1、联想Linux摄像头漏洞可变身BadUSB攻击工具

https://eclypsium.com/blog/badcam-now-weaponizing-linux-webcams/

安全公司Eclypsium披露，部分联想Linux系统摄像头（型号510 FHD与Performance FHD）存在固件验证缺陷（CVE-2025-4371），可被远程劫持并改造成BadUSB设备，隐蔽注入按键、传送恶意载荷甚至持久化控制。攻击者可在获得系统远程执行权限后重刷摄像头固件，使其在外观和功能正常的情况下执行恶意操作，并能在系统重装后继续感染。该漏洞首次展示了USB外设在未断开连接的情况下被远程武器化的可能性。联想已于2025年4月与SigmaStar合作发布4.8.0版本固件更新及修复工具。

2、TETRA加密漏洞威胁执法通信安全

https://thehackernews.com/2025/08/new-tetra-radio-encryption-flaws-expose.html

网络安全公司Midnight Blue在Black Hat USA大会上披露TETRA无线电协议存在多项新漏洞（统称“2TETRA:2BURST”），包括重放攻击、弱化AES-128加密、缺乏消息认证及密钥恢复风险等（CVE-2025-52940至52944）。漏洞影响执法、军队、交通及关键基础设施通信，可导致攻击者注入或重放语音和数据，甚至暴力破解密钥解密流量。部分问题源于ETSI此前对旧漏洞（CVE-2022-24401）的修复不充分。研究人员警告，TETRA用于数据传输的网络尤其易遭包注入攻击，可能被用来拦截通信或传输恶意数据，对公共安全构成严重威胁。

3、Windows EPM中毒漏洞可致域权限提升

https://thehackernews.com/2025/08/researchers-detail-windows-epm.html

安全公司SafeBreach在DEF CON 33上披露，微软Windows RPC协议中的已修复漏洞（CVE-2025-49760）可被利用实施EPM中毒攻击，诱使受保护进程与攻击者控制的服务器进行认证，从而实现本地或域权限提升。攻击者可注册核心服务的接口UUID，冒充合法RPC服务器，并在系统启动延迟或手动启动服务时抢先注册接口。该漏洞于2025年7月补丁日修复，暴露了RPC端点映射器缺乏安全校验的风险。

4、Erlang/OTP SSH漏洞被大规模利用攻击OT防火墙

https://thehackernews.com/2025/08/researchers-spot-surge-in-erlangotp-ssh.html

Palo Alto Networks Unit 42警告，关键漏洞CVE-2025-32433（CVSS 10.0）在修复后仍遭大规模利用，约70%攻击目标为OT网络防火墙。该漏洞源于Erlang/OTP SSH实现缺少身份验证，攻击者可在无凭证情况下远程执行任意代码。监测显示，自2025年5月起，攻击活动集中于医疗、农业、传媒及高科技行业，主要分布在美国、加拿大、巴西、印度和澳大利亚。成功入侵后，威胁者多通过反向Shell获取持续访问权限，突显全球OT网络暴露面与安全风险。

5、智能公交系统漏洞使攻击者可远程追踪并控制车辆

https://www.freebuf.com/articles/ics-articles/443931.html

主流智能公交系统中新发现的安全漏洞可能危及乘客安全与车队完整性。研究人员在多家大型公交运营商车载调制解调器的远程管理接口中发现关键漏洞CVE-2025-44179。攻击者利用该漏洞不仅能实时追踪公交车位置，还能向车门控制、引擎启停和空调系统等关键子系统发送远程控制指令。

6、Apache bRPC 漏洞可导致远程拒绝服务攻击

https://www.freebuf.com/articles/network/443901.html

Apache bRPC 项目发布重要安全公告，披露其 Redis 协议解析器中存在一个可导致攻击者远程崩溃受影响服务的关键漏洞。该漏洞编号为 CVE-2025-54472，影响 1.14.1 之前的所有版本，包括已部分修复的 1.14.0 版本。

7、知名车企门户漏洞或致攻击者远程解锁汽车并窃取数据

https://hackread.com/carmaker-portal-flaw-hackers-unlock-cars-steal-data/

大型汽车制造商在线系统漏洞可致客户数据泄露及车辆远程控制，研究员发现后车企一周内修复。漏洞源于身份验证缺陷，攻击者通过VIN即可获取车主信息并解锁车门，危害严重。建议更新车载软件并谨慎使用远程功能。

8、 Reddit封禁互联网档案馆以阻止AI公司免费抓取数据

https://securityonline.info/reddit-blocks-internet-archive-to-stop-ai-companies-from-scraping-data-for-free/

Reddit禁止AI公司通过互联网档案馆免费抓取数据，要求商业许可并付费使用。已封锁档案馆抓取详情页，仅允许索引公开元素。此前起诉Anthropic违规抓取，显示其严格保护数据版权的决心。

9、全球近3万台Exchange服务器未修复关键混合云漏洞

https://siliconangle.com/2025/08/11/nearly-30000-microsoft-exchange-servers-remain-unpatched-critical-hybrid-flaw/

微软Exchange Server关键漏洞(CVE-2025-53786)影响近3万台系统，攻击者可利用本地权限入侵云环境。美、德、俄等国服务器风险最高。CISA要求立即修补并断开暴露服务器，专家警告未修复将导致域沦陷。

10、DarkBit攻击ESXi服务器部署勒索软件加密VMDK文件

https://cybersecuritynews.com/darkbit-hackers-attacking-vmware-esxi-servers/

DarkBit勒索软件精准攻击VMware ESXi服务器，加密虚拟机文件，但研究人员发现其AES-128-CBC加密存在漏洞，利用VMDK文件头可预测特性实现无需赎金的数据恢复，暴露加密方案缺陷。

声明

以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。