每日安全简讯(20211226)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 网络钓鱼活动针对CoinSpot加密货币交易所窃取用户的2FA代码

一场新的网络钓鱼活动采用了提现确认的新主题，针对CoinSpot加密货币交易所用户，最终目标是窃取双因素认证(2FA)代码。更具体地说，攻击者从雅虎(Yahoo)的地址发送电子邮件，复制来自CoinSpot的真实电子邮件，要求收件人确认或取消取款交易。这些网络钓鱼信息还包括交易金额和比特币钱包地址等细节，以增加攻击的合法性。点击电子邮件中嵌入的任何一个按钮，受害者就会进入一个网络钓鱼登陆页面，该页面仿冒了CoinSpot的登录页面，并使用了一个与受欺骗的域名足够接近的域名，以避免引起目标的注意。


https://www.bleepingcomputer.com ... exchange-2fa-codes/

---

2 WordPress平台Flywheel存在子域名接管漏洞

一名安全研究人员声称，一个流行的WordPress托管平台上的子域接管漏洞可以让攻击者通过假冒合法网站向受害者部署恶意代码。该漏洞是在提供WordPress主机和相关服务的平台Flywheel上发现的。子域名接管发生在攻击者获得对目标域名的子域名的控制时，通常是当子域名在域名系统中具有规范名称，但没有主机为其提供内容。攻击者可以通过提供自己的虚拟主机，然后为其托管自己的内容来接管这个子域名。访问者将不知道是否发生了不好的事情，因为他仍然可以访问合法域名。通过子域名接管，攻击者可以从合法域名发送钓鱼邮件，执行跨站脚本攻击，甚至破坏与域名相关的品牌声誉。


https://portswigger.net/daily-sw ... r-researcher-claims

---

3 苹果修复了macOS的Gatekeeper绕过漏洞

苹果已经解决了macOS的一个漏洞，即使是在完全打过补丁的系统上，该漏洞也可以利用未经签名和未经公证的脚本应用程序绕过所有macOS安全保护机制。如果它们绕过了自动公证安全检查，应用程序就可以由Gatekeeper启动，Gatekeeper这是一个macOS安全功能，旨在验证下载的应用程序是否经过了公证和开发者签名。一旦针对绕过漏洞(CVE-2021-30853)的恶意应用程序在目标系统上启动，攻击者就可以利用它们下载并部署第二阶段的恶意有效载荷。


https://www.bleepingcomputer.com ... -gatekeeper-bypass/

---

4 美国知名公司Garett制造的金属探测器被发现9个漏洞

思科安全专家团队的研究人员在美国知名公司加勒特Garett生产的金属探测器上发现了多达9个漏洞。Garett的产品广泛应用于所有行业和部门。根据研究人员的说法，如果这些漏洞被利用，攻击者可以使检测器离线，并且监视、读取和修改它们的数据。研究人员透露，Garett使用的iC模块是所有问题的根源，这9个漏洞中有4个（CVE-2021-21901、CVE-2021-21903、CVE-2021-21905和CVE-2021-21906）是基于堆栈的缓冲区溢出漏洞，另外4个（CVE-2021- 21904、CVE-2021-21907、CVE-2021-21908和CVE-2021-21909）是目录遍历漏洞，一个是竞争条件漏洞（CVE-2021-21902）。


https://www.hackread.com/walk-th ... are-flaws-hackable/

---

5 Apache发布安全更新修复了HTTP Server的两个漏洞

Apache软件基金会已经发布了Apache HTTP服务器的2.4.52版本，该版本解决了CVE-2021-44790和CVE-2021-44224这两个漏洞，它们的CVSS严重程度得分分别为9.8和8.2。第一个漏洞是影响Apache HTTP server 2.4.51及更早版本的内存相关缓冲区溢出。CISA警告称，它可能会让远程攻击者控制受影响的系统。第二个漏洞允许攻击者在Apache HTTP server 2.4.7到2.4.51中伪造服务器端请求。


https://www.zdnet.com/article/ap ... er-fixes-two-flaws/

---

6 63.7万名阿尔巴尼亚公民的个人和工资数据在网上泄露

阿尔巴尼亚总理就一项涉及国家和私人雇员的政府数据库大量个人记录泄露一事道歉。一份包含63.7万人的身份证号码、就业和工资数据的文件被公开，并通过即时通讯应用程序被广泛分享。总理Edi Rama表示，正在调查泄漏事件，并称：“根据初步分析，这更像是内部渗透，而不是外部网络攻击。”另一起来自国家数据库的身份证记录泄露事件发生在阿尔巴尼亚4月份议会选举之前。


https://abcnews.go.com/Internati ... abase-leak-81913636

---