Google TensorFlow为建复RCE缝隙而不再支持YAML：Netgear颁布安全更新
颁布功夫 2021-09-08Google TensorFlow为建复RCE缝隙而不再支持YAML
Google开发的基于Python的机械进建和人为智能项目TensorFlow已经烧毁了对YAML的支持。TensorFlow代码中的yaml.unsafe_load()函数存在一个缝隙，追踪为CVE-2021-37678，评分为9.3。当利用反序列化YAML体式的Keras模型时，攻击者可利用该缝隙执行肆意代码。为建复此缝隙，TensorFlow决定齐全烧毁YAML的支持，转而使用JSON反序列化。
原文链接：
https://www.bleepingcomputer.com/news/security/googles-tensorflow-drops-yaml-support-due-to-code-execution-flaw/
Netgear颁布安全更新，建复影响其20款产品的缝隙
网络设备供给商Netgear于上周9月3日颁布了安全更新，建复影响其20款产品的3个缝隙。这些缝隙的代号别离为Demon's Cries、Draconian Fear和Seventh Inferno，目前前两个缝隙的PoC已经公开。其中，最严沉的是Demon's Cries，CVSSv3评分为9.8，可用于绕过身份验证并收受设备。Draconian Fear也是身份验证绕过缝隙，但只能用于劫持登录的治理员会话。钻研人员预计鄙人周一，即9月13日颁布关缝隙Seventh Inferno的技术细节。
原文链接：
https://therecord.media/demons-cries-authentication-bypass-patched-in-netgear-switches/
Node.js开发团队建复NPM包node-tar中的多个缝隙
Node.js开发团队建复了NPM包“tar”（别名node-tar）中的5个缝隙。其中较为严沉的是缝隙CVE-2021-37712和CVE-2021-37701。如国度缝隙数据库(NVD)中所述，这两个缝隙可用来创建和覆盖肆意文件，或执行肆意代码，CVSS评分均为8.2。这次建复的缝隙影响了该NPM包版本5.0.0之前的版本。
原文链接：
https://www.ehackingnews.com/2021/09/critical-flaws-in-npm-package-patched.html
中国香港Bilaxy遭到攻击，预计损失超过2100万美元
8月29日，中国香港的加密钱币买卖所Bilaxy称其遭到攻击，预计损失超过2100万美元。Bilaxy暗示，攻击产生在8月28日下午6点到7点之间，攻击者窃取了295个ERC-20币。目前，Bilaxy已终场了其网站上在进行买卖，并且建议客户临时不要将用于买卖的加密钱币存入买卖所。此表，该网站将暂停服务至少2周，用来分析黑客行为和更新系统，并尝试取回被盗的ERC-20币。
原文链接：
https://www.ehackingnews.com/2021/09/cryptocurrency-exchange-bilaxy-under.html
FortiGuard颁布2021年H1全球威胁态势的分析汇报
FortiGuard于8月份颁布了2021年H1全球威胁态势的分析汇报。汇报指出，2021年6月均匀每周勒索软件活动比一年前同期逾越10.7倍。其中，电信行业是攻击者的首要的指标，其次是当局、托管安全服务提供商、汽车和造作行业。僵尸网络也有所增长，今年岁首在35%的组织中检测到了僵尸网络活动，而这一比例在6个月后增长为51%。此表，攻击者更青睐于检测绕过技术和提权技术。
原文链接：
https://www.fortinet.com/content/dam/fortinet/assets/threat-reports/report-threat-landscape-2021.pdf
Positive Technologies颁布2021年工业风险的汇报
Positive Technologies于9月1日颁布了2021年工业信息安全风险的分析汇报。汇报指出，2020年，工业部门是仅次于当局的第二大攻击指标，有12%的攻击针对工业公司。在91%的工业公司中，攻击者能够渗入进入内网，之后攻击者就能够获得用户痛处并齐全节造基础设施。2021年5月，在The Standoff 2021的虚构靶场展示了信息安全对工业组织的影响，攻击者在两天内节造了加油站，终场了天然气供给并引发了爆炸。
原文链接：
https://www.ptsecurity.com/ww-en/analytics/ics-risks-2021/
京公网安备11010802024551号