GPU中嚴重漏洞LeftoverLocals可導致未授權訪問
發布時間 2024-01-181月16日，在高性能計算和人工智能的快節奏世界中，GPU 已成為不可或缺的動力源。但在其令人印象深刻的功能的表面之下，潛伏著一個漏洞，威脅著數據安全的核心。此漏洞稱為 LeftoverLocals，是一個已發現的嚴重問題由 Trail of Bits 研究人員針對 AMD、Apple 和 Qualcomm 等領先制造商的通用圖形處理單元 (GPGPU) 進行研究。LeftoverLocals漏洞的癥結在于GPGPU 平臺中進程內存的隔離不充分。有權訪問 GPU 可編程接口的攻擊者可以利用此缺陷來讀取與其他用戶和進程隔離的內存。LeftoverLocals 的與眾不同之處在于它跨各種編程接口，例如 Metal、Vulkan 和 OpenCL。它涉及一系列操作系統和驅動程序，這使其成為一個需要解決的復雜問題。
2. Laravel框架RCE漏洞CVE-2018-15133被積極利用
1月17日，CISA）發布這是一個在 Web 開發社區中引起反響的嚴厲警告。將 Laravel 框架中的高嚴重性缺陷添加到其已知的可利用漏洞 (KEV) 目錄中不僅僅是例行更新，它對開發人員和組織來說都是一個紅色警報。Laravel 以其富有表現力和優雅的語法而聞名，長期以來一直是尋求高效、巧妙地制作無縫應用程序的開發人員的首選Web 應用程序框架。其豐富的功能（包括依賴注入、數據庫抽象和全面的測試工具）使其成為構建創新 Web 解決方案的首選。CVE-2018-15133 特別令人擔憂的是它存在于 Laravel Framework 5.5.40和 5.6.x 到 5.6.29的版本中。如此廣泛的網絡意味著許多應用程序可能面臨風險。
3. 谷歌修復Chrome已被利用的零日漏洞CVE-2024-0519
1月16日，谷歌發布了安全更新，解決今年首個被廣泛利用的 Chrome 零日漏洞。該漏洞（編號為CVE-2024-0519）是由于 Chrome JavaScript 引擎中的越界內存訪問。Anonymous 于 2024 年 1 月 11 日報告了該漏洞。Mac 的穩定版本已更新為 120.0.6099.234，Linux 的穩定版本更新為 120.0.6099.224，Windows 的穩定版本更新為 120.0.6099.224/225，并將在未來幾天/幾周內推出。遠程攻擊者可以通過誘騙用戶訪問精心設計的 HTML 頁面來利用該缺陷，從而可能利用堆損壞。與往常一樣，谷歌沒有分享利用 CVE-2024-0519 零日漏洞進行攻擊的詳細信息。
4. 研究團隊發現多個惡意軟件可繞過XProtect的檢測
1月16日，SentinelOne 的一份報告通過三個惡意軟件示例強調了這個問題，這些惡意軟件可以逃避 macOS 的內置反惡意軟件系統 XProtect。SentinelOne 報告中的第一個例子是 KeySteal，這是一種于 2021 年首次記錄的惡意軟件，自那時起它已經發生了顯著的發展。它作為 Xcode 構建的 Mach-O 二進制文件分發，名為“UnixProject”或“ChatGPT”，并嘗試建立持久性并竊取鑰匙串信息。第二個是 Atomic Stealer，它于 2023 年 5 月首次由 SentinelOne 記錄為一種新的基于 Go 的竊取程序，并于 2023 年 11 月由 Malwarebytes 發現。第三個是 CherryPie，也稱為“Gary Stealer”或“JaskaGo”，于 2023 年 9 月 9 日首次在野外出現。
5. Remcos RAT通過網盤偽裝成游戲主題在韓國進行傳播
1月16日，網絡硬盤過去曾被用來傳播njRAT、UDP RAT 和 DDoS 僵尸網絡等惡意軟件，但 AhnLab 安全應急響應中心 (ASEC) 的最新分析表明，該技術已被用來傳播 Remcos RAT。在這些攻擊中分析發現用戶被誘騙打開誘餌文件，將其冒充為成人游戲，這些文件在啟動時會執行惡意 Visual Basic 腳本，以運行名為“ffmpeg.exe”的中間二進制文件。Remcos（又名遠程控制和監視）是一種復雜的 RAT，有利用對受感染主機進行未經授權的遠程控制和監視，從而使威脅行為者能夠竊取敏感數據。
6. Chrome更新隱身警告承認谷歌在隱身模式下跟蹤用戶
1月17日，谷歌正在更新有關 Chrome 隱身模式的警告，以明確谷歌和其他公司運營的網站仍然可以在網絡瀏覽器的半隱私模式下收集您的數據。這一變化是在谷歌準備解決一項集體訴訟之際做出的，該訴訟指控該公司侵犯與 Chrome 隱身模式相關的隱私權。擴展警告最近被添加到 Chrome Canary中。該警告似乎直接解決了訴訟的一項投訴，即隱身模式的警告并未明確表明谷歌從隱身模式的用戶收集數據。許多精通技術的人已經知道，雖然網絡瀏覽器中的隱私模式會阻止某些數據存儲在您的設備上，但它們不會阻止網站或互聯網服務提供商的跟蹤。
京公網安備11010802024551號