Tổng hợp bài viết được gắn thẻ “github”.
Threat actors đã truy lùng AI credentials từ Cloud hosting provider Railway để kiếm lợi bất chính. Trong gần 26 giờ, họ đã tạo ra 740.000 USD trong chi phí giả mạo và có thể tiếp cận tới 100.000 workspace credentials. Railway đã phải nỗ lực hết mình để chống lại cuộc tấn công.
Threat actors đã khai thác lỗ hổng RCE trong web application để truy cập vào hệ thống Linux và sử dụng GSocket để duy trì truy cập sau khi vá lỗ hổng. GSocket hoạt động qua một mạng relay công khai mà không có địa chỉ IP hoặc domain của threat actors, giúp họ tránh được các biện pháp ngăn chặn.
Anthropic's Claude Code tiết lộ hàng nghìn API key, thông tin cơ sở dữ liệu và các thông tin bí mật khác thông qua file .claude/settings.local.json. Công ty phát hiện 31,088 thông tin bí mật trong 23,276 repository GitHub công khai, trong đó 5343 thông tin vẫn còn hiệu lực. GitGuardian cho biết 67% thông tin bí mật trong file settings.local.json là thông tin hoạt động.
CERT-In cảnh báo về hành động tài chính được hỗ trợ bởi AI, gọi API thanh toán của nạn nhân để chuyển tiền. Tấn công sử dụng mã API được cài sẵn, chia sẻ thông tin tài khoản giữa môi trường thử nghiệm và sản xuất, và IP được tin tưởng. CERT-In xác nhận đã có 4 công cụ AI công khai và đã tấn công nhiều tổ chức tài chính.
N-able đã phát hành bản vá khẩn cấp Hotfix 2 cho N-central để sửa 7 lỗ hổng, trong đó có 2 chuỗi tấn công đạt quyền root. Một chuỗi tấn công khác cho phép thực thi lệnh không cần凭证。
N-able đã phát hành bản vá khẩn cấp cho nền tảng N-central sau khi một nghiên cứu an ninh công bố 33 lỗ hổng zero-day, trong đó có các chuỗi tấn công cho phép kẻ tấn công không xác thực chiếm quyền kiểm soát máy chủ. N-central được sử dụng rộng rãi trong các tổ chức IT để quản lý và hỗ trợ thiết bị, do đó, một máy chủ bị chiếm có thể ảnh hưởng đến tất cả các máy tính dưới sự quản lý của nó.
Một lệnh trong Claude Code vô tình lưu trữ các tệp chứa thông tin tài khoản và dữ liệu nhạy cảm lên các kho lưu trữ Git công khai, tạo ra các lỗ hổng an ninh cho các tổ chức.
Git đã phát hành bản cập nhật mới để khắc phục sáu lỗ hổng an ninh, bao gồm việc thực thi mã ngẫu nhiên khi lặp lại việc sao chép một kho lưu trữ độc hại và ghi vào các tệp không mong muốn. Các bản vá này đã được tích hợp vào Git 2.56.1 và được backport vào các phiên bản trước đó.
Microsoft FORGE Lab sử dụng công cụ AI Hyenas để phát hiện lỗi an ninh trong thư viện chuẩn Rust. Nghiên cứu chỉ ra ba mẫu lặp lại của sự tin tưởng sai lầm trong mã không an toàn, bao gồm tin tưởng mã không gây panicking, tin tưởng vào triển khai do người dùng cung cấp và tin tưởng vào hệ thống cơ bản.
Amazon Bedrock AgentCore giới thiệu một lớp bảo vệ mới để ngăn chặn ghi nhớ độc hại bằng cách áp dụng kiểm tra nội dung tại thời điểm ghi nhớ.
