CISA忠告Broadcom VMware vCenter缝隙遭利用

颁布功夫 2026-01-27

1. CISA忠告Broadcom VMware vCenter缝隙遭利用


1月24日 ，美国网络安全和基础设施安全局（CISA）近日将Broadcom VMware vCenter Server的严沉缝隙CVE-2024-37079（CVSS评分9.8）纳入已知利用缝隙（KEV）目录。该缝隙源于vCenter Server对DCERPC和谈实现的堆溢出缺点 ，攻击者通过网络接见即可发送特造数据包触发缝隙 ，实现远程代码执行或权限提升。vCenter Server是VMware开发的虚构化环境集中治理平台。2024年6月 ，VMware建复了CVE-2024-37079及关联缝隙CVE-2024-37080 ，二者均被评估为“严沉”级别。博通公司随后确认 ，CVE-2024-37079已遭现实利用 ，但具体攻击细节尚未公开。在2025年亚洲黑帽大会上 ，钻研人员披露CVE-2024-37079实为四个DCE/RPC缝隙链的一部门 ，蕴含三个堆溢露马脚和一个权限提升缝隙。其中两个有关缝隙已于2024年9月建复 ，而特定堆溢露马脚可与CVE-2024-38813结合 ，在ESXi主机上获取远程root权限。钻研人员强调 ，通过组合利用这些缝隙 ，他们成功在2024年Matrix Cup缝隙挑战赛中实现未经授权的远程root接见。


https://securityaffairs.com/187267/security/u-s-cisa-adds-a-flaw-in-broadcom-vmware-vcenter-server-to-its-known-exploited-vulnerabilities-catalog.html


2. 11年未建复的GNU Telnetd高危缝隙遭协同攻击


1月23日 ，近日 ，一个存在长达11年的GNU InetUtils telnetd服务器严沉缝隙（CVE-2026-24061）被曝遭协同攻击。该缝隙源于telnetd未算帐用户节造的USER环境变量 ，攻击者可设置USER=-f root并通过telnet -a号令衔接 ，直接绕过身份验证获取root权限。缝隙影响2015年颁布的1.9.3至2.7版本 ，2.8版本已建复 ，无法升级的用户可通过禁用服务或关闭TCP 23端口缓解。GNU InetUtils是GNU项目守护的经典网络工具集 ，蕴含telnet/ftp等客户端和服务器 ，宽泛利用于Linux刊行版。只管Telnet因安全性差被SSH取代 ，但在工业物联网、摄像头、传感器及OT网络中仍普遍存在 ，这些设备常因兼容性或升级需沉启而持久运行旧版系统。Zerotak公司指出 ，OT/ICS环境中关键系统代替难题 ，遗留设备导致Telnet难以齐全裁减。威胁监控公司GreyNoise检测到针对该缝隙的攻击活动：1月21-22日 ，18个攻击IP通过60次Telnet会话提议100%恶意攻击 ，发送1525个数据包（总计101.6KB）。攻击利用Telnet IAC选项协商机造注入"USER=-f "参数 ，83.3%的指标是root用户。


https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-telnetd-auth-bypass-flaw-to-get-root/


3. Stanley新型MaaS通过Chrome商店分发垂钓扩大


1月26日 ，一种名为"Stanley"的新型恶意软件即服务（MaaS）近日引发安全界关注 ，该服务通过Chrome网上利用商店分发恶意扩大法式执行网络垂钓攻击。据端到端数据安全公司Varonis钻研 ，Stanley由化名一样的卖家开发 ，其主题职能是在用户浏览器中覆盖全屏iframe显示垂钓内容 ，同时维持地址栏显示合法域名以加强糊弄性。该MaaS服务支持Chrome、Edge和Brave浏览器静默自动装置 ，并提供定造化职能。其订阅模式蕴含多个层级 ，第一流的"Luxe套餐"建设Web节造面板 ，支持将恶意扩大直接颁布至Chrome利用商店。Stanley的攻击机造通过拦截页面导航并用iframe覆盖网页实现 ，操作人员可通过节造面板实时启用/禁用劫持规定 ，甚至直接向受害者浏览器推送通知诱导接见特定页面。技术层面 ，Stanley每10秒执行C2轮询并支持备份域轮换以加强抗关闭能力。其代码存在俄语注解、空catch块和不规芳误处置等问题 ，被评价为"技术粗糙"。但真正使其脱颖而出的是其怪异的分发战术 ，利用Chrome利用商店作为可信平台绕过通例审核流程。


https://www.bleepingcomputer.com/news/security/new-malware-service-guarantees-phishing-extensions-on-chrome-web-store/


