CISA将SysAid高危XXE缝隙纳入已知被利用目录

颁布功夫 2025-07-24

1. CISA将SysAid高危XXE缝隙纳入已知被利用目录


7月23日，，美国网络安全与基础设施安全局（CISA）近日将影响SysAid IT支持软件的两个高危安全缝隙列入已知被利用缝隙（KEV）目录，，要求联邦机构在2025年8月12日前实现修复。这次涉及的两个缝隙（CVE-2025-2775和CVE-2025-2776）均由watchTowr Labs钻研人员Sina Kheirkhah和Jake Knott于5月披露，，CVSS评分达9.3级，，属于严重级别。两者均因XML外部实体（XXE）引用限度不当，，导致攻击者可通过Checkin处置职能和服务器URL处置职能执行治理员账户收受及敏感文件窃取。技术分析显示，，这些缝隙允许攻击者注入恶意XML实体，，触发服务器端要求伪造（SSRF）攻击。更危险的是，，当与CyberArk去年发现的号令注入缝隙（CVE-2024-36394）结应时，，可能升级为远程代码执行（RCE）。SysAid已在3月初颁布的24.4.60 build 16版本中修复这三个缝隙，，其中蕴含另一个预认证XXE缝隙（CVE-2025-2777）。只管目前尚未明确CVE-2025-2775/2776的现实攻击细节及威胁行为者身份，，CISA仍基于自动利用证据将其纳入KEV目录。


https://thehackernews.com/2025/07/cisa-warns-sysaid-flaws-under-active.html


2. 黑客伪造美国当局网站执行垂钓攻击针对教育工作者


7月24日，，网络安全领域曝光一路针对美国教育系统的网络垂钓攻击活动，，黑客通过伪造当局网站窃取教育工作者敏感信息，，引刊行业高度关注。BforeAI旗下PreCrime尝试室的威胁钻研人员发现，，多个仿照美国教育部G5拨款治理系统主页和登录门户的恶意域名正在活跃，，这些域名通过视觉设计克隆、、虚伪登录表单及JavaScript凭证窃取技术，，试图诱骗教育机构、、拨款治理员及供给商输入账号密码。G5系统作为联邦拨款资金分配的主题平台，，涉及学生增援等关键项目，，其用户覆盖学��、、州当局机构及非投机组织。这次攻击的特殊性在于，，攻击者不仅复制了官方网站（g5.gov）的界面，，还通过Cloudflare CDN服务暗藏域名真实性，，利用其宣告的SSL证书加强垂钓页面的合法性。钻研人员指出，，这些域名注册于以滥用合规政策闻名的Hello Internet Corp，，且选取analytics.php等剧本仿照登录流程，，通过DOM操作混合自动化检测，，最终将受害者疏导至/verify/端点进行二次垂钓或绕过多成分认证。PreCrime尝试室已确认六个拥有糊弄性的域名，，并于7月15日向美国能源部（DOE）提交汇报。


https://www.darkreading.com/threat-intelligence/department-of-education-site-phishing-scheme


3. Clorox告状Cognizant错误致网络攻击，，索赔超3.8亿美元


7月23日，，消费品巨头高乐氏（Clorox）近日对全球IT服务提供商Cognizant提告状讼，，指控其因重大错误导致2023年8月产生严重网络攻击。凭据诉讼文件，，Cognizant自2013年起为高乐氏提供IT运营支持，，蕴含服务台治理和身份验证服务，，但其在关键安全流程中存在系统性失职。事务起因于2023年8月11日，，黑客通过社会工程攻击屡次致电Cognizant服务台，，假意高乐氏员工要求重置密码及多成分认证（MFA）。只管高乐氏明确要求必须验证身份方可执行操作，，Cognizant客服人员却未核实来电者身份，，直接重置了员工账户及MFA凭证。更严重的是，，攻击者随后以一样伎俩骗取IT安全员工的特权账户接见权限，，导致攻击扩散至主题网络。这次入侵被归因于与"Scattered Spider"组织有关的黑客集体，，该集体曾以类似手法攻击英国玛莎百货等企业。这次攻击导致高乐氏公司网络全面瘫痪，，出产系统停摆，，引发大规模产品欠缺和供给链中断。据估算，，直接补救用度达4900万美元，，而业务中断、、销售额损失及名誉侵害等综合损失高达3.8亿美元。


https://www.bleepingcomputer.com/news/security/hackers-fooled-cognizant-help-desk-says-clorox-in-380m-cyberattack-lawsuit/


