FreeBuf周报 | 新供应链攻击波及40余npm软件包；苹果紧急修复ImageIO零日漏洞
内容提要
本周「FreeBuf周报」总结了多个安全事件，包括npm仓库攻击、苹果修复ImageIO漏洞、Chrome更新V8引擎漏洞、FlowiseAI高危漏洞，以及朝鲜黑客利用AI伪造证件的攻击。此外，Windows截图工具Greenshot也存在高危漏洞。建议用户及时更新软件以降低风险。
延伸解读
npm供应链攻击的影响
此次npm仓库的供应链攻击波及40余个软件包，攻击者通过篡改代码窃取开发者凭证和云密钥。这一事件提醒开发者在使用第三方库时需加强安全审查，定期监控项目依赖，及时卸载受影响的包，以防止数据泄露和安全风险。
苹果ImageIO漏洞的紧急修复
苹果针对ImageIO的零日漏洞发布了紧急修复，用户需立即更新以防止内存损坏。此事件反映出软件开发中零日漏洞的严重性，用户应保持系统和应用程序的及时更新，以降低被攻击的风险。
FlowiseAI高危漏洞的防范
FlowiseAI的高危漏洞允许攻击者接管账户，建议用户启用多因素认证（MFA）以增强安全性。此事件强调了在使用在线服务时，保护敏感信息和账户安全的重要性，用户应定期检查安全设置。
朝鲜黑客的AI伪造攻击
朝鲜黑客利用AI技术伪造军人证件进行钓鱼攻击，显示出网络攻击手段的不断演变。用户和企业需加强终端防护，提升对社会工程学攻击的警惕，确保安全防护措施到位，以应对新型威胁。
Q&A
npm仓库的供应链攻击具体影响了哪些软件包？
npm仓库遭到攻击，40余个软件包被篡改，建议用户卸载受影响的包并监控异常活动。
苹果修复的ImageIO漏洞有什么风险？
ImageIO高危零日漏洞可导致内存损坏，已被用于定向攻击，用户需立即安装更新以防止风险。
Chrome更新了哪些高危漏洞？
Chrome更新修复了包括V8引擎零日漏洞在内的四个高危漏洞，攻击者可远程执行代码，需立即更新。
FlowiseAI的高危漏洞如何影响用户安全？
FlowiseAI的漏洞允许攻击者接管任意账户，建议用户启用多因素认证以增强安全性。
LG WebOS智能电视的漏洞如何被利用？
LG WebOS智能电视的漏洞允许攻击者绕过认证获取root权限，完全控制设备，用户需更新固件。
朝鲜黑客如何利用AI进行攻击？
朝鲜黑客利用AI伪造军人证件实施钓鱼攻击，强调了终端防护的重要性。
