CISA忠言Broadcom VMware vCenter误差遭使用

宣布时间 2026-01-27

1. CISA忠言Broadcom VMware vCenter误差遭使用


1月24日 ，美国网络清静和基础设施清静局（CISA）克日将Broadcom VMware vCenter Server的严重误差CVE-2024-37079（CVSS评分9.8）纳入已知使用误差（KEV）目录。该误差源于vCenter Server对DCERPC协议实现的堆溢有缺陷 ，攻击者通过网络会见即可发送特制数据包触发误差 ，实现远程代码执行或权限提升。vCenter Server是VMware开发的虚拟化情形集中治理平台。2024年6月 ，VMware修复了CVE-2024-37079及关联误差CVE-2024-37080 ，二者均被评估为“严重”级别。博通公司随后确认 ，CVE-2024-37079已遭现实使用 ，但详细攻击细节尚未果真。在2025年亚洲黑帽大会上 ，研究职员披露CVE-2024-37079实为四个DCE/RPC误差链的一部分 ，包括三个堆溢出误差和一个权限提升误差。其中两个相关误差已于2024年9月修复 ，而特定堆溢出误差可与CVE-2024-38813团结 ，在ESXi主机上获取远程root权限。研究职员强调 ，通过组合使用这些误差 ，他们乐成在2024年Matrix Cup误差挑战赛中实现未经授权的远程root会见。


https://securityaffairs.com/187267/security/u-s-cisa-adds-a-flaw-in-broadcom-vmware-vcenter-server-to-its-known-exploited-vulnerabilities-catalog.html


2. 11年未修复的GNU Telnetd高危误差遭协同攻击


1月23日 ，克日 ，一个保存长达11年的GNU InetUtils telnetd服务器严重误差（CVE-2026-24061）被曝遭协同攻击。该误差源于telnetd未整理用户控制的USER情形变量 ，攻击者可设置USER=-f root并通过telnet -a下令毗连 ，直接绕过身份验证获取root权限。误差影响2015年宣布的1.9.3至2.7版本 ，2.8版本已修复 ，无法升级的用户可通过禁用服务或封闭TCP 23端口缓解。GNU InetUtils是GNU项目维护的经典网络工具集 ，包括telnet/ftp等客户端和服务器 ，普遍应用于Linux刊行版。只管Telnet因清静性差被SSH取代 ，但在工业物联网、摄像头、传感器及OT网络中仍普遍保存 ，这些装备常因兼容性或升级需重启而恒久运行旧版系统。Zerotak公司指出 ，OT/ICS情形中要害系统替换难题 ，遗留装备导致Telnet难以完全镌汰。威胁监控公司GreyNoise检测到针对该误差的攻击运动：1月21-22日 ，18个攻击IP通过60次Telnet会话提倡100%恶意攻击 ，发送1525个数据包（总计101.6KB）。攻击使用Telnet IAC选项协商机制注入"USER=-f "参数 ，83.3%的目的是root用户。


https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-telnetd-auth-bypass-flaw-to-get-root/


3. Stanley新型MaaS通过Chrome市肆分发垂纶扩展


1月26日 ，一种名为"Stanley"的新型恶意软件即服务（MaaS）克日引发清静界关注 ，该服务通过Chrome网上应用市肆分发恶意扩展程序实验网络垂纶攻击。据端到端数据清静公司Varonis研究 ，Stanley由假名相同的卖家开发 ，其焦点功效是在用户浏览器中笼罩全屏iframe显示垂纶内容 ，同时坚持地点栏显示正当域名以增强诱骗性。该MaaS服务支持Chrome、Edge和Brave浏览器静默自动装置 ，并提供定制化功效。其订阅模式包括多个层级 ，最高级的"Luxe套餐"配备Web控制面板 ，支持将恶意扩展直接宣布至Chrome应用市肆。Stanley的攻击机制通过阻挡页面导航并用iframe笼罩网页实现 ，操作职员可通过控制面板实时启用/禁用挟制规则 ，甚至直接向受害者浏览器推送通知诱导会见特定页面。手艺层面 ，Stanley每10秒执行C2轮询并支持备份域轮换以增强抗封闭能力。其代码保存俄语注释、空catch块和不规范过失处置惩罚等问题 ，被评价为"手艺粗糙"。但真正使其脱颖而出的是其奇异的分发战略 ，使用Chrome应用市肆作为可信平台绕过通例审核流程。


https://www.bleepingcomputer.com/news/security/new-malware-service-guarantees-phishing-extensions-on-chrome-web-store/