4. 每周下载量达280万次的NPM软件包遭恶意软件习染


7月23日，，盛行NPM包"is"被证实遭黑客入侵并植入后门恶意软件。这次攻击源于守护者John Harband的账户通过垂钓攻击被劫持，，攻击者在6小时内未经授权颁布了蕴含恶意代码的3.3.1至5.0.0版本，，导致每周超280万次下载的开发工具沦为攻击跳板。该恶意软件被安全团队Socket鉴定为跨平台JavaScript加载器，，通过WebSocket成立悠久后门。激活后，，恶意法式会窃取主机名、、操作系统信息、、CPU架构等系统特点，，并捕获全数环境变量。更危险的是，，其通过动态导入"ws"库成立的WebSocket衔接可将每条接管指令直接视为可执行JavaScript，，使攻击者获得交互式远程Shell权限，，相当于齐全节制受习染设备。攻击产生后，，NPM官方垂危删除恶意版本，，但自动更新机制导致部门隔发者在6小时窗堪②内被动接管了有毒版本。安全专家建议开发团队立即冻结依赖版本，，关闭自动更新职能，，并通过锁文件锁定安全版本；守护者需全面重置账户密码并轮换所有关联令牌。


https://www.bleepingcomputer.com/news/security/npm-package-is-with-28m-weekly-downloads-infected-devs-with-malware/


5. 法乌结合行动查封俄语黑客论坛XSS.is


7月23日，，应巴黎检察院要求，，乌克兰警方在欧洲刑警组织协助下，，于2025年7月23日扣留了俄语黑客论坛XSS.is的疑似治理员，，并正式查封该平台。这一行动标志取持续四年的跨国网络犯罪调查获得关键突破，，也反映出国际法律机构对暗网犯罪生态的精准进攻能力。XSS.is作为俄语区最具影响力的网络犯罪论坛之一，，自2013年运营以来堆集超5万名注册用户，，持久充任恶意软件买卖、、勒索软件服务（RaaS）推广及受习染系统接见权限贩卖的枢纽。只管该平台曾于2021年5月颁发不容勒索软件有关会商，，但法国司法部门调查显示，，其背后团伙仍通过加密通讯渠道持续协调犯法活动，，四年间获取至少700万美元犯法利润。这次调查始于2021年7月，，由巴黎检察院网络犯罪部门牵头，，巴黎警员局网络犯罪大队具体执行。法方通过攻破黑客常用的加密通讯平台Jabber服务器（thesecure.biz），，对犯罪团伙通讯执行司法监听，，成功截获大量涉及网络攻击、、数据勒索的犯罪证据�；谡庑┫咚�，，法律机构于2021年11月启动刑事调查，，并于2024年9月部署线下行动，，最终在乌方共同下实现对论坛治理员的抓捕。


https://www.bleepingcomputer.com/news/security/ukraine-arrests-suspected-admin-of-xss-russian-hacking-forum/


6. 法国就业局再遭数据泄露，，影响34万求职者


7月23日，，法国就业局（France Travail）于2025年7月13日发现其“就业”门户网站产生数据泄露事务，，影响约34万求职者，，成为该机构两年内第二次重大安全变乱。这次泄露露出的用户信息蕴含姓名、、邮政地址、、电子邮箱、、电话号码、、机构标识符及求职状态，，但密码与银行细节未被获取。法国网络安全机构（ANSSI）下属的推算机应急响应小组（CERT-FR）于7月12日率先监测到异常，，法国就业局随后于7月22日向用户发送警示邮件，，提醒防备网络垂钓攻击。调查显示，，泄露源于伊泽尔省某培训组织关联账户遭信息窃取恶意软件（infostealer）入侵。攻击者通过该账户获取了Kairos利用法式的接见权限，，该平台用于追踪求职者培训进度，，最终导致数据外泄。法国就业局讲话人证实，，涉事服务（蕴含就业门户与Kairos系统）已立即关闭，，并打算于7月24日复原运营。作为补救措施，，原定2026年部署的双成分认证（2FA）被提前执行，，以强化账户安全。值得关注的是，，2024年3月该机构曾因IT系统遭攻击，，导致从前20年内注册的4300万用户数据泄露，，创下法国公共部门数据泄露规模之最。


https://www.infosecurity-magazine.com/news/france-data-breach-jobseekers/