每日安全简讯(20240430)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 GitLab发布安全更新以修复漏洞

GitLab发布了适用于社区版和企业版的安全补丁，建议用户进行升级以修复漏洞。16.9.6、16.10.4和16.11.1之前的版本存在两个安全漏洞：一个是路径遍历漏洞（CVE-2024-2434，CVSS： 8.5），允许未经身份验证的攻击者读取受限制的文件并使应用程序崩溃（DoS）；另一个是存在于项目文件搜索中漏洞（CVE-2024-2829，CVSS：7.5），其中特制的通配符筛选器可触发拒绝服务攻击。16.9.6之前的版本和某些更高版本中包含两个漏洞：第一个漏洞（CVE-2024-4006）是由于GraphQL订阅未正确强制实施个人访问令牌范围，可能允许用户访问未经授权的数据；在第二个漏洞（CVE-2024-1347）中，一个特制的电子邮件地址可以绕过对组或实例的基于域的限制，这些限制现已在最新的GitLab版本中修补。

https://cybersecuritynews.com/gitlab-account-takeover-flaw

---

2 Keras模型的Lambda层中存在安全漏洞

在基于TensorFlow的Keras模型的Lambda层中存在一个新的供应链漏洞。此漏洞可能允许攻击者将任意代码注入任何AI/ML应用程序。在Keras 2.13版本之前构建的Lambda层都容易受到此类供应链攻击。攻击者可以向AI/ML开发人员创建和分发受木马攻击的流行模型。如果攻击成功，攻击者可以使用与正在运行的应用程序相同的权限在易受攻击的环境中执行不受信任的任意代码。

https://cybersecuritynews.com/lambda-layers-code-execution-supply-chain-ai-ml

---

3 Hunters International勒索组织声称窃取SpaceX数据

航空航天制造商和太空运输服务公司SpaceX遭遇一起网络安全事件，此次事件与Hunters International勒索组织相关，据称，该组织发布了SpaceX数据泄露的样本。此次事件涉及SpaceX较旧的数据，并且这些数据也出现于SpaceX在2023年初发生的一起数据泄露事件，该事件归因于LockBit勒索组织。目前，尚未收到任何官方声明或回应。此外，SpaceX的网站目前仍在运行，并且没有显示任何攻击或数据泄露的直接迹象，这表明Hunters International发布的数据样本可能确实源于2023年的数据泄露事件。

https://thecyberexpress.com/spacex-data-breach-resurfaces

---

4 攻击者声称窃取印度电信公司BSNL的数据

2024年4月24日，一个名为“Perell”攻击者发布了一个据称属于BSNL的数据库。该数据库包含超过290万条记录。去年12月，Perell就曾在黑客论坛中声称窃取了BSNL的敏感数据。由于涉及的数据库数量庞大且具有敏感性，因此无法证实该事件的真实性。目前BSNL官方尚未发表任何官方声明或回应。

https://thecyberexpress.com/bsnl-data-breach-2

---

5 攻击者声称窃取新加坡在线招聘平台Glints的数据

2024年4月22日，一个攻击者在黑客论坛中声称窃取了一个数据库，其中包含与新加坡在线招聘平台Glints相关的员工记录。据称数据泄露包含大约1000条记录，其中包含Glint员工的个人身份信息（PII）。暴露的数据包括敏感详细信息，例如姓名、员工ID、职务、电子邮件地址、出生日期、实际地址、身份证号码，甚至银行账户信息。

https://thecyberexpress.com/glints-data-breach

---

6 DragonForce勒索软件可能由泄露的LockBit构建器生成

DragonForce勒索组织于2023年11月开始进行勒索攻击活动，并针对受害者采用双重勒索策略。研究人员最近发现了一个基于LOCKBIT Black勒索软件的DragonForce勒索软件样本。LOCKBIT Black是LOCKBIT勒索软件的第三种变体。研究人员对使用泄露的LOCKBIT勒索软件构建器生成的二进制文件和DragonForce勒索软件进行了比较，发现两者在代码结构和功能上存在很大的相似之处。研究人员认为，DragonForce勒索软件背后的攻击者很可能利用泄露的LOCKBIT Black构建器来生成他们的勒索软件。

https://cyble.com/blog/lockbit-blacks-legacy-unraveling-the-dragonforce-ransomware-connection

---