4. 伪造CAPTCHA与App-V剧本撒播Amatera窃密程序


1月26日 ，一项团结ClickFix要领、伪造CAPTCHA及已署名Microsoft App-V剧本的新型恶意攻击正撒播Amatera信息窃取恶意软件。据BlackPoint Cyber研究 ，攻击始于伪造的CAPTCHA验证 ，诱导受害者通过Windows运行对话框执行恶意下令。这些下令滥用正当的SyncAppvPublishingServer.vbs剧本 ，通过受信托的wscript.exe执行PowerShell代码 ，实现恶意运动隐藏化。该攻击首次在ClickFix场景中集成App-V剧本。攻击流程包括多阶段验证：初始下令会检查是否手动执行、执行顺序是否合规及剪贴板内容是否被改动 ，以规避沙箱检测。若发明剖析情形 ，执行将无限期暂停以消耗自动化剖析资源。知足条件后 ，恶意软件从Google日历文件中检索base64编码的设置数据 ，通过WMI框架天生隐藏的32位PowerShell历程 ，将嵌套有用载荷解密并加载至内存。后续阶段接纳隐写术：加密的PowerShell有用载荷嵌入公共CDN托管的PNG图像 ，通过WinINet API动态提取 ，经LSB隐写术剖析、GZip解压后内存执行。最终阶段解密并启动原生shellcode ，映射执行Amatera窃密程序。


https://www.bleepingcomputer.com/news/security/new-clickfix-attacks-abuse-windows-app-v-scripts-to-push-malware/


5. 多尔马卡巴门禁系统误差或致远程开门


1月26日 ，克日 ，多尔马卡巴（Dormakaba）物理门禁系统被曝保存严重清静误差 ，可能使黑客远程翻开大型机构大门。该误差由Atos旗下Eviden公司的网络清静咨询公司SEC Consult专家发明 ，影响规模涵盖Dormakaba的Exos中央治理软件、硬件会见治理器及支持键盘、指纹、芯片卡会见的注册单位等焦点产品。研究团队共发明20余个误差类型 ，包括硬编码凭证与加密密钥、弱密码、身份验证缺失、不清静密码天生、外地权限提升、数据泄露、路径遍历及下令注入等。这些误差主要被欧洲大型企业使用 ，涉及工业公司、能源供应商、物流企业及机场运营商等高清静需求场景。SEC Consult指出 ，攻击者若使用这些误差 ，可直接解锁门禁、窃取会见PIN码 ，或在受控情形中提倡进一步攻击。Dormakaba透露 ，可能数千名客户受影响 ，其中部分高清静需求客户危害尤为突出。Dormakaba在已往一年半内一连宣布补丁及加固指南 ，并与主要客户相助修复系统误差 ，同时体现尚未发明现实使用案例。


https://www.securityweek.com/access-system-flaws-enabled-hackers-to-unlock-doors-at-major-european-firms/


6. Crunchbase遭ShinyHunters攻击致超200万条数据泄露


1月26日 ，克日 ，企业数据平台Crunchbase证实爆发严重数据泄露事务。网络犯法组织ShinyHunters宣称从其系统中窃取了凌驾200万条小我私家纪录 ，因勒索未果 ，该组织在Tor暗网网站泄露了包括402MB数据的压缩文件。Crunchbase回应称 ，此次清静事务未对营业运营造成滋扰 ，现在误差已获得控制 ，系统清静状态已恢复。据Crunchbase披露 ，事务爆发后 ，公司连忙约请网络清静专家协助视察 ，并已通知联邦执法部分。作为事务响应流程的一部分 ，Crunchbase正在审查泄露数据的详细内容 ，以确定是否需要依据相关执法要求向受影响用户发送正式通知。该公司强调 ，攻击者宣布的文件包括企业网络中的特定信息 ，但焦点营业系统未受实质性影响。值得注重的是 ，ShinyHunters组织近期重启了其Tor数据泄露站点 ，将Crunchbase与SoundCloud、Betterment配合列入"数据泄露受害者名单" ，后两家公司此前均已证实遭遇类似攻击。


https://securityaffairs.com/187340/data-breach/shinyhunters-claims-2-million-crunchbase-records-company-confirms-breach.html