HackerOne的員工竊取漏洞報告并出售給受影響客戶
發布時間 2022-07-051、HackerOne的員工竊取漏洞報告并出售給受影響客戶
據媒體7月2日報道，HackerOne的一名員工竊取了通過漏洞賞金平臺提交的漏洞報告，并將其泄露給受影響的客戶以牟取經濟利益。經過調查，該員工是為眾多客戶項目分類漏洞披露的工作人員之一，自4月4日至6月23日以來訪問了該平臺，已經聯系了7個客戶。他使用了名稱"rzlr"，以及威脅和恐嚇性的語言與客戶交互，已成功收到賞金。6月30日，HackerOne解雇了這名員工。
https://www.bleepingcomputer.com/news/security/rogue-hackerone-employee-steals-bug-reports-to-sell-on-the-side/
2、Google發布安全更新，修復Chrome中已被利用的0 day
7月4日，Google發布為Windows用戶發布Chrome 103.0.5060.114，修復了2022年Chrome中的第4個0 day。該漏洞是WebRTC（Web實時通信）組件中基于堆的緩沖區溢出漏洞（CVE-2022-2294），由Avast的研究團隊于7月1日披露。Google透露該漏洞已被在野利用，但并未公開關于攻擊的技術細節等信息。此外，此次更新還修復了V8中的類型混淆漏洞（CVE-2022-2295）。
https://securityaffairs.co/wordpress/132863/hacking/4th-chrome-zero-day.html
3、研究人員披露Zoho產品中漏洞CVE-2022-28219的細節
媒體7月1日報道，研究人員披露了Zoho ManageEngine ADAudit Plus工具中漏洞（CVE-2022-28219）的技術細節和概念驗證漏洞利用代碼。該漏洞CVSS評分為9.8，可被未經身份驗證的攻擊者利用來遠程執行代碼并破壞Active Directory帳戶。該漏洞包括3個問題：不受信任的Java反序列化、路徑遍歷和盲XML外部實體(XXE)注入。Zoho在3月底的ADAudit Plus build 7060中修復了這一漏洞。
https://www.bleepingcomputer.com/news/security/zoho-manageengine-adaudit-plus-bug-gets-public-rce-exploit/
4、ReversingLabs發布關于AstraLocker 2.0的分析報告
媒體7月1日稱，ReversingLabs發布了關于勒索軟件AstraLocker 2.0的分析報告。研究人員表示，它主要進行快速攻擊，可直接從電子郵件附件中投放payload。攻擊者使用的誘餌是Word文檔，隱藏了帶有勒索軟件payload的OLE 對象，嵌入的可執行文件使用文件名“WordDocumentDOC.exe”，并使用“smash-n-grab”策略。另一個特殊之處是使用了SafeEngine Shielder v2.4.0.0來打包可執行文件，這是一個過時的打包程序，幾乎不可能進行逆向工程。
https://blog.malwarebytes.com/ransomware/2022/07/astralocker-2-0-ransomware-isnt-going-to-give-you-your-files-back/
5、日本移動運營商KDDI突發中斷，3915萬個用戶通信受阻
媒體7月3日稱，日本三大移動運營商之一的KDDI Corp.突發中斷，多達3915萬個用戶的通信受阻。這場中斷始于上周六凌晨1點35分左右，影響了包括銀行業務、天氣數據、貨運和包裹遞送系統以及聯網汽車服務在內的多個領域。KDDI表示，其語音呼叫系統的故障引發了流量集中，導致通信受限，KDDI社長已出面鞠躬致歉。截至上周日上午11點左右，KDDI西日本服務區的修復工作已經完成，日本東部恢復服務的工作于周日晚上結束。
https://www.japantimes.co.jp/news/2022/07/03/business/tech/kddi-au-system-outage/
6、Google指出2022上半年被利用的漏洞中一半與舊漏洞有關
據7月3日報道，Google Project Zero研究人員發布一份報告，稱在2022上半年，攻擊中利用的漏洞中至少有一半與未正確修復的舊漏洞有關。報告指出，截至2022年6月15日，已檢測到18個0 day被披露并在野利用。當分析這些漏洞時，發現至少9個是先前修復的漏洞的變種。例如，最近發現的Windows漏洞Follina（CVE-2022-30190），是MSHTML零日漏洞（CVE-2021-40444）的變種。
https://securityaffairs.co/wordpress/132813/security/h1-2022-zero-day-variants-previous-flaws.html
京公網安備11010802024551號