==== 资安双周报 (240901) ==== 初一十五除了呷菜喔外 也要关心一下安全圈的消息 - 台湾 CCTV 设备发现 RCE 并用来散布 Mirai - 如何用 SQL Inject 绕过航空安检 - Azure Health Bot 存在 SSRF 问题 - Slack AI 存在 prompt injection - FlightAware 证实外泄大量用户资料 ## 台湾 CCTV 设备发现 RCE 并用来散布 Mirai ## 根据 Akamai 的 SIRT 团队 (Aline Eliovich) 发现 AVTECH CCTV 存在 RCE 漏洞[0] 根据 CVE-2024-7029 AVTECH CCTV 存在一个 command inj 漏洞且可到 RCE 已经已被用来散布 Mirai botnet ## 如何用 SQL Inject 绕过航空安检 ## 根据[1] 的研究发现航空公司的 Known Crewmember (KCM) 系统中 FlyCASS 存在一个 SQL Injection 的问题 导致可以任意增加认证机长 进而绕过航空安检 ## Azure Health Bot 存在 SSRF 问题 ## 根据研究人员发现 [2] Azure Healt Bot 存在一个 SSRF 问题 可能存取到其他客户的资料 在第一次发现时 透过 data connection 功能以及重导功能绕过检查 进而读取其他客户的资料 经过官方快速修复之後 研究人员再次发现另外一个可以利用的存取点 ## Slack AI 存在 prompt injection ## 研究人员[3] 发现 Slack AI 存在一个 prompt injection 问题 允许攻击者窃取任意使用者私人频道内的内容 ## FlightAware 证实外泄大量用户资料 ## 航班追踪服务 FlightAware 证实[4] 因配置错误造成可能的用户资料外泄 其中包含使用者 ID 密码以及 email 等 (取决於用户所提供的资料) [0]: https://401.tw/wViF [1]: https://ian.sh/tsa [2]: https://401.tw/2QfP [3]: https://401.tw/waKG [4]: https://static.flightaware.com/pdf/fa_data_notification.pdf --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 111.242.213.232 (台湾) ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/NetSecurity/M.1725158132.A.1E4.html