6.科技巨头们联手成立了PQC联盟以推动量子密码学的应用
微软、IBM Quantum、MITRE、PQShield、SandboxAQ和滑铁卢大学等科技巨头联手启动了PQC联盟，旨在推动量子密码学在商业及开源领域的应用。Shor算法作为构建所有非对称加密的基础，正受到量子计算的威胁。【Tech Giants Launch Post-Quantum Cryptography Coalition - Infosecurity Magazine (infosecurity-magazine.com)】

安全大爆料
1. 加拿大的Flair Airlines公司在其用户数据保护方面存在严重问题
根据Cybernews的研究团队的发现，加拿大的Flair Airlines公司在其用户数据保护方面存在着严重的问题。他们发现，该公司在处理敏感数据库和电子邮件地址凭据的过程中，竟然将它们保留了下来长达至少七个月的时间。这种情况无疑增加了乘客个人信息（如电子邮件、姓名或地址）被不法分子利用的风险。这不仅对乘客的个人隐私构成了威胁，也对他们的安全带来了潜在的风险。【Canadian Flair Airlines left user data leaking for months (securityaffairs.com)】

2. 科威特财政部遭.HYSIDA勒索软件组织攻击
财政部在今天黎明时分宣布，其一个系统遭到了恶意软件的黑客攻击。尽管系统和保护程序已经启动并停用，但该部仍在评估这次未遂黑客攻击的程度。此外，财政部还确认，工资转移程序不会受到这次网络攻击的影响，因为政府的财务系统是独立的。【The Rhysida ransomware group hit the Kuwait Ministry of Finance (securityaffairs.com)】

3. 3万新生儿和孕期护理患者的数据泄露事件影响了BORN ONTARIO
"BORN（更好的结果注册和网络）受到了网络安全漏洞的影响，这个漏洞是由我们使用的软件Progress MOVEit在执行安全文件传输时触发的全球性漏洞所导致。"【BORN Ontario data breach impacted 3.4 million newborns and pregnancy care patients (securityaffairs.com)】

4. 影子辛迪加：与7个勒索软件家族有关的新兴网络犯罪组织
网络安全专家揭示了一个名为ShadowSyndicate（前身为Infra Storm）的新网络犯罪组织，该组织在过去一年中可能利用了多达七个不同的勒索软件家族。【ShadowSyndicate: A New Cybercrime Group Linked to 7 Ransomware Families (thehackernews.com)】

5. JetBrains TeamCity 的漏洞可能让攻击者获得源代码和构建管道的访问权限
没有经过身份验证的攻击者可以利用 JetBrains TeamCity CI/CD 软件中的一个关键安全漏洞，在受影响的系统上远程执行代码。【Critical JetBrains TeamCity Flaw Could Expose Source Code and Build Pipelines to Attackers (thehackernews.com)】

6. 网络钓鱼者利用Facebook直播假货作为诱饵
NCC警告称，“航海狂人”可能很容易被虚假的社交媒体帖子所诱惑，一些受害者甚至可能在不知不觉中成为了犯罪分子的新兵，以获取整齐的Facebook帐户详细信息。【Critical JetBrains TeamCity Flaw Could Expose Source Code and Build Pipelines to Attackers (thehackernews.com)】

前沿资讯
1. macOS 平台上出现的新型信息窃密软件：MacStealer
信息窃密恶意软件 MacStealer 能够对最新版本的 macOS 造成威胁，并且使用了 Telegram 作为 C&C 信道来窃取受害者的敏感数据。【macOS 平台新出现的信息窃密软件：MacStealer_网络安全小肖的博客-CSDN博客】

2. 零信任技术架构：SDP2.0的中文改写版
"在零信任技术架构中，本质上没有太大的区别。在实际的客户环境中，我们需要根据具体情况有侧重点地进行建设，例如优先加强端点零信任能力（SDP架构）、身份认证零信任能力（IAM架构）或东西向流量的零信任能力（MSG架构）等。"【白话零信任技术架构之SDP2.0 - FreeBuf网络安全行业门户】

3. 0day审计：某微代码审计案例的中文改写版本
这个方法是继承了extends MobileAction并通过http请求获取action参数，然后进行全局jsp文件搜索SkinAction，发现通过了jionActionUrl方法调用，在第2行包含了<%@ include file="/mobilemode/init.jsp"%>，根据里方法构造出路径。【0day审计之某微代码审计-腾讯云开发者社区-腾讯云 (tencent.com)】

微信关注我们

原文链接：https://www.oschina.net/news/260771

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Brave 裁员 9%

Brave Browser 和 Search 的制造商 Brave Software 向 TechCrunch 证实，该公司已跨部门裁员 9%。该公司没有具体说明裁员波及的员工人数，但它证实了这一裁员举措，并表示这一决定是由严峻的经济环境所驱动的。 “在这个充满挑战的经济环境中，Brave 公司裁撤了一些职位，作为我们成本管理的一部分。有几个部门受到影响，占我们员工总数的 9%。” 今年以来，该公司一直在采取措施以加强收入来源。4 月份，Brave Search 放弃了Bing Index，开始依赖自己的索引解决方案。 5 月份，该公司为客户发布了自己的search API，计划每 1,000 次查询收费 3 美元起。该 API 还为 AI 数据模型训练、具有存储权限的数据、拼写检查和自动建议提供了不同的计划。上个月，Brave 还为其 search API 推出了图像、新闻和视频搜索功能。此外，Brave 一直在为其浏览器测试名为 Leo 的原生人工智能助手。Brave 表示，虽然计划向所有用户开放，但 Leo 将拥有高级版，具有更高的速率限制和访问更多对话模型等功能。该公司指出，...

2023-10-08

307

近日，在openKylin社区Cutefish SIG成员的努力下，openKylin开源操作系统桌面环境又迎来一个新成员—Cutefish。这也是继UKUI、KDE、Xfce和DDE之后，openKylin开源操作系统支持的第五个Linux桌面环境，为社区用户带来更多选择。 Cutefish是一款简洁、美观、实用的桌面环境，为用户提供舒适的界面与优秀的用户体验，能够满足各种场景下的使用需求。除X86环境外，openKylin社区Cutefish SIG也完成了Cutefish桌面环境对openKylin操作系统 ARM架构板卡的适配。同时，在赛昉科技和RISC-V SIG的帮助下，Cutefish SIG成功将Cutefish桌面移植到VisionFive2。截至目前，已完成Cutefish软件包的移植工作，并经Cutefish SIG成员测试可流畅运行桌面及其特色应用。欢迎大家在openKylin上安装和体验Cutefish桌面环境。安装方式 1.添加每日构建源 deb http://archive.build.openkylin.top/openkylin yangt...

2023-10-08

336

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。