FreeBuf早报 | 恶意npm包利用CI/CD管道漏洞获取高权限；攻击者利用思科与Citrix 0Day漏洞部署后门
内容提要
近期网络安全事件包括：恶意npm包窃取GitHub令牌，思科与Citrix漏洞被利用，ChatGPT存在SSRF漏洞，GitHub Copilot与Visual Studio漏洞可绕过安全防护，微软修复63个漏洞，Lite XL和Apache OpenOffice存在高危漏洞，GitLab和Open WebUI修复XSS漏洞，ChatGPT新型攻击可能泄露用户隐私。
关键要点
-
恶意npm包窃取GitHub Actions令牌，影响超26万次下载，建议更新安全措施。
-
思科与Citrix的0Day漏洞被利用，攻击者通过网页后门渗透企业网络，需及时更新补丁。
-
ChatGPT存在SSRF漏洞，攻击者可窃取Azure凭证，漏洞已修复。
-
GitHub Copilot与Visual Studio存在高危漏洞，攻击者可绕过安全防护，建议加强代码审查。
-
微软修复63个安全漏洞，包括一个正在被利用的Windows内核0Day漏洞。
-
Lite XL文本编辑器存在高危代码执行漏洞，建议用户升级至修复版本。
-
多个Apache OpenOffice漏洞可能导致内存损坏及未经授权的内容加载。
-
GitLab修复高危XSS漏洞，建议管理员尽快安装补丁以防数据泄露。
-
Open WebUI存在高危XSS漏洞，攻击者可通过恶意提示词导致账户接管，建议升级版本。
-
ChatGPT存在新型攻击方式，攻击者可通过间接提示注入窃取用户隐私，需加强安全机制。
延伸解读
恶意npm包的风险
恶意npm包通过伪装成合法模块窃取GitHub Actions令牌，影响超过26万次下载。这一事件提醒开发者在使用第三方包时，需加强对包来源的审查，确保其安全性，避免潜在的安全隐患。
思科与Citrix漏洞的防御措施
思科与Citrix的0Day漏洞被黑客利用，攻击者通过网页后门渗透企业网络。企业应及时更新补丁，并加强对关键系统的监控，以防止类似攻击造成的损失。
ChatGPT的安全隐患
ChatGPT存在SSRF漏洞，攻击者可利用此漏洞窃取Azure凭证。虽然该漏洞已修复，但用户仍需关注AI系统的安全性，定期检查和更新相关安全措施，以保护敏感数据。
高危XSS漏洞的应对策略
GitLab和Open WebUI均存在高危XSS漏洞，可能导致数据泄露和账户接管。管理员应尽快安装补丁，并考虑实施内容安全策略（CSP）等防护措施，以降低风险。
延伸问答
恶意npm包是如何窃取GitHub令牌的？
恶意npm包伪装成合法模块，利用CI/CD管道漏洞获取高权限，影响超26万次下载。
思科与Citrix的0Day漏洞有什么风险？
攻击者通过网页后门渗透企业网络，允许远程执行代码，需及时更新补丁以防止攻击。
ChatGPT的SSRF漏洞是如何被利用的？
攻击者利用自定义GPT的功能访问内部云元数据，导致Azure凭证泄露。
微软最近修复了多少个安全漏洞？
微软修复了63个安全漏洞，包括一个正在被利用的Windows内核0Day漏洞。
Lite XL文本编辑器的漏洞会导致什么后果？
Lite XL存在高危代码执行漏洞，攻击者可通过恶意项目文件远程执行代码。
如何防止Open WebUI的XSS漏洞攻击？
建议升级至0.6.35版本，并禁用富文本插入提示词功能，同时启用CSP等防护措施。
