FreeBuf 周报 | 谷歌拟允许Web应用访问敏感USB设备；GitLab曝严重漏洞
💡
原文中文，约2700字，阅读约需7分钟。
📝
内容提要
本周热点资讯包括谷歌允许Web应用访问USB设备、Juniper Networks曝严重漏洞、penSSH漏洞可提权至root、国际行动关闭593台恶意Cobalt Strike服务器、RockYou2024密码泄露事件。安全事件有GitLab曝严重漏洞、Kimsuky组织利用Chrome扩展程序窃取数据、澳大利亚男子制作虚假航空公司WIFI骗取账户凭证、Xbox全球瘫痪、黑客滥用API验证Authy MFA电话号码。好文包括PowerShell在网络安全测试中的应用、IPv6攻防演练、构建大模型安全测试基准。省心工具有CrimsonEDR、APKDeepLens、AttackGen。
🎯
关键要点
- 谷歌拟允许独立Web应用访问敏感的USB设备，使用WebUSB API。
- Juniper Networks曝出严重身份验证漏洞CVE-2024-2973，攻击者可完全控制设备。
- penSSH漏洞预警，攻击者可在特定版本的操作系统上提权至root。
- 国际行动关闭593台恶意Cobalt Strike服务器，涉及多个国家和地区。
- RockYou2024密码泄露事件，包含100亿条真实密码，增加凭证填充攻击风险。
- GitLab曝出严重漏洞，威胁软件开发管道的安全。
- Kimsuky组织利用Chrome扩展程序TRANSLATEXT窃取敏感数据。
- 澳大利亚男子制作虚假航空公司WIFI骗取乘客账户凭证。
- Xbox全球瘫痪，多个平台用户受到影响。
- 黑客滥用API端点验证Authy MFA电话号码，Twilio采取安全措施。
- PowerShell在网络安全测试中的应用，增强渗透测试效率。
- IPv6攻防演练，针对IPv6的扫描与攻击。
- 构建大模型安全测试基准，通过AI生成测试输入发现有害行为。
- CrimsonEDR：恶意软件模式识别与EDR策略评估工具。
- APKDeepLens：针对Android应用程序的安全扫描工具。
- AttackGen：基于LLM的网络安全事件响应测试工具。
❓
延伸问答
谷歌的WebUSB API有什么功能？
WebUSB API允许独立Web应用访问计算机上的本地USB设备，提供对某些接口的访问。
Juniper Networks的身份验证漏洞有多严重？
该漏洞CVE-2024-2973允许攻击者完全控制受影响的设备，存在高风险。
RockYou2024密码泄露事件的影响是什么？
泄露事件包含100亿条真实密码，增加了凭证填充攻击的风险。
GitLab曝出的漏洞如何影响软件开发？
漏洞威胁软件开发管道，攻击者可访问私有存储库并窃取敏感数据。
Kimsuky组织是如何窃取数据的？
该组织利用TRANSLATEXT Chrome扩展程序进行数据窃取，结合网络钓鱼和社交工程攻击。
CrimsonEDR工具的主要功能是什么？
CrimsonEDR是一个恶意软件模式识别与EDR策略评估工具，帮助识别特定恶意软件模式。
➡️
