政府支持的黑客正在利用 WinRAR 中的已知漏洞

政府支持的黑客正在利用 WinRAR 中的已知漏洞 如果你正在使用压缩工具 WinRAR，那么建议是时候更新到最新版本了。 最近几周，谷歌的威胁分析小组 (TAG) 观察到多个政府支持的黑客组织正在利用 WinRAR 中的已知漏洞 CVE-2023-38831。 2023 年 8 月，RARLabs 发布了 WinRAR 的更新版本(版本 6.23)，修复了多个与安全相关的错误，其中一个错误是 CVE-2023-38831 逻辑漏洞。 虽然补丁已经发布，但许多用户并没有更新，所以仍然容易受到攻击。 WinRAR 版本 6.24 和 6.23 都包含安全漏洞的修复程序，但该应用没有自动更新功能，因此你必须手动下载并安装补丁。

简讯: Zero Day Initiative（ZDI）揭露WinRAR 高风险漏洞CVE-2023-40477

简讯: Zero Day Initiative（ZDI）揭露WinRAR 高风险漏洞CVE-2023-40477 可让远端攻击者传送恶意RAR档，受害者一旦开启档案，即可在其电脑上执行任意程式。 该漏洞在 WinRAR 6.23 版修复 消息来源:

《WinRAR_v7.11汉化版_烈火.exe》

《WinRAR_v7.11汉化版_烈火.exe》 简介：WinRAR_v7.11汉化版_烈火.exe是一款功能强大的文件压缩和解压缩软件，汉化版方便国内用户使用。它支持多种压缩格式，如RAR、ZIP等，能有效压缩文件大小，节省存储空间。具备文件加密功能，保护用户的隐私文件。还可对压缩包进行分卷压缩、修复损坏压缩包等操作，是文件管理的常用工具 标签： #WinRAR_v7.11 #文件压缩软件 #汉化版本 #文件加密 文件大小 NG 链接：https://pan.quark.cn/s/ccfe7b3d2f0f

WordPress 插件 ACF 被曝高危漏洞

WordPress 插件 ACF 被曝高危漏洞 Advanced Custom Fields（ACF）是一款使用频率较高的 WordPress 插件，已在全球超过 200 万个站点安装，近日曝光该插件存在 XSS（跨站点脚本）的高危漏洞。 ACF 的这个 XSS 漏洞允许网站在未经站长允许的情况下，未授权用户潜在地窃取敏感信息。 恶意行为者可能会利用插件的漏洞注入恶意脚本，例如重定向、广告和其他 HTML 有效负载。如果有用户访问被篡改的网站之后，用户设备就会感染并执行恶意脚本。目前官方已经发布了 6.16 版本更新，修复了上述漏洞。 来源 ， 来自：雷锋 频道：@kejiqu 群组：@kejiquchat 投稿：@kejiqubot

WinRAR没有自动更新功能，但你会想着马上修补它。

WinRAR没有自动更新功能，但你会想着马上修补它。 如果你使用的是WinRAR，那么在发现一个已经被攻击者利用的严重安全漏洞后，是时候更新到最新版本了。谷歌威胁分析小组(TAG)发现，自2023年初以来，多个政府支持的黑客组织一直在利用WinRAR漏洞。 TAG在一篇详细介绍WinRAR漏洞的博客文章中说:“现在有补丁可用，但许多用户似乎仍然容易受到攻击。”“监控小组观察到，来自许多国家的政府支持的行为者利用WinRAR漏洞作为其行动的一部分。” WinRAR 6.24和6.23版本都包含对安全漏洞的修复，但应用程序不会自动更新，所以你必须手动下载并安装补丁。没错，现在是2023年，最受欢迎的Windows应用程序之一仍然没有自动更新功能。 WinRAR漏洞允许攻击者在Windows用户打开ZIP存档中的PNG文件时执行任意代码。TAG将安全漏洞描述为“WinRAR中的一个逻辑漏洞，在处理精心制作的档案时导致多余的临时文件扩展，并在尝试打开扩展名包含空格的文件时，结合Windows的ShellExecute实现中的一个奇怪现象。” 标签: #WinRAR 频道: @GodlyNews1 投稿: @GodlyNewsBot

安全公司披露Chrome浏览器高危漏洞

安全公司披露Chrome浏览器高危漏洞 1 月 15 日消息，网络安全公司 Imperva Red 近日披露了存在于 Chrome / Chromium 浏览器上的漏洞细节，并警告称全球超过 25 亿用户的数据面临安全威胁。 该公司表示，这个追踪编号为 CVE-2022-3656 的漏洞可以窃取包括加密钱包、云提供商凭证等敏感数据。在其博文中写道：“该漏洞是通过审查浏览器与文件系统交互的方式发现的，特别是寻找与浏览器处理符号链接的方式相关的常见漏洞”。 Imperva Red 将符号链接（symlink）定义为一种指向另一个文件或目录的文件类型。它允许操作系统将链接的文件或目录视为位于符号链接的位置。Imperva Red 表示符号链接可用于创建快捷方式、重定向文件路径或以更灵活的方式组织文件。 在 Google Chrome 的案例中，问题源于浏览器在处理文件和目录时与符号链接交互的方式。具体来说，浏览器没有正确检查符号链接是否指向一个不打算访问的位置，这允许窃取敏感文件。该公司在解释该漏洞如何影响谷歌浏览器时表示，攻击者可以创建一个提供新加密钱包服务的虚假网站。然后，该网站可以通过要求用户下载“恢复”密钥来诱骗用户创建新钱包。 博文中写道：“这些密钥实际上是一个 zip 文件，其中包含指向用户计算机上云提供商凭证等敏感文件或文件夹的符号链接。当用户解压缩并将‘恢复’密钥上传回网站后，攻击者将获得对敏感文件的访问权限”。Imperva Red 表示，它已将该漏洞通知谷歌，该问题已在 Chrome 108 中得到彻底解决。建议用户始终保持其软件处于最新状态，以防范此类漏洞。 src: 果核剥壳