纸飞机安卓版惊现0day漏洞，恶意软件藏在小视频中被疯传；Docker引擎爆出关键漏洞！攻击者可轻松越权；谷歌大反转，放弃淘汰Chrome第三方Cooki | 安全周报0726

新闻1：纸飞机安卓版惊现0day漏洞，恶意软件藏在小视频中被疯传

Telegram的Android版移动应用程序存在一个名为EvilVideo的零日安全漏洞，攻击者可利用该漏洞将恶意文件伪装成看似无害的视频。

ESET称，2024年6月6日，该漏洞利用程序在一个地下论坛上以未知价格出售。在6月26日负责任地披露之后，Telegram在7月11日发布的10.14.5版本中解决了这个问题。

安全研究员Lukáš Štefanko在一份报告中说：“攻击者可以通过Telegram频道、群组和聊天分享恶意的Android有效载荷，并使它们看起来像是多媒体文件。”

据信，该有效载荷是使用Telegram的应用程序编程接口(API)配制的，该接口允许通过编程将多媒体文件上传到聊天和频道。这样做可以让攻击者将恶意的APK文件伪装成30秒的视频。

点击视频的用户会看到一条实际的警告消息，指出视频无法播放，并敦促他们尝试使用外部播放器播放。如果他们继续执行此步骤，系统会随后要求他们允许通过Telegram安装APK文件。该应用程序名为“xHamster Premium Mod”。

关键词：零日安全漏洞、恶意软件、Telegram、Android、EvilVideo、多媒体文件、应用编程接口(API)、APK文件

https://thehackernews.com/2024/07/telegram-app-flaw-exploited-to-spread.html

新闻2：谷歌大反转！放弃淘汰Chrome第三方Cookie计划，用户隐私何去何从？

在推出“隐私沙箱”这一具有争议性的提案四年多后，谷歌于周一放弃了在其Chrome网络浏览器中逐步淘汰第三方追踪Cookie的计划。

该计划副总裁安东尼·查韦斯表示：“我们将不会在Chrome中淘汰第三方Cookie，而是会引入一种新体验，让人们可以在网络浏览时做出明智的选择，而且他们可以随时调整这一选择。”

“我们正在与监管机构讨论这条新路径，并将在推出时与行业合作。”
这一重大政策转变发生在该公司宣布打算在明年初开始淘汰第三方Cookie之后近三个月，此前该计划已多次推迟，凸显出该项目的动荡历史。

尽管Apple Safari和Mozilla Firefox自2020年初就不再支持第三方Cookie，但谷歌由于同时扮演网络浏览器供应商和广告平台的重要角色，因此更难以将其关闭。

关键词：第三方追踪Cookie、Chrome网络浏览器、隐私沙箱、逐步淘汰、政策转变、监管机构

https://thehackernews.com/2024/07/google-abandons-plan-to-phase-out-third.html

新闻3：新型ICS恶意软件“FrostyGoop”来袭，关键基础设施面临严重威胁！

今年1月，乌克兰利沃夫的一家能源公司遭受了破坏性网络攻击。网络安全研究人员发现，这是第九种被用于此类攻击的专注于工业控制系统(ICS)的恶意软件。

工业网络安全公司Dragos将该恶意软件命名为FrostyGoop，称其为第一种直接使用Modbus TCP通信破坏运营技术(OT)网络的恶意软件。该公司于2024年4月发现了这种恶意软件。

研究人员Kyle O’Meara、Magpie（Mark）Graham和Carolyn Ahlers在与The Hacker News分享的一份技术报告中表示：“FrostyGoop是一种用Golang编写的针对ICS的特定恶意软件，可以使用Modbus TCP通过502端口直接与工业控制系统(ICS)进行交互。”

据信，该恶意软件主要针对Windows系统设计，已被用于攻击TCP 502端口暴露在互联网上的ENCO控制器。它尚未与任何先前已确定的威胁行为者或活动集群相关联。

关键词：工业控制系统(ICS)、恶意软件、FrostyGoop、Modbus TCP通信、运营技术(OT)网络、Golang、Windows系统、ENCO控制器

https://thehackernews.com/2024/07/new-ics-malware-frostygoop-targeting.html

新闻4：Docker引擎爆出关键漏洞！攻击者可轻松绕过授权插件，你的系统还安全吗？

Docker发出警告，某些版本的Docker引擎存在一个关键漏洞，该漏洞可能允许攻击者在特定情况下绕过授权插件（AuthZ）。

该绕过和权限提升漏洞被追踪为CVE-2024-41110，其CVSS评分为10.0，表明其严重性极高。

Moby项目的维护人员在一份咨询报告中表示：“攻击者可以利用API请求中的绕过漏洞，将Content-Length设置为0，导致Docker守护进程将没有主体的请求转发给AuthZ插件，该插件可能会错误地批准该请求。”

Docker表示，该问题是一个回归问题，该问题最初是在2018年发现的，并在2019年1月的Docker Engine v18.09.1中得到了解决，但从未延续到后续版本（19.03及更高版本）。

关键词：Docker引擎、授权插件（AuthZ）、CVE-2024-41110、绕过漏洞、权限提升漏洞、API请求、Content-Length

https://thehackernews.com/2024/07/critical-docker-engine-flaw-allows.html