Forwarded from 灰色天空风向标
【漏洞通知】
1panel面板存在SQL注入漏洞可导致远程命令执行,影响较大,尽快自查建议尽快处理。
https://github.com/1Panel-dev/1Panel/security/advisories/GHSA-5grx-v727-qmq6
1panel面板存在SQL注入漏洞可导致远程命令执行,影响较大,尽快自查建议尽快处理。
https://github.com/1Panel-dev/1Panel/security/advisories/GHSA-5grx-v727-qmq6
Forwarded from 灰色天空风向标
Telegram安卓应用曝出0day漏洞,允许恶意文件伪装成视频进行传播
2024年7月22日,ESET研究人员披露Telegram存在一个名为“EvilVideo”的零日漏洞,该漏洞影响 Telegram v10.14.4 及更早版本。利用这一漏洞,攻击者可以在Telegram频道、聊天和群组中,将恶意 Android APK 伪装成视频文件传播。
该漏洞最初被发现于2024年6月6日,当时ESET研究人员在一个地下论坛上看到了一则关于该漏洞的广告。化名“Ancryno”的卖家以未公开的价格出售该零日漏洞,声称其适用于Telegram版本10.14.4及更早版本。于是ESET追踪到相关频道,获取恶意负载并进行详细分析。
分析结果显示,“EvilVideo”漏洞仅在 Telegram 的 Android 版本中有效,允许攻击者创建特制的 APK 文件,而这些文件在发送给其他用户时会显示为视频格式。在默认设置下,Telegram 应用会自动下载媒体文件,因此频道参与者一打开对话就会在设备上接收到恶意负载。对于已禁用自动下载的用户,单击视频预览也会启动文件下载。而当用户尝试播放假视频时,Telegram 会弹出使用外部播放器提示窗口,这可能导致接收者点击“打开”按钮并执行恶意负载。
Telegram用户如果最近有收到请求使用外部应用播放的视频文件,保险起见最好进行一次杀毒扫描。Telegram视频文件通常会存储在 '/storage/emulated/0/Telegram/Telegram Video/'(内部存储)或 '/storage/<SD Card ID>/Telegram/Telegram Video/'(外部存储)之中。
2024年7月22日,ESET研究人员披露Telegram存在一个名为“EvilVideo”的零日漏洞,该漏洞影响 Telegram v10.14.4 及更早版本。利用这一漏洞,攻击者可以在Telegram频道、聊天和群组中,将恶意 Android APK 伪装成视频文件传播。
该漏洞最初被发现于2024年6月6日,当时ESET研究人员在一个地下论坛上看到了一则关于该漏洞的广告。化名“Ancryno”的卖家以未公开的价格出售该零日漏洞,声称其适用于Telegram版本10.14.4及更早版本。于是ESET追踪到相关频道,获取恶意负载并进行详细分析。
分析结果显示,“EvilVideo”漏洞仅在 Telegram 的 Android 版本中有效,允许攻击者创建特制的 APK 文件,而这些文件在发送给其他用户时会显示为视频格式。在默认设置下,Telegram 应用会自动下载媒体文件,因此频道参与者一打开对话就会在设备上接收到恶意负载。对于已禁用自动下载的用户,单击视频预览也会启动文件下载。而当用户尝试播放假视频时,Telegram 会弹出使用外部播放器提示窗口,这可能导致接收者点击“打开”按钮并执行恶意负载。
Telegram用户如果最近有收到请求使用外部应用播放的视频文件,保险起见最好进行一次杀毒扫描。Telegram视频文件通常会存储在 '/storage/emulated/0/Telegram/Telegram Video/'(内部存储)或 '/storage/<SD Card ID>/Telegram/Telegram Video/'(外部存储)之中。
Forwarded from 科技圈🎗在花频道📮
macOS 后门“HZ Rat”瞄准钉钉和微信用户,米哈游域名vpn.mihoyo[.]com涉及其中
自2024 年 6 月,卡巴斯基安全团队发现了 macOS 版本的 HZ Rat 后门,该后门针对的是企业通讯工具 DingTalk 和社交网络及消息平台微信的用户。该后门能根据远程服务器执行shell命令,并收集设备信息及文件(包括微信用户信息,钉钉公司名和用户信息)。
此外,根据 VirusTotal 的说法,上面提到的安装包之前是从中国视频游戏开发商 MiHoYo 的域名下载的。目前尚不清楚该文件是如何进入合法域名的,以及该公司是否遭到黑客攻击。
卡巴斯基
☘️ 关注频道 @ZaiHua
📮 投稿爆料 @ZaiHuabot
自2024 年 6 月,卡巴斯基安全团队发现了 macOS 版本的 HZ Rat 后门,该后门针对的是企业通讯工具 DingTalk 和社交网络及消息平台微信的用户。该后门能根据远程服务器执行shell命令,并收集设备信息及文件(包括微信用户信息,钉钉公司名和用户信息)。
此外,根据 VirusTotal 的说法,上面提到的安装包之前是从中国视频游戏开发商 MiHoYo 的域名下载的。目前尚不清楚该文件是如何进入合法域名的,以及该公司是否遭到黑客攻击。
卡巴斯基
☘️ 关注频道 @ZaiHua
📮 投稿爆料 @ZaiHuabot
Forwarded from LoopDNS资讯播报
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from Pavel Durov (Paul Du Rove)
🔎 Search on Telegram is more powerful than in other messaging apps because it allows users to find public channels and bots. Unfortunately, this feature has been abused by people who violated our Terms of Service to sell illegal goods.
💪 Over the last few weeks, a dedicated team of moderators, leveraging AI, has made Telegram Search much safer. All the problematic content we identified in Search is no longer accessible. If you still manage to find something unsafe or illegal in Telegram Search, please report it to us via @SearchReport.
🚫 To further deter criminals from abusing Telegram Search, we have updated our Terms of Service and Privacy Policy, ensuring they are consistent across the world. We’ve made it clear that the IP addresses and phone numbers of those who violate our rules can be disclosed to relevant authorities in response to valid legal requests.
☝️ These measures should discourage criminals. Telegram Search is meant for finding friends and discovering news, not for promoting illegal goods. We won't let bad actors jeopardize the integrity of our platform for almost a billion users.
Please open Telegram to view this post
VIEW IN TELEGRAM
在機場 Client 同化,subscription 由於通常包含 panel 自帶規則而基礎 length 較長且同化以致總 length 同化的背景下,我認為中國各地 ISP 在接入層透過統計學方式篩選和干擾 subscription domain 是可能的。
在此之前通常透過對有 DNS/HTTP(S) 請求的 domain 進行特徵 path 掃描,及透過 SNS 軟體、輸入法軟體、browser、中國國產 OS/UI 上報及識別 subscription link。
在 subscription link 之 path 增長/變換方案已經普及的今天,我仍認為開發更具對抗性質的 subscription method 是有其必要性的。
在此之前通常透過對有 DNS/HTTP(S) 請求的 domain 進行特徵 path 掃描,及透過 SNS 軟體、輸入法軟體、browser、中國國產 OS/UI 上報及識別 subscription link。
在 subscription link 之 path 增長/變換方案已經普及的今天,我仍認為開發更具對抗性質的 subscription method 是有其必要性的。
https://github.com/bron1e/Clash-Verge-Rev-RCE
(1)Use DNS Rebinding + 0.0.0.0 day to upgrade CSRF, bypass S
(2)The -d and -f options are fixed in the source code, and Rust has good defense against command injection, so it is difficult to directly reverse shell. However, log_file is also controllable and can write specific content.