Pillow严沉缝隙CVE-2023-50447让Python项目面对风险

颁布功夫 2024-01-23

1. Pillow严沉缝隙CVE-2023-50447让Python项目面对风险


1月21日，Pillow作为很多项主张基石，作为 Python 成像库 (PIL) 的现代继承者。该库因其处置各类图像处置工作的壮大职能而受到器沉。然而，安全钻研人员 Duarte Santos 最近发现了一个严沉缝隙 CVE-2023-50447，该缝隙可能允许攻击者执行肆意代码。该缝隙的 CVSS 评分为 9.0，位于 Pillow 的“PIL.ImageMath.”函数中。该函数旨在评估涉及图像的数学表白式，无意中允许节造传递给“环境”参数的密钥的攻击者执行肆意代码。问题源于 Pillow 若何处置这些表白式，它依赖于 Python 的内置“”，但拥有图像处置的附加职能。该利用技术萦绕把持评估高低文以蕴含恶意“co_names”，从而绕过预期的限度。通过奇妙地使用 Python 的 dunder（双下划线）步骤，攻击者能够挪用 eval 高低文中存在的对象内的肆意步骤，从而导致代码执行。


2. SmokeLoader恶意软件在针对乌克兰确当局机构和公司


1月19日，AhnLab 安全谍报中心 (ASEC) 发现多个 SmokeLoader 恶意软件在分发给乌克兰当局和公司。近期针对乌克兰的袭击事务似乎有所增长。目前确认的指标蕴含乌克兰司法部、公共机构、保险公司、医疗机构、构筑公司和造作公司等。分发的电子邮件遵循乌克兰语体式。正文蕴含与发票有关的信息，提醒读者执行附件。SmokeLoader是一种下载器恶意软件，它能够在衔接到C&C服务器后通过接管号令来下载额表的� ？榛蚨褚馊砑�。执行时会注入explorer.exe，并通过以下贱程进行恶意活动。首先，它在 %AppData% 蹊径中将自身复造为“ewuabsi”，暗藏自身并授予系统文件属性。而后，它尝试衔接到下面列出的 C&C 服务器，其中能够额表下载 Lockbit 勒索软件和各类其它恶意软件。


3. Tietoevry遭勒索软件Akira攻击导致瑞典企业和城市停电


1月21日，芬兰 IT 服务和企业云托管提供商 Tietoevry 遭逢勒索软件攻击，影响其位于瑞典的一个数据中心的云托管客户，据报路，这次攻击是由 Akira 勒索软件团伙提议的。Tietoevry 是一家芬兰 IT 服务公司，为企业提供托管服务和云托管。该公司在全球占有约 24,000 名员工，2023 年收入为 31 亿美元。勒索软件攻击对该公司的虚构化和治理服务器进行了加密，这些服务器用于托管瑞典多多企业的网站或利用法式。瑞典最大的连锁影院 Filmstaden 已确认 他们受到这次攻击的影响，因而无法通过网站或移动利用法式在线采办电影票；其他受到攻击影响的公司蕴含折扣零售连锁店 Rusta、原资料供给商 Moelven和农业供给商 Grangn?rden，后者 在 IT 服务复原期间被迫 关关商店；停电还影响了瑞典的多多当局机构和市政当局，蕴含 Statens 服务中心、  Vellinge 视注  Bjuv 市和 乌普萨拉县。


4. LockBit勒索软件团伙宣称已入侵美国快餐连锁店Subway


1月21日，Subway IP LLC 是一家美国跨国快餐连锁店，主营海底三明治 (subs)、卷饼、沙拉和饮料。Lockbit 勒索软件组织将 Subway 增长到其 Tor 数据泄露网站的受害者名单中，并威胁于 2024 年 2 月 2 日 21:44:16 UTC 泄露被盗数据。该组织宣称窃取了数百GB的敏感数据。该团伙暗示，被盗数据蕴含员工工资、特许经营权使用费、主特许经营佣金支付、餐厅交易额等。Tor 泄露网站上颁布的新闻：“最大的三明治连锁店假装什么都没产生。我们窃取了他们的 SUBS 内部系统，其中蕴含数百 GB 的数据和特许经营权的所有财政预期，蕴含员工工资、特许经营权使用费、主特许经营佣金支付、餐厅交易额等。我们给他们一些功夫来�；ふ庑┦菔�，若是没有，我们愿意向竞争敌手销售。” 


5. 钻研团队发现利用CVE-2023-46604的攻击活动Godzilla


1月22日，网络安全钻研人员忠告说，威胁行为者的活动“显着增长”，他们积极利用 Apache ActiveMQ 中现已建补的缺点，在受习染的主机上传递 Godzilla Web shell。该shell 暗藏在未知的二进造体式中，旨在逃避安全和基于署名的扫描法式。值妥贴心的是，只管二进造文件体式未知，ActiveMQ 的 JSP 引擎仍持续编译并执行 Web shell。CVE-2023-46604（CVSS 评分：10.0）是指Apache ActiveMQ 中的一个严沉缝隙，该缝隙可实现远程代码执行。自 2023 年 10 月下旬公开披露以来，它已被多个敌手积极利用，以部署勒索软件、rootkit、加密钱币矿工和DDoS 僵尸网络。


6. 安全钻研团队颁布� ？榛韭鞿loader新变种的分析汇报


1月22日，Zloader 诞生于泄露的 Zeus 源代码，于 2016 年初次出现，指标是德国银行。然而，它的活动能够追忆到 2015 年。在 2018 年之后的中断之后，它于 2019 年底以“安然夜”的名义沉新崛起，对其职能带来了沉大扭转和加强。Zloader 从银行木马到勒索软件攻击工具的过程反映了网络威胁的适应性。其演变在 2021 年 9 月开发出 2.0.0.0 版本时达到顶峰。只管在 2022 年 4 月进行了删除操作，Zloader 仍于 2023 年以更复杂的更新回归，展示了其弹性和对网络安全的持续威胁。Zloader 的最新版本于 2023 年 9 月起头开发，引入了先进的混合技术、更新的域天生算法和用于网络通讯的 RSA 加密。值妥贴心的是，该加载法式此刻支持 64 位 Windows 版本，这标志取其操作能力的沉大转变。这次演变蕴含新版本 2.1.6.0 和 2.1.7.0，凸起了 Zloader 的持续发展和威胁。