1、GitLab发布安全更新以修复漏洞

https://cybersecuritynews.com/gitlab-account-takeover-flaw

GitLab发布了适用于社区版和企业版的安全补丁，建议用户进行升级以修复漏洞。16.9.6、16.10.4和16.11.1之前的版本存在两个安全漏洞：一个是路径遍历漏洞（CVE-2024-2434，CVSS： 8.5），允许未经身份验证的攻击者读取受限制的文件并使应用程序崩溃（DoS）；另一个是存在于项目文件搜索中漏洞（CVE-2024-2829，CVSS：7.5），其中特制的通配符筛选器可触发拒绝服务攻击。16.9.6之前的版本和某些更高版本中包含两个漏洞：第一个漏洞（CVE-2024-4006）是由于GraphQL订阅未正确强制实施个人访问令牌范围，可能允许用户访问未经授权的数据；在第二个漏洞（CVE-2024-1347）中，一个特制的电子邮件地址可以绕过对组或实例的基于域的限制，这些限制现已在最新的GitLab版本中修补。

2、 Keras模型的Lambda层中存在安全漏洞

https://cybersecuritynews.com/lambda-layers-code-execution-supply-chain-ai-ml

在基于TensorFlow的Keras模型的Lambda层中存在一个新的供应链漏洞。此漏洞可能允许攻击者将任意代码注入任何AI/ML应用程序。在Keras 2.13版本之前构建的Lambda层都容易受到此类供应链攻击。攻击者可以向AI/ML开发人员创建和分发受木马攻击的流行模型。如果攻击成功，攻击者可以使用与正在运行的应用程序相同的权限在易受攻击的环境中执行不受信任的任意代码。

3、攻击者声称窃取印度电信公司BSNL的数据

https://thecyberexpress.com/bsnl-data-breach-2

2024年4月24日，一个名为“Perell”攻击者发布了一个据称属于BSNL的数据库。该数据库包含超过290万条记录。去年12月，Perell就曾在黑客论坛中声称窃取了BSNL的敏感数据。由于涉及的数据库数量庞大且具有敏感性，因此无法证实该事件的真实性。目前BSNL官方尚未发表任何官方声明或回应。

4、攻击者声称窃取新加坡在线招聘平台Glints的数据

https://thecyberexpress.com/glints-data-breach

2024年4月22日，一个攻击者在黑客论坛中声称窃取了一个数据库，其中包含与新加坡在线招聘平台Glints相关的员工记录。据称数据泄露包含大约1000条记录，其中包含Glint员工的个人身份信息（PII）。暴露的数据包括敏感详细信息，例如姓名、员工ID、职务、电子邮件地址、出生日期、实际地址、身份证号码，甚至银行账户信息。

5、DragonForce勒索软件可能由泄露的LockBit构建器生成

https://cyble.com/blog/lockbit-blacks-legacy-unraveling-the-dragonforce-ransomware-connection

DragonForce勒索组织于2023年11月开始进行勒索攻击活动，并针对受害者采用双重勒索策略。研究人员最近发现了一个基于LOCKBIT Black勒索软件的DragonForce勒索软件样本。LOCKBIT Black是LOCKBIT勒索软件的第三种变体。研究人员对使用泄露的LOCKBIT勒索软件构建器生成的二进制文件和DragonForce勒索软件进行了比较，发现两者在代码结构和功能上存在很大的相似之处。研究人员认为，DragonForce勒索软件背后的攻击者很可能利用泄露的LOCKBIT Black构建器来生成他们的勒索软件。

6、监控无边界，英国将通过《调查权法案》修正案

https://www.freebuf.com/articles/399704.html

securitylab网站消息，最近，尽管《调查权法案》修正案受到公民和人权倡导者的强烈反对，但英国现任国王还是对该法案予以批准。这意味着该法案即将获得通过，因为这是英国讨论和协调法案的最后一步。

7、Kaiser Permanente 数据泄露影响 1340 万患者

https://www.securityweek.com/kaiser-permanente-discloses-data-breach-impacting-13-4-million-patients/

美国医疗保健巨头 Kaiser Permanente 通知 1340 万名现任和前任患者，他们的个人信息已暴露给第三方广告商。

8、新的 R 编程漏洞使项目面临供应链攻击

https://thehackernews.com/2024/04/new-r-programming-vulnerability-exposes.html

R 编程语言中发现了一个安全漏洞，威胁参与者可能会利用该漏洞创建恶意 RDS（R 数据序列化）文件，从而在加载和引用时导致代码执行。

9、OKTA 警告在线服务面临前所未有的撞库攻击

https://securityaffairs.com/162464/hacking/okta-warned-spike-credential-stuffing-attacks.html

最近几周，Okta 观察到，在住宅代理服务、先前泄露的凭据列表（“组合列表”）和自动化工具的广泛普及的帮助下，针对在线服务的撞库攻击激增。

10、数千台Qlik Sense服务器受Cactus 勒索软件攻击

https://www.freebuf.com/news/399688.html

在安全研究人员警告 Cactus 勒索软件团伙利用 Qlik Sense 数据分析和商业智能 (BI) 平台中的三个漏洞的近五个月后，许多组织仍在面临该勒索团伙的威胁。

声明

以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。