FreeBuf 周报 | 谷歌拟允许Web应用访问敏感USB设备；GitLab曝严重漏洞
💡
原文中文，约2700字，阅读约需7分钟。
📝
内容提要
本周热点资讯包括谷歌允许Web应用访问USB设备、Juniper Networks曝严重漏洞、penSSH漏洞可提权至root、国际行动关闭593台恶意Cobalt Strike服务器、RockYou2024密码泄露事件。安全事件有GitLab曝严重漏洞、Kimsuky组织利用Chrome扩展程序窃取数据、澳大利亚男子制作虚假航空公司WIFI骗取账户凭证、Xbox全球瘫痪、黑客滥用API验证Authy MFA电话号码。好文包括PowerShell在网络安全测试中的应用、IPv6攻防演练、构建大模型安全测试基准。省心工具有CrimsonEDR、APKDeepLens、AttackGen。
🎯
关键要点
- 谷歌拟允许独立Web应用访问敏感的USB设备，使用WebUSB API。
- Juniper Networks曝出严重身份验证漏洞CVE-2024-2973，攻击者可完全控制设备。
- penSSH漏洞预警，攻击者可在特定版本的操作系统上提权至root。
- 国际行动关闭593台恶意Cobalt Strike服务器，涉及多个国家和地区。
- RockYou2024密码泄露事件，包含100亿条真实密码，增加凭证填充攻击风险。
- GitLab曝出严重漏洞，威胁软件开发管道的安全。
- Kimsuky组织利用Chrome扩展程序TRANSLATEXT窃取敏感数据。
- 澳大利亚男子制作虚假航空公司WIFI骗取乘客账户凭证。
- Xbox全球瘫痪，多个平台用户受到影响。
- 黑客滥用API端点验证Authy MFA电话号码，Twilio采取安全措施。
- PowerShell在网络安全测试中的应用，增强渗透测试效率。
- IPv6攻防演练，针对IPv6的扫描与攻击。
- 构建大模型安全测试基准，通过AI生成测试输入发现有害行为。
- CrimsonEDR：恶意软件模式识别与EDR策略评估工具。
- APKDeepLens：针对Android应用程序的安全扫描工具。
- AttackGen：基于LLM的网络安全事件响应测试工具。
➡️
