每日安全简讯(20250408)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 安天发布城市侧网络安全保障经验总结报告

2025年4月7日，安天发布《重大活动城市侧网络安全保障的经验总结与工作展望》报告。报告内容是安天参与重大活动城市侧工作规划统筹，提出了整体保障运行概念框架和配套工作资源体系，组建了跨部门的安天网安护卫队，历时493天，4个工作阶段，15天7×24小时安全值守，实现了“重大隐患提前处置，活动关联风险即时清零，整体态势平稳可控”的既定目标。

https://mp.weixin.qq.com/s/KP7GDaY7lvxHwNTfaOqHpQ

---

2 PostgreSQL管理工具曝远程代码执行漏洞

2025年4月7日，研究员发现PostgreSQL数据库管理工具pgAdmin被曝存在严重远程代码执行漏洞（CVE-2025-2945），影响版本≤9.1。攻击者通过构造恶意API请求，利用Python的eval()函数在受控系统执行任意命令，此漏洞可能导致数据库篡改、凭证窃取及内网渗透。该漏洞虽然需要身份验证以限制被广泛利用，但是被盗用的帐户或网络钓鱼攻击可以绕过此验证。pgAdmin团队已在9.2版本中移除eval()函数并修复逻辑，建议用户立即升级。

https://gbhackers.com/critical-pgadmin-flaw/?web_view=true

---

3 Oracle公司向部分客户确认了云数据泄露

2025年4月3日，Oracle公司向部分客户确认，攻击者通过入侵其2017年停用的遗留系统窃取了历史客户凭证。Oracle声称外泄数据不涉及敏感信息，但攻击者向美国科技网站BleepingComputer提供的样本显示泄露数据至2024年末，并于黑客论坛公开了2025年更新的数据，表明漏洞可能未被彻底修复。Oracle建议客户重置关联账户密码，但尚未公布受影响客户范围。

https://www.bleepingcomputer.com/news/security/oracle-privately-confirms-cloud-breach-to-customers/

---

4 研究者揭示通过被盗邮箱二次钓鱼攻击手法

2025年4月4日，研究人员指出攻击者通过被盗取的企业邮箱，向其公司的营销团队发起新的钓鱼攻击。在获取邮件平台权限后伪装成企业机构发送钓鱼内容。其特殊性在于利用合法邮件服务的信誉绕过安全检测，且代码特征区别于以往的网络钓鱼攻击。研究人员呼吁加强邮件账户防护，并提醒加密货币用户避免通过邮件链接操作敏感数据。

https://www.bleepingcomputer.com/news/security/poisonseed-phishing-campaign-behind-emails-with-wallet-seed-phrases/

---

5 针对E-ZPass电子收费系统钓鱼短信攻击激增

2025年4月6日，研究员指出近期针对美国东部E-ZPass电子收费系统的钓鱼短信攻击再度激增，攻击者通过iMessage及短信发送虚假的“未缴通行费”通知，诱骗用户访问高仿钓鱼网站，该网站冒充 E-ZPass、The Toll Roads、FasTrak、Florida Turnpike 或其他试图窃取其个人信息（包括姓名、电子邮件地址、实际地址和信用卡信息）的收费机构。

https://www.bleepingcomputer.com/news/security/toll-payment-text-scam-returns-in-massive-phishing-wave/

---

6 新型攻击利用LLM应用层过度授权窃取数据

2025年4月7日，研究员指出随着大语言模型（LLM）应用加速普及，其集成环境中的权限管理漏洞正催生新型网络攻击。攻击者不再直接针对LLM模型，而是利用应用层对模型资源访问的过度授权，窃取企业核心数据、操控决策流程或导致关键服务中断。尽管当前攻击案例尚未大规模爆发，但安全机构警告，LLM与业务系统深度绑定的趋势将放大此类风险。

https://www.helpnetsecurity.com/2025/04/07/compromised-llm-attacks-video/

---