| 免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。 1 Mirai恶意软件变种正在积极利用WebSVN命令注入漏洞 研究人员观察到最近公开的一个影响WebSVN(一个用于浏览源代码的开源web应用程序)的命令注入漏洞（CVE-2021-32305）。在2021年5月发现并修复了关键的命令注入漏洞。概念验证发布后一周内，即2021年6月26日，攻击者利用该漏洞部署了Mirai DDoS恶意软件的变种。对该恶意软件的分析表明，它用于执行分布式拒绝服务攻击，并且与Mirai僵尸网络家族共享其部分代码。研究人员强烈建议WebSVN用户升级到最新的软件版本。 
https://unit42.paloaltonetworks.com/cve-2021-32305-websvn/ 2 ProxyToken漏洞允许攻击者修改Exchange服务器配置 被称为为ProxyToken的漏洞允许远程攻击者绕过身份验证并更改Exchange电子邮件服务器的后端配置。由越南VNPT ISC安全研究员发现的ProxyToken漏洞可以用来偷偷向用户邮箱添加电子邮件转发规则，这样所有发给受害者的电子邮件也会被发送到攻击者控制的账户。研究人员表示，该漏洞的存在是因为Exchange代码中的两个问题：包含名为“SecurityToken”的非空cookie的请求从前端重定向到后端不进行身份验证；HTTP 500错误响应暴露Exchange控制面板canary令牌。
https://therecord.media/proxytok … nge-server-configs/ 3 开源Python机器学习框架TensorFlow存在RCE漏洞 谷歌流行的开源Python机器学习库TensorFlow背后的团队由于存在任意代码执行漏洞而取消了对YAML的支持。YAML是一种通用格式，用于存储数据并在进程和应用程序之间传递对象。许多Python应用程序使用YAML来序列化和反序列化对象。根据GitHub的一项建议，TensorFlow和TensorFlow的包装库Keras使用了一个不安全的函数来反序列化YAML编码的机器学习模型。如下图所示，POC显示漏洞被利用来返回敏感系统文件的内容。
https://portswigger.net/daily-sw … rary-code-execution
4 HPE警告Sudo存在严重漏洞导致攻击者获取root权限 Aruba AirWave管理平台是Hewlett Packard Enterprise（HPE）针对有线和无线基础设施的实时监控和安全警报系统，Sudo是在其Aruba AirWave管理平台中使用的一个开源程序。HPE警告说Sudo中存在一个漏洞（CVE-2021-3156），它可能允许任何无特权和未经身份验证的本地用户在易受攻击的主机上获得root权限。Sudo 漏洞的严重性等级很高，它可能是“链式攻击”的一部分，其中攻击者通过另一个漏洞获得了较低权限的立足点，然后利用它来提升权限。
https://threatpost.com/hpe-sudo-bug-aruba-platform/169038/ 5 加拿大移民系统漏洞导致政府额外接受了7307份申请 加拿大移民系统的一个漏洞导致政府接受了额外的7307份移民申请，超过了规定的限制。这包括希望将临时签证身份更改为永久居留权的国际研究生申请人的文件。加拿大移民法通常对每条路线一年内可以接受的移民申请数量设定限制。例如，符合条件的加拿大国际毕业生可以通过在线申请将其临时居留身份调整为永久居留 。2021年，国际研究生流的上限为40000份申请。但是，在线系统中的一个漏洞导致接受了超过限制的7307份的超额申请。
https://www.bleepingcomputer.com … e-to-technical-bug/ 6 诈骗者冒充OpenSea数字资产市场的客服窃取加密货币 OpenSea是一个基于区块链的数字资产市场，诈骗者正在冒充其支持人员窃取数字资产，如加密货币等不可替代的代币。受害者在推特上说:“攻击发生的方式是，人们被告知去OpenSea Discord并发布他们的支持票，攻击者监视这些渠道，然后与伪装成OpenSea客服，并提供他们的支持声明信息。假客服欺骗了他，无意中允许她访问自己的MetaMask钱包，导致存储在那里的加密货币和非同质化代币丢失。”
https://www.govinfosecurity.com/ … mer-support-a-17414 |
