【报告：内部报告表明加密货币交易所Bitfinex存在安全漏洞】

【报告：内部报告表明加密货币交易所Bitfinex存在安全漏洞】LedgerLab发布了针对Bitfinex安全漏洞的调查，调查发现，访问交易所系统所需的两个安全密钥存储在一个设备上。这些密钥提供了对安全令牌的访问权限，这使攻击者能够操纵Bitfinex的操作系统。该文件称，如果一个实体控制了该计划中三个密钥中的两个，它将赋予该实体对所有比特币的控制权。据悉，此次调查的机密报告由Bitfinex的所有者之一iFinex委托，由加拿大加密货币咨询和开发公司LedgerLabs制作，从未公开。但有组织犯罪和腐败报告项目已获得该报告的一个版本，其中包含详细的调查结果、结论和建议。

Google Chrome v126.0.6478.114/.115正式版发布 修复4个高危安全漏洞

GoogleChromev126.0.6478.114/.115正式版发布修复4个高危安全漏洞下面是此次更新的漏洞概览：高危安全漏洞：CVE-2024-6100，为JavaScriptV8引擎中的类型混淆问题，该漏洞由安全研究人员@0x10n提交，漏洞奖金为20,000美元高危安全漏洞：CVE-2024-6101，为WebAssembly中的不适当实现，该漏洞由安全研究人员@ginggilBesel报告，漏洞奖金为7,000美元高危安全漏洞：CVE-2024-6102，Dawn中的越界内存访问，该漏洞由安全研究人员@wgslfuzz报告，漏洞奖金待定高危安全漏洞：CVE-2024-6103，Dawn中的Use-after-Free问题，该漏洞由安全研究人员@wgslfuzz报告，漏洞奖金待定除了四个外部安全研究人员反馈的高危漏洞外，谷歌内部还发现了两个漏洞并通过此版本进行修复，不过这两个漏洞的细节谷歌并没有提供，也没有或者不需要分配CVE编号。使用Chrome浏览器的用户请转到关于页面检查更新，亦可通过蓝点网文件下载服务器获取此次更新的离线安装包进行覆盖升级：https://dl.lancdn.com/landian/soft/chrome/m/...PC版：https://www.cnbeta.com.tw/articles/soft/1435302.htm手机版：https://m.cnbeta.com.tw/view/1435302.htm

微软发现严重安全漏洞，影响数十亿下载量 Android 应用

微软发现严重安全漏洞，影响数十亿下载量Android应用https://www.ithome.com/0/765/873.htm“DirtyStream”漏洞的核心在于恶意应用可以操纵和滥用Android的内容提供程序系统。该系统通常用于设备上不同应用之间安全地交换数据，并包含严格的数据隔离、特定URI附加权限以及文件路径验证等安全措施，以防止未经授权的访问。然而，如果内容提供程序系统没有被正确实现，就会产生漏洞。微软研究人员发现，不当使用“自定义意图”（customintents，Android应用组件之间的通信系统）可能会暴露应用的敏感区域。例如，易受攻击的应用可能无法充分检查文件名或路径，从而为恶意应用提供了可乘之机，使其可以将伪装成合法文件的恶意代码混入其中。攻击者利用“DirtyStream”漏洞后，可以诱骗易受攻击的应用覆盖其私有存储空间中的关键文件。这种攻击可能使得攻击者完全控制应用，未经授权访问敏感用户数据，或拦截私密登录信息。微软的研究表明，此漏洞并非个例，研究人员发现许多流行的Android应用都存在内容提供程序系统实现不当的问题。例如，拥有超过10亿安装量的小米文件管理器和拥有约5亿安装量的WPSOffice都存在此漏洞。

安全漏洞 美国网件79款路由器可被劫持

安全漏洞美国网件79款路由器可被劫持据Techweb援引7月份安全漏洞调查称，知名路由器公司NETGEAR多达79款路由器存在大量安全漏洞。包括NetgearR7800、D6000、R6000、R7000、R8000、R9000等型号路由器，在不同程度上均存在安全风险，攻击者可通过这些漏洞，获取设备的操作权限。目前NETGEAR已发布针对受影响产品型号的固件修补程序，同时强烈建议尽快下载最新固件修补程序来保证安全。

微软将包含员工凭证的服务器暴露在互联网上长达一个月之久

微软将包含员工凭证的服务器暴露在互联网上长达一个月之久SOCRadar的研究人员于2月6日发现了这一漏洞，并立即通知了微软。该服务器包含公司数据，包括登录其他内部数据库和系统的凭证。雷德蒙德于3月5日保护了该服务器。目前还不清楚在研究人员发现之前，这些数据被公开访问了多久。该漏洞的严重程度足以使其他安全系统，包括目前正在运行的服务，面临被入侵的严重风险。SOCRadar研究员CanYoleri介绍说："[暴露的数据]可能导致更严重的数据泄露，并可能危及正在使用的服务。"虽然SOCRadar证实该服务器现已安全，但微软拒绝对此事件发表评论。目前还不清楚微软是否用新密码保护了所有其他可能暴露的系统，除研究人员外，是否有其他人访问过这些数据也是未知数。虽然错误很低级，但微软也并不是数据泄露和外泄的新手。《防火墙时报》列出了自2010年以来该公司或其产品造成内部或第三方安全漏洞的21次事件。只有少数是由于内部失误，而不是来自坏人的攻击。上一次内部事故发生在2019年，当时一个客户服务和支持服务器被"错误配置"，导致2.5亿微软客户的数据泄露，这些数据可追溯到2005年。微软在2019年12月5日的安全组变更后，让该服务器大开着。在搜索引擎开始索引其文件后，研究人员发现了这台不安全的服务器。微软在12月29日收到泄漏通知后迅速保护了服务器。至于外部威胁，微软是一个巨大的目标，因此攻击者不断攻击该公司的产品和服务也就不足为奇了。最近，美国网络安全审查委员会就对被怀疑是中国国家支持的黑客发起的"可预防的"ExchangeOnline黑客攻击事件对雷德蒙德进行了抨击。这次攻击导致黑客有权访问500多名政府雇员的电子邮件，其中包括白宫高级内阁成员和国会议员。...PC版：https://www.cnbeta.com.tw/articles/soft/1426936.htm手机版：https://m.cnbeta.com.tw/view/1426936.htm

宝塔就“大量用户面板被挂马”发表公告：未发现安全漏洞

宝塔就“大量用户面板被挂马”发表公告：未发现安全漏洞公告说：当前有个别用户反馈被挂马的情况，我司立即组织技术团队跟进排查，经过2天的紧急排查，暂未发现Nginx以及面板的安全漏洞，也没有大规模出现被挂马的情况；经分析，此木马主要行为是篡改Nginx主程序，以达到篡改网站响应内容。目前累计收到10个用户反馈网站被挂马，均为境外服务器，我们继续全力跟进和协助用户排查Nginx挂马情况，直到溯源出结果。——