FreeBuf早报 | 一加手机OxygenOS存在权限绕过漏洞；微软修复高危Entra ID漏洞
💡
原文中文，约2500字，阅读约需6分钟。
📝
内容提要
全球网络安全事件包括：一加手机OxygenOS漏洞、微软修复高危Entra ID漏洞、超微BMC固件漏洞、Zloader木马升级、CISA警告npm包感染自复制蠕虫、ClaimPix数据泄露、伊朗APT组织网络间谍活动增强、Windows Hello漏洞修复、IMDS服务遭攻击、虚假测速应用窃取数据。
🎯
关键要点
- 一加手机OxygenOS存在权限绕过漏洞，攻击者可窃取短信并绕过MFA保护。
- 微软修复高危Entra ID漏洞，攻击者可仿冒全局管理员跨租户接管系统。
- 超微BMC固件曝两处漏洞，攻击者可绕过信任根安全机制植入恶意镜像。
- Zloader木马升级，增强反分析和隐蔽性，成为勒索团伙初始访问工具。
- CISA警告Shai-Hulud自复制蠕虫已感染500多个npm包，窃取开发者凭证。
- ClaimPix数据泄露事件，10TB保险记录和车辆数据暴露，可能导致保险欺诈。
- 伊朗APT组织Nimbus Manticore加强对欧洲的网络间谍活动，采用新型恶意软件技术。
- Windows Hello长期漏洞修复，微软建议用户尽快更新系统。
- 攻击者利用IMDS服务获取云环境初始访问权限，建议使用IMDSv2增强安全。
- 警惕虚假测速应用，利用混淆JS代码窃取数据，具有持久化和隐蔽性。
❓
延伸问答
一加手机OxygenOS的漏洞是什么？
一加手机OxygenOS存在权限绕过漏洞，攻击者可窃取短信并绕过多因素认证（MFA）保护。
微软修复的Entra ID漏洞有什么影响？
微软修复的Entra ID漏洞允许攻击者仿冒全局管理员跨租户接管系统，存在严重安全风险。
Zloader木马的最新升级特点是什么？
Zloader木马升级后增强了反分析和隐蔽性，成为勒索团伙的初始访问工具，支持DNS隧道和WebSocket C2。
ClaimPix数据泄露事件的后果是什么？
ClaimPix数据泄露事件导致10TB的敏感保险记录和车辆数据暴露，可能引发保险欺诈等风险。
CISA对Shai-Hulud蠕虫的警告内容是什么？
CISA警告Shai-Hulud自复制蠕虫已感染500多个npm包，窃取开发者凭证并通过依赖链传播。
如何增强IMDS服务的安全性？
建议强制使用IMDSv2、限制端点访问、最小化IAM权限，并监控异常请求以增强IMDS服务的安全性。
➡️
