每日安全简讯(20240907)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Apache修复OFBiz中的安全漏洞

Apache已修复其开源软件OFBiz（Open For Business）中的一个安全漏洞，该漏洞可能允许攻击者在易受攻击的Linux和Windows服务器中执行任意代码，该远程代码执行漏洞被标识为CVE-2024-45195。OFBiz是一套客户关系管理（CRM）和企业资源规划（ERP）业务应用程序，也可用作基于Java的Web框架，用于开发Web应用程序。Apache安全团队在18.12.16版本中添加授权检查来修复该漏洞。建议OFBiz用户尽快进行升级，以阻止潜在的攻击。

https://www.bleepingcomputer.com/news/security/apache-fixes-critical-ofbiz-remote-code-execution-vulnerability/

---

2 WordPress插件LiteSpeed Cache中存在安全漏洞

LiteSpeed Cache是一个用于加速WordPress网站用户浏览的缓存插件，该插件中存在一个安全漏洞。该漏洞被标识为CVE-2024-44000，并被分类为未经身份验证的账户接管问题，由研究人员于2024年8月22日发现。LiteSpeed Cache在6.5.0.1版本中修复了该漏洞。WordPress报告称，仅有37.5万名用户下载了该插件的更新版本，因此仍有超过560万使用该插件的网站受到安全漏洞的影响。

https://www.bleepingcomputer.com/news/security/litespeed-cache-bug-exposes-6-million-wordpress-sites-to-takeover-attacks/

---

3 Veeam修复其多个产品中的安全漏洞

Veeam已发布多个产品的安全更新，修复了其产品Veeam Backup&Replication、Service Provider Console和One中的18个安全漏洞。其中最严重的漏洞是CVE-2024-40711，这是存在于Veeam Backup&Replication（VBR）中的远程代码执行漏洞（CVSS v3.1评分：9.8），无需身份验证即可被利用。Veeam已在受影响产品的新版本中修复了安全漏洞，建议用户尽快进行更新。

https://www.bleepingcomputer.com/news/security/veeam-warns-of-critical-rce-flaw-in-backup-and-replication-software/

---

4 攻击者在思科商店网站中注入恶意JavaScript代码

攻击者在思科公司的主题商品销售网站中注入了恶意的JavaScript代码，该网站目前已下线并正在维护中。恶意JavaScript代码经过严重混淆处理，其目的是窃取结帐过程中的数据，例如进行在线支付所需的信用卡详细信息。研究人员发现它还可以窃取一些其他信息，包括邮政地址、电话号码、电子邮件地址和用户的登录凭据。有安全研究人员称此次攻击与CosmicSting漏洞（CVE-2024-34102）相关。

https://www.bleepingcomputer.com/news/security/hackers-inject-malicious-js-in-cisco-store-to-steal-credit-cards-credentials/

---

5 计划生育联合会证实遭受网络攻击

计划生育联合会（Planned Parenthood）确认其IT系统遭受了网络攻击。这起网络安全事件发生在8月底，目前该组织正在调查其影响的确切范围。RansomHub勒索组织声称对计划生育联合会进行网络攻击，并威胁在6天内泄露据称从该组织系统中窃取的93GB数据。截至目前，尚未证实计划生育联合会系统中的数据失窃，相关调查仍在进行中。

https://www.bleepingcomputer.com/news/security/planned-parenthood-confirms-cyberattack-as-ransomhub-claims-breach/

---

6 持续的TfL网络攻击事件导致Dial-a-Ride服务瘫痪

Dial-a-Ride是由伦敦交通局（TfL）为残疾人提供的免费门到门交通服务。由于TfL系统持续遭受网络攻击，Dial-a-Ride服务被迫暂时停止接受新的预订请求。TfL发言人确认Dial-a-Ride的预订系统此前暂时停运，但目前已经恢复正常。此外，针对TfL的网络攻击并未影响TfL运行伦敦公共汽车网络、地铁或其他服务的能力，TfL也表示没有证据表明乘客的数据遭到泄露。然而，该事件似乎影响了乘客登录Oyster支付账户，以及一些第三方使用的API，如Citymapper。

https://www.computerweekly.com/news/366609606/Ongoing-TfL-cyber-attack-takes-out-Dial-a-Ride-service

---