1、研究人员披露Terrapin攻击可降低OpenSSH连接的安全性

https://terrapin-attack.com/

学术研究人员开发了一种名为 Terrapin 的，该攻击会在握手过程中操纵序列号，从而在使用某些广泛使用的加密模式时破坏 SSH 通道的完整性。这种操作使攻击者可以删除或修改通过通信通道交换的消息，从而导致 OpenSSH 9.5 中用于用户身份验证的公钥算法降级或禁用针对击键计时攻击的防御。Terrapin 攻击利用了 SSH 传输层协议的弱点，并结合了 OpenSSH 十多年前引入的较新的加密算法和加密模式。Terrapin 攻击会在客户端或服务器不注意的情况下截断重要的协商消息，从而降低已建立连接的安全性。

2、研究人员披露零点击Outlook RCE漏洞的新细节

https://www.akamai.com/blog/security-research/chaining-vulnerabilities-to-achieve-rce-part-two

研究人员披露有关微软 Windows 系统中两个现已修补的安全漏洞的技术细节，攻击者可能会利用这些漏洞在 Outlook 电子邮件服务上实现远程代码执行，而无需任何用户交互。互联网上的攻击者可以将这些漏洞链接在一起，针对 Outlook 客户端创建完整的零点击远程代码执行 (RCE) 漏洞。Microsoft 于8 月和 2023 年 10 月解决了安全问题下面分别列出了CVE-2023-35384（CVSS 评分：5.4），Windows HTML 平台安全功能绕过漏洞。CVE-2023-36710（CVSS 评分：7.8），Windows Media Foundation Core 远程代码执行漏洞。

3、Vans和North Face的总公司VF Corp遭受勒索软件攻击

https://www.sec.gov/ix?doc=/Archives/edgar/data/0000103379/000095012323011228/d659095d8k.htm

美国全球服装和鞋类巨头 VF 公司（旗下拥有 Supreme、Vans、Timberland 和 The North Face 等品牌）披露了一起导致运营中断的安全事件。VF Corp. 是一家总部位于科罗拉多州的服装公司，拥有 13 个全球知名品牌。该公司拥有 35000 名员工，年收入达 116 亿美元。除上述品牌外，VF Corp. 还拥有 Dickies、Eastpak、Kipling、Napapijri、AND1、JanSport、Icebreaker、Altra Running 和 SmartWool。在周五向美国 SEC（证券交易委员会）提交的 8-K 表格披露中，VF 向股东通报了 2023 年 12 月 13 日发生的网络攻击。为了应对检测到的网络未经授权访问，该公司关闭了部分系统，并聘请了外部专家来帮助遏制攻击。然而，威胁行为者设法加密了公司的一些计算机并窃取了个人数据。然而，攻击者设法加密了公司的一些计算机并窃取了个人数据。目前尚不清楚被盗数据是否仅影响员工、供应商、经销商、合作伙伴或客户。目前，还没有勒索软件组织对该事件负责。

4、ESET 修复安全流量扫描功能中的高严重性漏洞

https://www.securityweek.com/eset-patches-high-severity-vulnerability-in-secure-traffic-scanning-feature/

ESET 已为其多个端点和服务器安全产品发布了补丁，以解决一个高严重性漏洞，该漏洞可能被利用导致 Web 浏览器信任不应信任的网站。

5、Ivanti 修补了 Avalanche MDM 产品中的十几个关键漏洞

https://www.securityweek.com/ivanti-patches-dozen-critical-vulnerabilities-in-avalanche-mdm-product/

Ivanti 向客户通报其 Avalanche 企业移动设备管理 (MDM) 产品中已修复的 20 个漏洞，其中包括十多个严重程度为“严重”的漏洞。

6、谷歌发布紧急更新解决了一个新的被利用的Chrome零日漏洞

https://securityaffairs.com/156231/security/google-addressed-a-new-actively-exploited-chrome-zero-day.html

谷歌发布了紧急更新，以解决其网络浏览器 Chrome 中的一个新的零日漏洞（编号为 CVE-2023-7024）。

7、钓鱼活动利用旧的MS Excel 漏洞传播 Agent Tesla 恶意软件

https://thehackernews.com/2023/12/hackers-exploiting-old-ms-excel.html

作为网络钓鱼活动的一部分，攻击者正在利用旧的 Microsoft Office 漏洞来传播名为Agent Tesla的恶意软件。感染链利用以发票为主题的消息中附加的诱饵 Excel 文档来诱骗潜在目标打开它们并激活 CVE-2017-11882（CVSS 评分：7.8）的利用，这是 Office 公式编辑器中的内存损坏漏洞，可能会导致代码以用户权限执行。

8、数据泄露暴露了 15 亿条房产记录，包括特朗普、马斯克等名人

https://www.hackread.com/data-leak-exposes-real-estate-records-elon-musk-trump

由于云服务器配置错误，纽约坎贝尔的一家名为房地产财富网平台暴露了大量房地产记录。暴露的数据库保存了 15 亿条记录，其中包括数百万人的房地产所有权数据。从埃隆·马斯克和凯莉·詹纳到布兰妮·斯皮尔斯、唐纳德·J·特朗普和弗洛伊德·梅威瑟，顶级名人和普通房主的房地产记录在没有任何安全认证或密码的情况下在网上公开。

9、新型网络钓鱼攻击能绕过 Instagram 2FA 验证！

https://www.freebuf.com/articles/387283.html

一种新型网络钓鱼活动伪装成 "版权侵权 "电子邮件，试图窃取 Instagram 用户的备份代码，以帮助威胁攻击者绕过账户上配置的双因素身份验证（2FA）。

10、网信披露：四川省某医院遭受网络攻击导致全院系统瘫痪

http://www.anquan419.com/knews/24/6454.html

据网信四川近日披露，四川省某医院遭受网络攻击导致全院系统瘫痪，公安机关迅速调集技术力量赶赴现场，指导相关单位开展事件调查和应急处置工作。

声明

以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。