Tencent Security Xuanwu Lab Daily News
• SecToday Next:
https://sectoday.tencent.com/event/gz-XMZIBcIs5GCTMJbQk
・ 近日，开源PostgreSQL数据库管理工具pgAdmin被曝存在严重的OAuth2认证漏洞（CVE-2024-9014）。此漏洞允许攻击者通过滥用OAuth2认证流程，非法获取包括客户ID与秘钥在内的敏感信息，对数据安全构成极大威胁。为解决这个问题，pgAdmin发布了一个重要安全更新，强烈建议所有受影响的用户尽快升级至最新版本。
– SecTodayBot
• CVE-2024-38856 - Apache Ofbiz RCE:
https://blog.securelayer7.net/cve-2024-38856-apache-ofbiz-rce/
・ 本文深入分析了Apache OFBiz中最新发现的远程代码执行漏洞（CVE-2024-38856），详细介绍了如何复现该漏洞并开发相应的利用程序。文章的最大亮点在于提供了详细的步骤和代码示例，帮助读者理解漏洞的本质以及修复方法。
– SecTodayBot
• SecToday Next:
https://sectoday.tencent.com/event/Rp4DL5IBMw8bedWYk4vQ
・ 近期出现的一种称为Octo2的新型Android银行木马正在欧洲多个国家蔓延，它继承自Exobot家族并在原有基础上进行了重大升级。Octo2采用了先进的逃避策略、强化的代码混淆技巧以及创新性的使用领域生成算法进行指挥与控制系统通讯，这些特性使其能够更有效地绕过安全防御措施并对目标设备发起更为隐秘而高效的攻击。
– SecTodayBot
• SecToday Next:
https://sectoday.tencent.com/event/9eJxL5IBsusscDXmlO62
・ 描述了一个存在于Apache Answer软件中的安全漏洞(CVE-2024-40761)，其中利用MD5散列值获取Gravatar图像链接可能会暴露用户电子邮箱信息。鉴于MD5的弱加密特性及易受暴力破解的风险，官方建议将加密方式更新为SHA256来提升数据保护水平。
– SecTodayBot
• Hacking Kia: Remotely Controlling Cars With Just a License Plate:
https://samcurry.net/hacking-kia
・ 本文揭示了针对Kia汽车的一系列远程控制漏洞，仅通过车牌号即可实现对车辆关键功能的遥控。文章详细介绍了攻击者如何无声地获取个人敏感信息，并成为受害者车辆上的隐形第二用户。最引人注目的是作者开发了一款演示工具，展示了利用这些漏洞只需输入车牌和等待约30秒就能执行命令的过程。
– SecTodayBot
• SecToday Next:
https://sectoday.tencent.com/event/8uNgMZIBsusscDXmSFHa
・ 近日曝光的一系列报告指出，在OpenAI开发的热门人工智能助手ChatGPT中存在着严重的安全性隐患。具体而言，由于其内置‘记忆’特性设计不当，使得外部攻击者能巧妙地植入持久性的监视软件至ChatGPT的应用内部，进而非法收集与保存用户交互过程中的敏感资料及未来对话记录。这一威胁不仅涉及当前版本的ChatGPT，更特别突显出macOS平台上的应用程序尤其容易受到此类攻击的影响。
– SecTodayBot
• 内网渗透技巧之 RdpThief 实践:
https://sectoday.tencent.com/api/article/nT9tLpIBcIs5GCTMRY_D/link
・ 本文深入探讨了一种新颖的方法——利用自定义开发的RdpThief工具与CobaltStrike相结合，用于捕获远程桌面协议(RDP)会话中的明文凭证。通过对Windows系统的特定API钩子技术的应用，揭示了一个高效且隐蔽的数据提取流程。
– SecTodayBot
• PHP ACRSS 1.0 WYSIWYG Code Injection ≈ Packet Storm:
https://packetstormsecurity.com/files/181828
・ 本文揭示了PHP ACRSS版本1.0中存在的重大安全漏洞，即通过TinyMCE编辑器的代码注入攻击。此发现对使用该软件的企业和开发者具有重要警示意义。
– SecTodayBot
* 查看或搜索历史推送内容请访问：
https://sec.today
* 新浪微博账号： 腾讯玄武实验室
https://weibo.com/xuanwulab
