FreeBuf周报 | 新供应链攻击波及40余npm软件包；苹果紧急修复ImageIO零日漏洞
内容提要
本周「FreeBuf周报」总结了多个安全事件，包括npm仓库攻击、苹果修复ImageIO漏洞、Chrome更新V8引擎漏洞、FlowiseAI高危漏洞，以及朝鲜黑客利用AI伪造证件的攻击。此外，Windows截图工具Greenshot也存在高危漏洞。建议用户及时更新软件以降低风险。
关键要点
-
npm仓库遭供应链攻击，40余个软件包被篡改，建议卸载受影响包并监控异常活动。
-
苹果修复ImageIO高危零日漏洞，用户需立即安装更新以防止内存损坏。
-
Chrome紧急更新修复V8引擎零日漏洞，攻击者可远程执行代码，需立即更新。
-
FlowiseAI曝高危漏洞，攻击者可接管任意账户，建议启用多因素认证。
-
Linux内核ksmbd模块存在高危漏洞，攻击者可远程控制并执行代码，相关补丁已发布。
-
LG WebOS智能电视曝高危漏洞，攻击者可完全控制设备，建议用户更新固件。
-
中国用户遭SEO定向投毒攻击，恶意软件通过仿冒软件网站传播。
-
朝鲜黑客利用AI伪造军人证件实施钓鱼攻击，强调终端防护的重要性。
-
Windows截图工具Greenshot曝高危漏洞，允许攻击者执行任意代码，建议立即升级。
-
Cloudflare API服务中断事件源于软件漏洞与服务更新的叠加效应。
延伸解读
npm供应链攻击的影响
此次npm仓库的供应链攻击波及40余个软件包，攻击者通过篡改代码窃取开发者凭证和云密钥。这一事件提醒开发者在使用第三方库时需加强安全审查，定期监控项目依赖，及时卸载受影响的包，以防止数据泄露和安全风险。
苹果ImageIO漏洞的紧急修复
苹果针对ImageIO的零日漏洞发布了紧急修复，用户需立即更新以防止内存损坏。此事件反映出软件开发中零日漏洞的严重性，用户应保持系统和应用程序的及时更新，以降低被攻击的风险。
FlowiseAI高危漏洞的防范
FlowiseAI的高危漏洞允许攻击者接管账户，建议用户启用多因素认证（MFA）以增强安全性。此事件强调了在使用在线服务时，保护敏感信息和账户安全的重要性，用户应定期检查安全设置。
朝鲜黑客的AI伪造攻击
朝鲜黑客利用AI技术伪造军人证件进行钓鱼攻击，显示出网络攻击手段的不断演变。用户和企业需加强终端防护，提升对社会工程学攻击的警惕，确保安全防护措施到位，以应对新型威胁。
延伸问答
npm仓库的供应链攻击具体影响了哪些软件包？
npm仓库遭到攻击，40余个软件包被篡改，建议用户卸载受影响的包并监控异常活动。
苹果修复的ImageIO漏洞有什么风险？
ImageIO高危零日漏洞可导致内存损坏，已被用于定向攻击，用户需立即安装更新以防止风险。
Chrome更新了哪些高危漏洞？
Chrome更新修复了包括V8引擎零日漏洞在内的四个高危漏洞，攻击者可远程执行代码，需立即更新。
FlowiseAI的高危漏洞如何影响用户安全？
FlowiseAI的漏洞允许攻击者接管任意账户，建议用户启用多因素认证以增强安全性。
LG WebOS智能电视的漏洞如何被利用？
LG WebOS智能电视的漏洞允许攻击者绕过认证获取root权限，完全控制设备，用户需更新固件。
朝鲜黑客如何利用AI进行攻击？
朝鲜黑客利用AI伪造军人证件实施钓鱼攻击，强调了终端防护的重要性。
