FreeBuf早报 | 一加手机OxygenOS存在权限绕过漏洞；微软修复高危Entra ID漏洞
内容提要
全球网络安全事件包括：一加手机OxygenOS漏洞、微软修复高危Entra ID漏洞、超微BMC固件漏洞、Zloader木马升级、CISA警告npm包感染自复制蠕虫、ClaimPix数据泄露、伊朗APT组织网络间谍活动增强、Windows Hello漏洞修复、IMDS服务遭攻击、虚假测速应用窃取数据。
关键要点
-
一加手机OxygenOS存在权限绕过漏洞，攻击者可窃取短信并绕过MFA保护。
-
微软修复高危Entra ID漏洞，攻击者可仿冒全局管理员跨租户接管系统。
-
超微BMC固件曝两处漏洞，攻击者可绕过信任根安全机制植入恶意镜像。
-
Zloader木马升级，增强反分析和隐蔽性，成为勒索团伙初始访问工具。
-
CISA警告Shai-Hulud自复制蠕虫已感染500多个npm包，窃取开发者凭证。
-
ClaimPix数据泄露事件，10TB保险记录和车辆数据暴露，可能导致保险欺诈。
-
伊朗APT组织Nimbus Manticore加强对欧洲的网络间谍活动，采用新型恶意软件技术。
-
Windows Hello长期漏洞修复，微软建议用户尽快更新系统。
-
攻击者利用IMDS服务获取云环境初始访问权限，建议使用IMDSv2增强安全。
-
警惕虚假测速应用，利用混淆JS代码窃取数据，具有持久化和隐蔽性。
延伸解读
一加手机OxygenOS漏洞的影响
一加手机OxygenOS的权限绕过漏洞可能导致用户短信和MFA令牌的泄露，影响多款机型。用户应考虑更换MFA方式并使用加密通信，以降低潜在风险。此漏洞源于安卓框架的错误配置，尚无官方补丁，用户需保持警惕。
微软Entra ID漏洞的安全隐患
微软修复的Entra ID漏洞允许攻击者仿冒全局管理员，跨租户接管系统，暴露了云身份信任机制的缺陷。专家建议企业加强独立可观测性，以防范系统性风险，确保云环境的安全性。
ClaimPix数据泄露的后果
ClaimPix平台的10TB数据泄露事件可能导致保险欺诈和个人信息滥用。企业需加强数据加密和访问控制，防止敏感信息的泄露，保护用户隐私和企业声誉。
IMDS服务漏洞的防范措施
攻击者利用IMDS服务漏洞获取云环境初始访问权限，建议用户强制使用IMDSv2并限制端点访问。监控异常请求是快速响应攻击的重要手段，企业应重视云安全配置。
延伸问答
一加手机OxygenOS的漏洞是什么？
一加手机OxygenOS存在权限绕过漏洞，攻击者可窃取短信并绕过多因素认证（MFA）保护。
微软修复的Entra ID漏洞有什么影响？
微软修复的Entra ID漏洞允许攻击者仿冒全局管理员跨租户接管系统，存在严重安全风险。
Zloader木马的最新升级特点是什么？
Zloader木马升级后增强了反分析和隐蔽性，成为勒索团伙的初始访问工具，支持DNS隧道和WebSocket C2。
ClaimPix数据泄露事件的后果是什么？
ClaimPix数据泄露事件导致10TB的敏感保险记录和车辆数据暴露，可能引发保险欺诈等风险。
CISA对Shai-Hulud蠕虫的警告内容是什么？
CISA警告Shai-Hulud自复制蠕虫已感染500多个npm包，窃取开发者凭证并通过依赖链传播。
如何增强IMDS服务的安全性？
建议强制使用IMDSv2、限制端点访问、最小化IAM权限，并监控异常请求以增强IMDS服务的安全性。
