1、安卓版Chrome浏览器测试新的身份信息验证功能

https://source.android.com/docs/security/features/identity-credentials

谷歌正在为Android版的Chrome浏览器测试一项名为“数字凭证 API”的新功能，该功能允许网站安全地请求存储在移动钱包中的身份信息。根据Google的官方文档，Identity Credential API提供了一个接口，可以访问一个安全存储区，该存储区存储着现实世界的身份证明文件，包括可以是护照、驾驶执照、或者用户上传的任何其他身份证明文件。目前尚不清楚该功能何时可正式推出，谷歌仍在试验该想法。

2、Fortra FileCatalyst工作流应用存在严重SQL注入漏洞

https://www.fortra.com/security/advisory/fi-2024-008

工作流传输应用Fortra FileCatalyst Workflow存在严重的安全漏洞，该漏洞允许攻击者通过工作流Web应用程序的各个URL端点中的JOBID参数执行SQLi，修改包括创建管理用户以及删除或修改应用程序数据库中的数据。该漏洞编号为CVE-2024-5276，CVSS评分为9.8，它影响FileCatalyst Workflow版本5.1.6 Build135及更早版本。该漏洞已在版本5.1.6 build139中得到解决。

3、CISA警告大多数开源项目未使用内存安全代码

https://www.cisa.gov/sites/default/files/2024-06/joint-guidance-exploring-memory-safety-in-critical-open-source-projects-508c.pdf

美国网络安全和基础设施安全局(CISA)澳大利亚(ASD、ACSC)和加拿大组织(CCCS)共同签署了一项研究报告，调查了172个知名的开源项目是否容易受到内存安全缺陷的影响。内存安全语言是旨在防止常见内存相关错误（例如缓冲区溢出、释放后使用和其他类型的内存损坏）的编程语言。相关研究项目是对2023年12月发布的“内存安全路线图案例”的后续行动，旨在提高人们对内存安全代码重要性的认识。

4、新型信用卡网络盗刷器针对多款内容管理系统目标

https://blog.sucuri.net/2024/06/caesar-cipher-skimmer.html

研究人员发现名为Caesar Cipher Skimmer的新型信用卡网络盗刷器已将WordPress、Magento和OpenCart等多个内容管理系统(CMS)平台作为攻击目标，信用卡网络盗刷器是指注入电子商务网站以窃取财务和支付信息的恶意软件。攻击者对包括与WordPress的WooCommerce插件相关的结帐PHP文件（“form-checkout.php”）进行恶意修改，以窃取信用卡详细信息。

5、TeamViewer检测到内部IT环境疑似遭到入侵

https://thehackernews.com/2024/06/teamviewer-detects-security-breach-in.html

TeamViewer公司在一份声明中表示在2024年6月26日检测到其内部IT环境在“异常”，并立即启动了响应团队和响应程序。该公司进一步指出，其企业IT环境与产品环境完全隔绝，没有证据表明任何客户数据因该事件受到影响，目前正与全球知名的网络安全专家团队一起展开调查，并实施了必要的补救措施。TeamViewer公司没有透露此次入侵背后的黑手和如何实施的细节，但表示正在进行调查，并将在获得新信息时及时更新。

6、BlackSuit勒索组织声称对KADOKAWA发动攻击

https://tp.kadokawa.co.jp/.assets/240627_release_en_wD9vY5XU.pdf

BlackSuit勒索软件团伙声称最近对KADOKAWA公司发动了网络攻击，KADOKAWA是一家日本媒体集团，旗下经营着多家电影、出版和游戏行业的公司。KADOKAWA公司报告称由于6月8日遭受的网络攻击，集团的多个网站目前正在经历服务中断，该事件影响了该公司及其子公司的大部分业务，因为它们托管在同一个数据中心，这些数据中心被勒索软件加密。BlackSuit勒索软件团伙威胁说如果不支付赎金，他们将公布被盗数据。

7、GitLab严重漏洞允许以任何用户权限运行管道

https://about.gitlab.com/releases/2024/06/26/patch-release-gitlab-17-1-1-released/#run-pipelines-as-any-user

影响GitLab社区版和企业版产品的某些版本存在的严重漏洞可被攻击者利用以任何用户的身份运行管道功能。GitLab是一款流行的基于Web的开源软件项目管理和工作跟踪平台，据估计拥有100万活跃的许可用户。安全漏洞编号为CVE-2024-5655，严重程度评分为9.6（满分10分），GitLab管道是持续集成/持续部署(CI/CD)系统的一项功能，用户能够自动并行或按顺序运行流程和任务，以构建、测试或部署代码更改。GitLab已发布17.1.1、17.0.3和16.11.5版本解决该漏洞，并建议用户尽快应用更新。

8、Kimsuky组织使用恶意Chrome扩展窃取数据

https://www.zscaler.com/blogs/security-research/kimsuky-deploys-translatext-target-south-korean-academia

APT组织Kimsuky使用名为TRANSLATEXT的新恶意Google Chrome扩展程序窃取敏感信息进行情报收集工作。TRANSLATEXT扩展程序伪装成Google翻译，它整合了JavaScript代码以绕过Google、Kakao和Naver等服务的安全措施，窃取电子邮件地址、用户名、密码、cookie，还可以从Blogger Blogspot URL获取命令，以便截取新打开的标签的屏幕截图以及从浏览器中删除所有cookie等。攻击活动是针对韩国学术界，特别是关注朝鲜政治事务的学术界。Kimsuky是与朝鲜有关的的黑客组织，据了解该组织至少自2012年以来一直活跃，长期策划针对韩国实体的网络间谍活动和出于经济动机的攻击。

9、SnailLoad侧信道攻击利用延迟推断用户网络活动

https://snailload.com/

研究人员发现了一种名为SnailLoad的新型侧信道攻击，可用于远程推断用户的网络活动。这一安全问题存在于所有的互联网连接中，通过利用网络数据包的延迟，攻击者能够推断其他人互联网连接上的当前网络活动，包括使用此信息推断用户访问的网站或用户观看的视频。该攻击方法的一个显著特点是，它无需进行中间人(AitM)攻击或在物理上接Wi-Fi 连接来嗅探网络流量，而是诱骗目标从威胁行为体控制的服务器加载无害资产（例如文件、图像或广告），然后利用受害者的网络延迟作为侧信道来确定受害者系统上的网络活动。研究人员表示，OpenWrt社区以及360、华为、Linksys、Mercury、TP-Link、Ubiquiti和小米等路由器供应商正在准备针对该漏洞的补丁。

10、Google浏览器将于11月起屏蔽Entrust证书

https://security.googleblog.com/2024/06/sustaining-digital-certificate-security.html

谷歌宣布，将从2024年11月1日左右开始在其Chrome浏览器127版及更高版本开始屏蔽使用Entrust证书的网站，理由是这些网站不符合合规性，且该证书颁发机构无法及时解决安全问题。过去几年中，公开披露的事件报告突显了Entrust的一系列令人担忧的行为，这些行为未能达到安全预期，并且削弱了人们对其作为公众信任的证书颁发机构所有者的能力、可靠性和诚信的信心。预计屏蔽措施将涵盖Windows、macOS、ChromeOS、Android和Linux版本的浏览器。值得注意的例外是iOS和iPadOS版Chrome，因为Apple的政策不允许使用Chrome Root Store 。

声明

以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。