4. 伪造CAPTCHA与App-V剧本传布Amatera窃密法式


1月26日 ，一项结合ClickFix步骤、伪造CAPTCHA及已署名Microsoft App-V剧本的新型恶意攻击正传布Amatera信息窃取恶意软件。据BlackPoint Cyber钻研 ，攻击始于伪造的CAPTCHA验证 ，诱导受害者通过Windows运行对话框执行恶意号令。这些号令滥用合法的SyncAppvPublishingServer.vbs剧本 ，通过受信赖的wscript.exe执行PowerShell代码 ，实现恶意活动荫蔽化。该攻击初次在ClickFix场景中集成App-V剧本。攻击流程蕴含多阶段验证：初始号令会查抄是否手动执杏注执行挨次是否合规及剪贴板内容是否被篡改 ，以躲避沙箱检测。若发现分析环境 ，执行将无期限暂停以亏损自动化分析资源。满足前提后 ，恶意软件从Google日历文件中检索base64编码的配置数据 ，通过WMI框架天生暗藏的32位PowerShell过程 ，将嵌套有效载荷解密并加载至内存。后续阶段选取隐写术：加密的PowerShell有效载荷嵌入公共CDN托管的PNG图像 ，通过WinINet API动态提取 ，经LSB隐写术解析、GZip解压后内存执行。最终阶段解密并启动原生shellcode ，映射执行Amatera窃密法式。


https://www.bleepingcomputer.com/news/security/new-clickfix-attacks-abuse-windows-app-v-scripts-to-push-malware/


5. 多尔马卡巴门禁系统缝隙或致远程开门


1月26日 ，近日 ，多尔马卡巴（Dormakaba）物理门禁系统被曝存在严沉安全缝隙 ，可能使黑客远程打开大型机构大门。该缝隙由Atos旗下Eviden公司的网络安全征询公司SEC Consult专家发现 ，影响领域涵盖Dormakaba的Exos中央治理软件、硬件接见治理器及支持键盘、指纹、芯片卡接见的注册单元等主题产品。钻研团队共发现20余个缝隙类型 ，蕴含硬编码痛处与加密密钥、弱密码、身份验证缺失、不安全密码天生、本地权限提升、数据泄露、蹊径遍历及号令注入等。这些缝隙重要被欧洲大型企业使用 ，涉及工业公司、能源供给商、物流企业及机场运营商等高安全需要场景。SEC Consult指出 ，攻击者若利用这些缝隙 ，可直接解锁门禁、窃取接见PIN码 ，或在受控环境中提议进一步攻击。Dormakaba泄漏 ，可能数千名客户受影响 ，其中部门高安全需要客户风险尤为凸起。Dormakaba在从前一年半内持续颁布补丁及加固指南 ，并与重要客户合作建复系统缝隙 ，同时暗示尚未发现现实利用案例。


https://www.securityweek.com/access-system-flaws-enabled-hackers-to-unlock-doors-at-major-european-firms/


6. Crunchbase遭ShinyHunters攻击致超200万条数据泄露


1月26日 ，近日 ，企业数据平台Crunchbase证实产生严沉数据泄露事务。网络犯罪组织ShinyHunters宣称从其系统中窃取了超过200万条幼我纪录 ，因勒索未果 ，该组织在Tor暗网网站泄露了蕴含402MB数据的压缩文件。Crunchbase回应称 ，这次安全事务未对业务运营造成滋扰 ，目前缝隙已得到节造 ，系统安全状态已复原。据Crunchbase披露 ，事务产生后 ，公司立即礼聘网络安全专家协助调查 ，并已通知联国法律部门。作为事务响应流程的一部门 ，Crunchbase在审查泄露数据的具体内容 ，以确定是否必要凭据有关司法要求向受影响用户发送正式通知。该公司强调 ，攻击者颁布的文件蕴含企业网络中的特定信息 ，但主题业务系统未受内容性影响。值妥贴心的是 ，ShinyHunters组织近期沉启了其Tor数据泄露站点 ，将Crunchbase与SoundCloud、Betterment共同列入"数据泄露受害者名单" ，后两家公司此前均已证实遭逢类似攻击。


https://securityaffairs.com/187340/data-breach/shinyhunters-claims-2-million-crunchbase-records-company-confirms-breach.html