FreeBuf早报 | SQLite3驱动高危漏洞可致SQL注入攻击；利用参数污染结合JS注入
💡
原文中文，约2500字，阅读约需6分钟。
📝
内容提要
全球网安事件速递报道了多项高危漏洞，包括ADOdb SQLite3驱动的SQL注入、NVIDIA Triton服务器的远程代码执行漏洞和富士胶片打印机的拒绝服务漏洞。攻击者利用这些漏洞进行恶意活动，建议用户及时更新软件和固件以增强安全性。
🎯
关键要点
- ADOdb SQLite3驱动存在高危SQL注入漏洞(CVE-2025-54119，CVSS 10.0)，建议升级至5.22.10。
- HTTP参数污染结合JS注入可绕过主流WAF，暴露安全防护的局限性。
- 树莓知更鸟恶意软件利用CLFS驱动漏洞入侵Windows系统，威胁企业安全。
- 开源软件供应链成为网络犯罪新目标，恶意NPM和PyPI包数量激增。
- 威胁组织利用AI技术扩大攻击规模，朝鲜FAMOUS CHOLLIMA组织渗透320家公司。
- NVIDIA Triton服务器存在多个高危漏洞，建议用户升级至25.07版本。
- 富士胶片打印机存在越界写入漏洞，攻击者可导致设备崩溃，建议更新固件。
- 联发科芯片组曝高危漏洞，涉及多款主流型号，厂商需紧急更新。
- LegalPwn攻击手法利用AI法律合规漏洞，导致恶意代码被误判为安全。
- SonicWall调查SSL VPN可能存在的零日漏洞，建议禁用SSL VPN并启用MFA。
❓
延伸问答
ADOdb SQLite3驱动的高危漏洞是什么？
ADOdb SQLite3驱动存在高危SQL注入漏洞(CVE-2025-54119，CVSS 10.0)，建议升级至5.22.10以防止攻击。
如何防范HTTP参数污染和JS注入攻击？
建议加强WAF配置，定期更新安全策略，以防止HTTP参数污染和JS注入攻击的绕过。
树莓知更鸟恶意软件的攻击方式是什么？
树莓知更鸟恶意软件利用CLFS驱动漏洞入侵Windows系统，并通过USB传播，采用高级混淆技术规避检测。
NVIDIA Triton服务器的漏洞有哪些影响？
NVIDIA Triton服务器存在多个高危漏洞，攻击者可远程执行代码并完全控制服务器，威胁AI模型安全。
开源软件供应链面临什么样的安全威胁？
开源软件供应链成为网络犯罪的新目标，恶意NPM和PyPI包数量激增，攻击者利用开发者信任植入恶意代码。
LegalPwn攻击手法是如何工作的？
LegalPwn攻击利用AI法律合规漏洞，将恶意代码伪装成法律文本，导致主流AI模型误判为安全代码。
➡️
