syg6921008的博客

这些缺陷被识别为CVE-2025-3619和CVE-2025-3620,在Windows和Mac的135.0.7049.95/.96之前影响Chrome版本,影响Linux的135.0.7049.95/.96。该公司的内部安全工具,包括AddressSanitizer,MemorySantizer和libFuzzer,在发现和减轻这些威胁之前,在它们被广泛利用之前发挥了关键作用。一旦被利用,攻击者可能会窃取存储在浏览器中的密码、财务信息和其他敏感数据,甚至控制受影响的设备。关键 Chrome 漏洞。

Web安全是一项系统性工程，漏洞防护需贯穿于需求设计、开发实现、上线测试、运维加固等各个环节。常见漏洞虽模式固定，但攻击链灵活多变，攻击者会结合多个漏洞绕过防护或提升权限。

​CVE-2025-30065 是 Apache Parquet Java 库（特别是其 parquet-avro 模块）中一个严重的反序列化漏洞，允许攻击者通过特制的 Parquet 文件在目标系统上执行任意代码。​由于官方未明确指出具体的类名，建议查看 parquet-avro 模块中负责模式解析的相关类，以进一步分析漏洞细节。​然而，鉴于该漏洞的严重性，建议用户立即采取措施进行防护。限制不受信任的输入： 在处理来自外部或不受信任来源的 Parquet 文件时，务必谨慎，避免处理未经验证的文件。

换句话说，攻击需要发送一个 PUT 请求，其中包含一个 Base64 编码的序列化 Java 有效负载，该负载被写入 Tomcat 的会话存储目录，随后在反序列化过程中通过发送带有指向恶意会话的 JSESSIONID 的 GET 请求来执行。“虽然此漏洞滥用了会话存储，但更大的问题是 Tomcat 中的部分 PUT 处理，这允许将几乎任何文件上传到任何地方，”它补充道。该公司表示：“此次攻击利用了 Tomcat 的默认会话持久机制及其对部分 PUT 请求的支持。2025 年 4 月 6 日。

仅影响使用“next start”和“output: standalone”的自托管版本。JFrog表示：“该漏洞允许攻击者轻松绕过 Next.js 中间件中执行的授权检查，从而可能允许攻击者访问为管理员或其他高权限用户保留的敏感网页。Next.js在一份公告中表示： “Next.js 使用内部标头 x-middleware-subrequest 来防止递归请求触发无限循环。Next.js React 框架中披露了一个严重的安全漏洞，该漏洞可能在某些条件下被利用来绕过授权检查。

大约 43% 的云环境容易受到这些漏洞的影响。Kubernetes的Ingress NGINX 控制器中披露了五个严重的安全缺陷，可能导致未经身份验证的远程代码执行，并将组件暴露给公共互联网，使 6,500 多个集群面临直接风险。该公司在与 The Hacker News 分享的一份报告中表示：“利用这些漏洞会导致攻击者未经授权访问 Kubernetes 集群中所有命名空间中存储的所有机密，从而导致集群接管。“准入控制器的提升权限和不受限制的网络可访问性创建了一条关键的升级路径，”Wiz 解释道。

除了对CVE-2023-4966进行零日攻击，影响Citrix NetScaler设备之外，UNC5221还利用受感染的Cyber​​​​oam设备、QNAP设备和华硕路由器的干扰网络在入侵操作期间泄露其真实来源，微软上个月初也强调了这一点，详细介绍了Silk Typhoon的最新技巧。该公司表示，它知道“有限数量的客户”的 Connect Secure 和已终止支持的 Pulse Connect Secure 设备遭受了攻击。Silk Typhoon 是微软对这一活动的称呼，我们无法确定其归属。

云安全公司 Aqua 在本周发布的分析报告中表示，发现了一项新的攻击活动，该攻击活动针对具有易于猜测的凭据的 Apache Tomcat 服务器，以部署加密负载，旨在窃取 SSH 凭据进行横向移动，并最终劫持系统资源进行非法加密货币挖掘。虽然没有证据表明该漏洞已被广泛利用，但 Apache 项目中的漏洞已成为威胁行为者的攻击目标，他们希望趁机侵入系统并部署恶意软件。“此外，该脚本还用于检查用户是否具有 root 权限，如果具有，则执行两个功能来优化 CPU 消耗，以获得更好的加密挖掘结果。

上个月底，SEQRITE 实验室透露，俄罗斯的学术、政府、航空航天和国防相关网络正成为武器化诱饵文件的攻击目标，这些诱饵文件很可能是通过网络钓鱼电子邮件发送的，这是一项名为“Operation HollowQuill”的活动的一部分。在某些情况下，这些链接嵌入在 PDF 附件中。俄罗斯能源公司、工业企业以及电子元件供应商和开发商组织也成为了代号为Unicorn的威胁行为者发起的网络钓鱼攻击的受害者，该攻击释放了一种 VBS 木马，旨在从受感染主机中窃取文件和图像。这些攻击尚未被归咎于任何国家。