每日安全简讯(20240922)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Versa Networks修复其产品中的安全漏洞

Versa Networks发布了一份关于其Versa Director产品中CVE-2024-45229漏洞的安全公告。该漏洞的CVSS评分为6.6，可能会暴露敏感的用户认证令牌，从而使企业网络面临风险。当Versa Director直接连接到互联网时，攻击者能够向GET请求中注入无效参数，利用这一漏洞访问当前登录用户的认证令牌。这些令牌可以进一步用于访问9183端口上的其他API，从而进一步危及系统。然而，CVE-2024-45229漏洞不会暴露用户名或密码等用户凭据，这在一定程度上限制了其影响。Versa已发布补丁修复该安全漏洞。

https://securityonline.info/versa-networks-exposes-critical-api-vulnerability-in-versa-director-cve-2024-45229/

---

2 Camaleon CMS修复多个安全漏洞

Camaleon CMS发布了一个重要的安全更新，以解决多个漏洞，其中一些已经被恶意行为者利用。CVE-2024-46986（CVSS评分9.9）是一个任意文件写入漏洞，允许经过身份验证的用户将文件写入服务器上的任何位置。这可能使攻击者能够远程执行恶意代码，潜在地危及整个网站及其相关数据。CVE-2024-46987涉及路径遍历问题，允许攻击者未经授权访问服务器上的敏感文件。这可能导致机密信息的泄露，进一步危及受影响网站的安全。此外，还有一个存在于图像上传功能中的存储型跨站脚本漏洞。该漏洞允许攻击者将恶意JavaScript代码注入上传的图像或文档中，当用户查看这些文件时，可能触发各种恶意行为，如窃取会话Cookie或修改网站内容。Camaleon CMS团队已修复这些安全漏洞。

https://securityonline.info/critical-security-flaws-in-camaleon-cms-put-web-servers-at-risk-users-urged-to-upgrade-immediately/

---

3 攻击者声称泄露Deloitte公司内部通信

攻击者IntelBroker声称泄露Deloitte公司的内部通信。据称，此次泄露事件发生在2024年9月，当时一个Apache Solr服务器由于使用默认登录凭据而意外暴露在互联网上，导致攻击者未经授权访问该服务器。泄露的数据包括电子邮件地址、内部设置和内网用户之间的通信。

https://cybersecuritynews.com/intelbroker-deloitte-data/

---

4 Star Health Insurance泄露3100万客户数据

印度最大的健康保险提供商Star Health & Allied Insurance最近经历了一次重大的数据泄露事件，导致超过3100万客户的敏感个人信息泄露。泄露的数据信息包括姓名、电话号码、地址、税务信息、身份证复印件、医疗诊断和测试结果。其中的小部分数据被免费提供，其他用户也可以批量购买数据，数据总量达到7.24TB。Star Health表示，8月13日有一名身份不明的人联系他们，声称可以访问其部分数据。该保险公司已将此事报告给网络犯罪部门和联邦网络安全机构CERT-In。

https://cybersecuritynews.com/star-health-data-leak/

---

5 戴尔正对一起数据泄露事件进行调查

戴尔正在调查一起数据泄露事件，此前一名攻击者声称泄露了超过10000名员工的数据。在一个黑客论坛的帖子中，名为“grep”的攻击者表示其窃取的数据包括员工的唯一标识符、戴尔和合作伙伴员工的全名、员工状态（是否在职）以及内部识别字符串。戴尔称其安全团队正在针对此次事件进行调查。

https://www.bleepingcomputer.com/news/security/dell-investigates-data-breach-claims-after-hacker-leaks-employee-info/

---

6 药品分销商Cencora支付高达7500万美元的赎金

美国药品分销商Cencora在经历一次网络攻击后向网络犯罪分子支付了创纪录的7500万美元赎金，这是目前已知的最大赎金支付金额。Cencora在2月份遭遇了此次攻击，导致敏感的患者数据泄露，包括姓名、地址、出生日期和医疗信息。据称，攻击者是Dark Angels勒索组织，该组织最初要求高达1.5亿美元的赎金。尽管Cencora后来将赎金金额谈判至原先的50%，但其最终支付的金额仍远超以往任何已知的赎金支付。

https://securityonline.info/cencoras-75-million-ransom-a-new-high-in-cyber-extortion/

---