每日安全简讯(20231130)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 攻击者正在利用CVE-2023-49103进行攻击活动

2023年11月21日，ownCloud公开披露了一个高危漏洞，该漏洞被标记为CVE-2023-49103，其CVSS评分为10。攻击者能够利用该漏洞访问管理员密码、邮件服务器凭据和许可证密钥。研究人员发现，该漏洞自11月25日起被攻击者大规模利用。该漏洞源于0.2.0到0.3.0版本的ownCloud中“graphapi”库的一个缺陷，禁用该库并不能完全解决问题，即使是非容器化的ownCloud实例也存在风险，因此使用ownCloud的组织应尽快修复漏洞。

https://www.greynoise.io/blog/cve-2023-49103-owncloud-critical-vulnerability-quickly-exploited-in-the-wild

---

2 研究人员发现蓝牙的底层安全漏洞

研究人员开发了针对蓝牙的六种新攻击方式，并统称为“BLUFFS”，可以破解蓝牙会话的机密性，使设备容易受到冒充和中间人攻击(MitM)。研究人员表示，BLUFFS利用了蓝牙标准中两个先前未知的漏洞，这些漏洞与如何派生用于交换数据的会话密钥有关。这些漏洞不特定于硬件或软件配置，而是在体系结构层面上发生，这意味着它们影响了蓝牙的基本层次。该漏洞被标记为CVE-2023-24023，影响蓝牙核心规范的4.2到5.4版本。

https://www.bleepingcomputer.com/news/security/new-bluffs-attack-lets-attackers-hijack-bluetooth-connections/

---

3 研究人员在开源AI框架Ray中发现安全漏洞

Ray是一款用于人工智能的开源计算框架，研究人员在该框架中发现安全漏洞。该漏洞被标记为CVE-2023-48023，其原因是Ray未能在其至少两个组件（即仪表板和客户端）上正确执行身份验证。远程攻击者可以利用该漏洞在没有身份验证的情况下提交或删除作业。此外，攻击者可能会检索敏感信息并执行任意代码。研究人员指出，该漏洞可能被攻击者利用，以获取对Ray集群中所有节点的操作系统的访问权或尝试检索Ray EC2的凭据。

https://www.securityweek.com/critical-vulnerability-found-in-ray-ai-framework/?web_view=true

---

4 Chrome发布紧急安全更新以修复零日漏洞

谷歌发布了一项紧急安全更新，以修复正在被利用的Chrome零日漏洞，并证实CVE-2023-6345正在被攻击者所利用。安全更新正在全球范围内向Windows用户（119.0.6045.199/.200）以及Mac和Linux用户（119.0.6045.199）推出。该高危零日漏洞源于Skia开源2D图形库内的整数溢出问题，会导致崩溃乃至任意代码执行。此外，该漏洞是今年第6个Chrome零日漏洞。

https://www.bleepingcomputer.com/news/security/google-chrome-emergency-update-fixes-6th-zero-day-exploited-in-2023/

---

5 DP World集团证实其数据遭到泄露

2023年11月10日，DP World Australia遭受网络攻击。该集团表示，港口于11月13日恢复工作，并于11月17日恢复正常状态。超过三万个集装箱的积压在2023年11月20日完全清除。DP World集团已确认此次事件仅影响其澳大利亚的业务。同时，经过调查后，没有发现任何勒索软件的部署迹象。但是，DP World的调查确定其系统中的数据已被窃取。调查表明客户数据未受影响，但DP World Australia当前和以前雇员的个人信息遭到泄露。目前尚不清楚是谁发动了这次攻击，也没有攻击者声称对此负责。

https://www.bleepingcomputer.com/news/security/dp-world-confirms-data-stolen-in-cyberattack-no-ransomware-used/

---

6 北德克萨斯州市政水务区遭受勒索软件攻击

Daixin Team勒索团伙声称攻击了北德克萨斯州市政水务区（NTMWD），将NTMWD添加到其Tor泄漏站点的受害者列表上中，并声称从该机构窃取了大量数据并威胁要发布它。该团伙声称共窃取了33844个文件，包括董事会会议纪要、内部项目文件、人员详细信息、审计报告等数据，并在其网站中发布了窃取文件的列表文件。目前，NTMWD称他们只是电话服务中断，未透露更多信息。

https://securityaffairs.com/154881/cyber-crime/daixin-team-north-texas-municipal-water-district.html?web_view=true

---