1、QNAP 严重漏洞导致代码注入

https://www.securityweek.com/critical-qnap-vulnerability-leads-to-code-injection/

QNAP Systems 本周发布了一个严重漏洞的警告，该漏洞可能允许攻击者在网络存储 (NAS) 设备上注入恶意代码。新披露的漏洞编号为CVE-2022-27596（CVSS 评分为 9.8），被描述为影响 QuTS hero 和 QTS 的 SQL 注入漏洞。“已报告一个漏洞影响运行 QTS 5.0.1 和 QuTS hero h5.0.1 的 QNAP 设备。如果被利用，此漏洞允许远程攻击者注入恶意代码，”QNAP 在其公告中警告说。该公司已针对该漏洞发布补丁，并敦促用户将设备更新至QTS 5.0.1.2234 build 20221201及更新版本，或QuTS hero h5.0.1.2248 build 20221215及更新版本。

2、GitHub 吊销被盗的 GitHub Desktop 和 Atom 代码签名证书

https://www.securityweek.com/github-revokes-code-signing-certificates-following-cyberattack/

代码托管平台 GitHub 周一宣布吊销用于 GitHub Desktop 和 Atom 应用程序的三个数字证书。这三个证书于 2022 年 12 月 6 日被盗，此前未经授权的第三方使用受损的个人访问令牌 (PAT) 作为机器帐户从 Atom、GitHub Desktop 和其他已弃用的 GitHub 拥有的组织克隆存储库。GitHub 于 12 月 7 日撤销了泄露的凭据。

3、研究人员发布了VMware vRealize Log RCE 漏洞PoC

https://securityaffairs.com/141628/hacking/vmware-vrealize-log-rce-poc-resealed.html

Horizon3 安全研究人员发布了 VMware vRealize Log Insight RCE 漏洞 CVE-2022-31706（CVSS 9.8/10） 的概念验证 (PoC) 代码。PoC 利用代码将触发 VMware vRealize Log 中的一系列漏洞，以实现对易受攻击的安装的远程代码执行。

4、新版本的 Prilex PoS 恶意软件可以窃取NFC 交易数据

https://securelist.com/prilex-modification-now-targeting-contactless-credit-card-transactions/108569/

Prilex已经从以 ATM 为中心的恶意软件发展成为独特的模块化 PoS 恶意软件。这是一种高度先进的恶意软件，采用独特的加密方案，在目标软件中进行实时修补、强制协议降级、操纵密码、进行GHOST 交易和进行信用卡欺诈——即使是在受所谓不可破解的 CHIP 和 PIN 技术保护的卡上也是如此。

5、开源密码管理软件KeePass被发现存在安全漏洞

https://securityaffairs.com/141571/social-networks/facebook-instagram-bug.html

开源密码管理软件KeePass背后的开发团队正在争论一个新发现的漏洞，该漏洞允许攻击者以纯文本方式偷偷导出整个数据库。KeePass是一个非常流行的开源密码管理软件，它允许用户使用本地存储的数据库来管理密码，而不是像LastPass或Bitwarden这样的云托管数据库。新的漏洞现在被跟踪为CVE-2023-24055，它使攻击者能够对目标系统进行写访问，以更改KeePass XML配置文件并注入恶意触发器，以明文形式导出数据库，包括所有用户名和密码。

6、Zendesk员工被黑致用户个人信息外泄

https://www.10lun.com/article/176778.html

知名云计算客服软件企业Zendesk两周前通知客户，数名员工遭到钓鱼短信攻击被窃取资料，导致客户个人信息外泄。

7、黑客组织“晓骑营”攻陷韩国数十家网站

https://www.anquanke.com/post/id/285795

日前，韩国网络振兴院证实，韩国12家学术网站被黑客组织“晓骑营”攻击，至今网站还处于无法连接的状态。

8、Argo CD发布多个高危漏洞安全风险通告

https://www.secrss.com/articles/51419

Argo CD官方发布Argo CD身份认证绕过漏洞(CVE-2023-22482)和Argo CD授权绕过漏洞(CVE-2023-22736)通告。

9、NIST发布《人工智能风险管理框架》正式版

https://www.secrss.com/articles/51429

【据美国NIST网站1月26日报道】1月26日，《人工智能风险管理框架》（RMF）发布，旨在提供设计、开发、部署和使用人工智能系统的指南，降低应用人工智能技术的风险。

10、北欧现模仿Lockbit团伙的山寨网络犯罪分子

https://securityaffairs.com/141491/cyber-crime/crooks-mimicking-lockbit-gang.html

近日，关于针对北欧中小企业的基于 Lockbit locker 的攻击的报告表明，当地的网络骗子开始使用Lockbit locker 变种。最近，针对北欧公司的勒索软件攻击显着增加。这些攻击是使用 LockBit 变种进行。Lockbit 勒索软件集一直以各行各业的各种规模的公司为目标，造成了严重的破坏和财务损失。

免责声明

以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。