印度麦当劳McDelivery利用曝出严沉安全缝隙

颁布功夫 2024-12-26

1. 印度麦当劳McDelivery利用曝出严沉安全缝隙


12月21日，印度顶级食品表送利用麦当劳 McDelivery 被发现存在严沉安全缝隙。一位钻研人员经过具体调查后，发现该利用的API存在大量缺点，允许未经授权接见各类职能。这些缝隙蕴含以极廉价值（1卢比，即0.01美元）订购商品、劫吃熹他用户的订单、实时跟踪送货司机并露出其敏感幼我信息、接见他人的订单详情和发票，以及未经授权查看治理员关键绩效指标汇报等。只管麦当劳使用了Angular框架和JWT令牌等基自身份验证措施，但在限杜酌户对敏感数据接见方面仍存在不及。其中一个凸起缝隙涉及把持购物车商品价值，另一个沉大缝隙允许黑客劫持在进行的订单。这些缝隙不仅组成技术缺点，还严沉威胁用户隐衷和麦当劳名誉。路德黑客编写了详尽汇报并提交给McDelivery缝隙赏金打算，麦当劳在90天期限内建复了所有缝隙，并嘉奖了黑客。


https://cybersecuritynews.com/mcdonalds-delivery-app-vulnerability/


2. 匹兹堡交通局遭勒索软件攻击，公共交通服务中断


12月25日，匹兹堡地域交通局（PRT）最近遭逢了勒索软件攻击，导致公共交通服务严沉中断。该机构周一暗示在积极应对这一在12月19日初次发现的攻击，法律部门和网络安全专家已染指调查。只管铁路服务在19日早上一度中断，但目前交通服务已复原正常运行。然而，一些乘客服务仍受到影响，例如PRT的客户服务中心临时无法接受或处置老年人和儿童的ConnectCards。PRT的IT官怨佚在调查数据是否被盗，并承诺在调查过程中提供最新新闻�；够鼐孤┕セ鞅澈蟮淖橹约昂问备丛娣�。据报路，由于这次攻击，火车误点了20多分钟。PRT每年客流量靠近4000万人次，是该州第二大公共交通机构，提供700多辆公交车和80辆轻轨等服务。公共交通的中断和客户数据的窃取已成为勒索软件团伙持续针对此类当局机构的重要原因之一。


https://therecord.media/pittsburgh-regional-transit-attributes-disruptions-to-ransomware-attack


3. Apache 流量节造建复高危SQL注入缝隙CVE-2024-45387


12月26日，Apache 软件基金会 (ASF) 近日颁布了针对其流量节造软件中的一个严沉安全缝隙的安全更新。该缝隙被象征为 CVE-2024-45387，CVSS 评分高达 9.9，是一个 SQL 注入缝隙，存在于 Traffic Control 的 8.0.0 至 8.0.1 版本中。Traffic Control 是一种用于成立内容分发网络的解决规划，旨在高效地向用户分发内容。该缝隙允许拥有特定角色的特权用户（如 admin、federation、operations、portal 或 steering）通过发送特造的 PUT 要求，对数据库执行肆意 SQL 号令。ASF 建议受影响的用户升级到 Apache Traffic Control 8.0.2 版本以建复此缝隙。值妥贴心的是，流量节造 7.0.0 版本及之前的版本不受此缝隙影响。此表，本月初 ASF 还颁布了另一个安全更新，以解决 Struts 2 中与 OGNL 技术有关的远程代码执行缝隙（CVE-2020-17530）。


https://securityaffairs.com/172307/security/apache-traffic-control-critical-flaw.html


4. 伊朗黑客组织Charming Kitten部署BellaCiao C++变体恶意软件


12月25日，伊朗民族国度黑客组织Charming Kitten在部署已知恶意软件BellaCiao的C++变体，被俄罗斯网络安全公司卡巴斯基定名为BellaCPP。BellaCiao初次于2023年4月被纪录，是一个可能传递额表有效载荷的自界说投放器，已在针对美国、中东和印度的网络攻击中部署。Charming Kitten从属于伊朗伊斯兰革命卫队，多年来开发了多多定造恶意软件家族。固然该组织曾通过社会工程活动传布恶意软件，但涉及BellaCiao的攻击会利用可公开接见利用法式中的安全缝隙。BellaCiao的C++变体是一个名为“adhapl.dll”的DLL文件，实现与其祖先类似的职能，但短缺用于上传和下载肆意文件以及运行号令的Web shell。BellaCPP使用了先前归因于Charming Kitten的域名。


https://thehackernews.com/2024/12/irans-charming-kitten-deploys-bellacpp.html


5. Picus Labs汇报：深刻解析OilRig的网络间谍活动与战术


12月24日，OilRig（又称 APT34 或 Helix Kitten）是一个伊朗当局支持的网络间谍行为者，以其针对中东关键行业的精准行动而闻名。Picus Labs 在其最新汇报中深刻钻研了 OilRig 的发展过程、汗青活动及其使用的先进战术。自2016年出现以来，OilRig 展示了持久悠久性和隐身性，通过鱼叉式网络垂钓活动和部署 Helminth 后门等先进恶意软件工具，对沙特阿拉伯等国度的组织进行攻击。其攻击领域已扩大到中东地域的敌灾实体、能源部门和技术提供商，使用的工具也从早期的 Helminth 恶意软件发展为更复杂的有效载荷，如 QUADAGENT 和 ISMAgent。OilRig 还利用零日缝隙和最近披露的缝隙，如 CVE-2024-30088，获得系统级接见权限，部署自界说 STEALHOOK 后门进行持久监控和数据泄露。该组织还针对供给链提议攻击，利用技术提供商内被盗的账户提议更宽泛的攻击。


https://securityonline.info/cve-2024-30088-under-attack-oilrig-targets-windows-kernel-vulnerability/


6. 美国成瘾医治中心遭网络攻击，超40万名患者信息泄露


12月24日，美国成瘾医治中心（AAC）是一家投机性连锁机构，最近遭逢网络安全事务，导致422,424人的幼我纪录泄露，蕴含姓名、地址、电话号码、诞生日期、医疗纪录号等信息，但医治信息或支付卡数据未受影响。该事务产生在9月23日至9月26日期间，AAC已立即发展调查，并通知法律部门和礼聘第三方网络安全专家协助。目前尚未发现与该事务有关的身份偷窃或诓骗行为。这次泄密事务还影响了AAC的从属供给商的客户，蕴含 AdCare、Greenhouse、Desert Hope Center等。近期，多家医疗服务提供商成为网络安全攻击的指标，如Regional Care、静脉建复中心（CVR）和安娜雅克医院（AJH），这些机构通常�；げ涣�，但保留的数据极度有价值，攻击者能够利用泄露的信息进行健全身份诓骗。


https://cybernews.com/news/patients-exposed-addiction-treatment-hack/