全球动态

1.墨西哥大型机场集团疑遭勒索攻击，旗下13个机场紧急切换备用系统

此次网络攻击影响超10天，墨西哥中北部机场集团各机场航班信息大屏仍关闭，只能通过备用系统和人工服务维持运营。 【阅读原文】

2.美国财政部正式发布对华芯片、人工智能的投资限制规则

根据拜登总统行政命令的指示，该最终规则禁止美国个人参与涉及一组特定技术和产品的某些交易，这些技术和产品对美国的国家安全构成特别严重的威胁。 【阅读原文】

3.Pwn2Own 2024爱尔兰黑客大赛：冠军团队斩获20.5万美元

为期四天的Pwn2Own 爱尔兰黑客大赛落下帷幕。主办方ZDI为所发现的70多个唯一0day共颁发1066625美元的赏金。这是第四次总赏金超过100万美元的大赛。 【阅读原文】

4.五眼机构启动初创公司安全计划

英国、美国、加拿大、新西兰和澳大利亚政府启动了一项新计划，旨在帮助其科技初创公司在面对不断升级的国家支持威胁时改进基线网络安全措施。 【外刊-阅读原文】

5.美国政府发布新的跨部门威胁情报共享 TLP 指南

美国政府 （USG） 发布了新的指南，用于管理使用红绿灯协议 （TLP） 来处理私营部门、个人研究人员以及联邦部门和机构之间共享的威胁情报信息。【外刊-阅读原文】

6.健身应用 Strava 泄露了拜登、特朗普和其他领导人的位置

《世界报》称，这意味着至少可以在网上轻松追踪特朗普、他的竞争对手、民主党候选人卡玛拉·哈里斯（Kamala Harris）和美国现任总统乔·拜登（Joe Biden）的一些通常保密的动向。 【外刊-阅读原文】

【安全事件】

1.研究人员发现 Wi-Fi 联盟测试套件中的命令注入漏洞

CERT 协调中心（CERT/CC）称，在 Arcadyan FMIMG51AX000J 路由器上发现了来自 Wi-Fi 联盟的受影响代码。该漏洞被追踪为 CVE-2024-41992。 【阅读原文】

2.网络犯罪分子利用 Webflow 欺骗用户共享敏感登录凭证

网络安全研究人员警告说，随着威胁行为者继续滥用 Cloudflare 和 Microsoft Sway 等合法服务，使用名为 Webflow 的建站工具创建的钓鱼网页数量激增。 【阅读原文】

3.新的 LightSpy 间谍软件以 iOS 为目标，具有增强功能

这一发现使 ThreatFabric 能够对今天发布的针对 iOS 的间谍软件进行新的详细分析，发现与 2020 年版本相比有显着的更新。 【外刊-阅读原文】

4.网络钓鱼者通过 Eventbrite 服务到达目标

网络钓鱼电子邮件看起来像是来自 Eventbrite，因为它们确实如此，但它们的内容经过精心设计，以冒充合法企业，例如 NLB Group（金融机构）、EnergyAustralia（能源公司）、DHL（送货服务）、Qatar Post（邮政服务）等。 【外刊-阅读原文】

5. 新研究显示 Spectre 漏洞在最新的 AMD 和 Intel 处理器中仍然存在

在影响现代 CPU 处理器的 Spectre 安全漏洞曝光六年多后，新的研究发现，最新的 AMD 和 Intel 处理器仍然容易受到推测执行攻击。【外刊-阅读原文】

6.开源AI/ML模型曝出30余个漏洞，可能导致远程代码执行与信息窃取风险

根据最新消息，开源人工智能（AI）和机器学习（ML）模型中已披露了三十几个安全漏洞，其中一些漏洞可能导致远程代码执行和信息窃取。 【外刊-阅读原文】

【优质文章】

1. 分享SRC漏洞挖掘中js未授权漏洞挖掘的小技巧

这次又来给师傅们分享我的文章心得了呦，这次是给师傅们分享下js未授权漏洞挖掘的一个小技巧的汇总，然后也是会给师傅们分享几个案例，带师傅们更加深刻的理解和看的懂这个js未授权，然后再带师傅们去挖这个漏洞，从怎么挖去带师傅们掌握这个js未授权。 【阅读原文】

2. 渗透测试 | 某系统垂直越权漏洞的挖掘

在某个工作日的上午，被安排了一个渗透测试项目，测试过程中收获了一枚垂直越权漏洞。本文打码较为严重，望师傅们理解。当然该垂直越权漏洞已经被修复了，本文记录主要是希望起到抛砖引玉的作用，分享一次垂直越权漏洞的挖掘思路，愿大家能够从中有所收获。 【阅读原文】

3. 0day的产生 | 不懂代码的"代码审计"

任务是硬头皮接下来的,代码是看不懂的,学习是学不明白的,那么有没有办法在看不懂aspx的情况下去审计aspx语言的源码? 答案是有,而且非常简单!我们只需要抓源码中的asmx文件,测试asmx接口即可。 【阅读原文】

*本文内容收集自全球范围内的媒体与刊物，制作者对其完整性负责，但不对其真实性和有效性负责。

*标明为【外刊】的内容主要来源为英语国家的媒体与刊物，部分内容需要注册免费账号后方可阅读。