每日安全简讯(20240925)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 研究人员发现安卓恶意软件Octo的新变种

研究人员发现安卓恶意软件Octo（ExobotCompact）出现了新变种，将其命名为Octo2，是目前传播最广泛的恶意软件家族。研究人员发现了针对欧洲国家传播Octo2的攻击活动，Octo2使用复杂的混淆技术以确保木马避免被检测到，比如使用了域名生成算法（DGA）。此外，其恶意软件开发者采取一定的措施，以提高对受感染设备的远程操作稳定性。

https://www.threatfabric.com/blogs/octo2-european-banks-already-under-attack-by-new-malware-variant

---

2 Apache Tomcat中存在拒绝服务攻击漏洞

Apache Tomcat中存在一个安全漏洞，该漏洞被标识为CVE-2024-38286，影响多个版本的Apache Tomcat，攻击者能够通过TLS握手过程触发拒绝服务（DoS）攻击。Apache软件基金会敦促使用受影响版本的用户立即采取行动以降低风险。推荐的解决方案包括升级至最新的安全版本：Apache Tomcat 11.0.0-M21或更高版本，10.1.25或更高版本，以及9.0.90或更高版本。

https://cybersecuritynews.com/apache-tomcat-vulnerability/

---

3 Grafana存在安全漏洞

Grafana Plugin SDK for Go中存在一个安全漏洞。该漏洞被标识为CVE-2024-8986，CVSS评分为9.1，这个漏洞可能导致敏感信息无意泄露，包括存储库凭证。该漏洞的问题在于，当开发人员在其存储库URI中包含凭证时，最终的二进制插件文件会包含完整的URI，其中包含敏感的凭证信息。该漏洞的潜在影响是显著的，如果攻击者获得使用受影响SDK版本构建的插件，可以轻松提取嵌入其中的凭证，可能会未经授权访问私有存储库及其包含的敏感代码或数据。Grafana团队发布了0.250.0版本以修复该漏洞。

https://securityonline.info/cve-2024-8986-cvss-9-1-critical-grafana-plugin-sdk-flaw-exposes-sensitive-information/

---

4 WordPress Houzez主题中存在安全漏洞

WordPress Houzez主题和WordPress Houzez登录注册插件中存在安全漏洞，使得众多网站面临潜在威胁。这些漏洞被标识为CVE-2024-22303和CVE-2024-21743，CVSS评分均为8.8。CVE-2024-22303漏洞存在于Houzez主题中，允许权限提升，使攻击者能够从低权限账户提升到更高权限，可能对受影响网站进行完全控制。CVE-2024-21743漏洞存在于Houzez登录注册插件中，同样可能使攻击者提升权限。目前这两个漏洞已在3.3.0版本中得到修复，使用该主题及插件的网站管理员应尽快升级。

https://cybersecuritynews.com/wordpress-theme-plugin-vulnerabilities/

---

5 开源音乐服务Navidrome中存在安全漏洞

Navidrome是一个被广泛使用的基于Web的音乐收藏服务，用户能够从任何浏览器或移动设备中传输他们的个人音乐库。Navidrome中存在安全漏洞，被标识为CVE-2024-47062，CVSS评分为9.4。如果成功利用该漏洞，攻击者可能会获得未经授权访问Navidrome数据库的权限，转储敏感数据并绕过安全措施。攻击者还能够利用漏洞暴力破解加密密钥，从而控制用户账户。CVE-2024-47062漏洞影响Navidrome v0.52.5及之前版本，该漏洞已在v0.53.0版本中得到修复。

https://securityonline.info/cve-2024-47062-cvss-9-4-flaws-discovered-in-navidrome-music-server-expose-sensitive-data/

---

6 攻击者声称窃取Oracle员工数据

攻击者在黑客论坛中发帖称，Oracle公司的数据遭到泄露。据称，此次泄露发生于2024年9月，涉及泄露4002行员工的信息。昵称为“888”的用户发布帖子称，此次泄露事件是由于第三方漏洞导致的，泄露的数据包括敏感信息，如全名、职位、公司名称、电子邮件地址和物理地址。截至目前，Oracle尚未对该说法进行回应。该公司可能正在进行内部调查，以评估该事件的有效性。

https://cybersecuritynews.com/hackers-claim-leak-of-oracle-data/

---