Aggregator

A vulnerability classified as problematic was found in mbed TLS up to 2.28.1/3.2.x. Affected by this vulnerability is an unknown functionality of the component RSA Private Key Handler. The manipulation of the argument MBEDTLS_MPI_WINDOW_SIZE leads to information exposure through discrepancy. This vulnerability is known as CVE-2022-46392. The attack can be launched remotely. There is no exploit available. It is recommended to upgrade the affected component.

A vulnerability was found in ARM mbed TLS up to 3.0.0 and classified as problematic. Affected by this issue is the function mbedtls_pkcs12_derivation of the component Password Length Handler. The manipulation leads to denial of service. This vulnerability is handled as CVE-2021-43666. The attack may be launched remotely. Furthermore, there is an exploit available. It is recommended to apply a patch to fix this issue.

A vulnerability classified as problematic was found in Mbed TLS up to 2.16.10/2.26.x. Affected by this vulnerability is the function mbedtls_mpi_exp_mod of the file lignum.c. The manipulation leads to risky cryptographic algorithm. This vulnerability is known as CVE-2021-36647. Attacking locally is a requirement. There is no exploit available. It is recommended to upgrade the affected component.

苹果计划推出搭载A18 Pro芯片的13英寸MacBook入门款设备，价格更低且适合简单办公和网页浏览任务。该设备预计于年底或明年年初上市，并将与Windows PC和Chromebook竞争教育及中低端市场。

文章描述了错误代码521的原因及解决方法。

HackerNews 编译，转载请注明出处： 美国网络安全和基础设施安全局（CISA）已将编号为 CVE-2025-6543 的 Citrix NetScaler 漏洞纳入其 已知被利用漏洞目录（KEV Catalog）。该漏洞为内存溢出类型（CVSS 评分 9.2），当 NetScaler ADC 或 NetScaler Gateway 配置为网关（含 VPN 虚拟服务器、ICA 代理、CVPN、RDP 代理）或 AAA 虚拟服务器时，可能引发非预期控制流并导致服务拒绝（DoS），破坏系统可用性。 受影响版本包括： NetScaler ADC 13.1-FIPS 及 NDcPP 版本低于 13.1-37.236-FIPS and NDcPP NetScaler ADC 与 Gateway 14.1 版本低于 14.1-47.46 NetScaler ADC 与 Gateway 13.1 版本低于 13.1-59.19 根据 BOD 22-01 指令（降低已知被利用漏洞重大风险），联邦民事行政部门（FCEB）机构需在截止日期前修复漏洞以防范攻击。CISA 要求联邦机构最晚于 2025 年 7 月 21 日完成修复，同时强烈建议私营企业自查并修复此漏洞。 历史关联行动： 2024 年 1 月，CISA 曾将另两个 Citrix NetScaler 漏洞 CVE-2023-6548（代码注入）和 CVE-2023-6549（缓冲区溢出）纳入 KEV 目录。Citrix 当时警告称，未修复设备上已发现针对这两项零日漏洞的攻击，敦促用户立即安装更新版本。       消息来源： securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

Google has issued an urgent security update for Chrome browser users worldwide, addressing a critical zero-day vulnerability that is actively being exploited by cybercriminals. The high-severity flaw, designated CVE-2025-6554, allows attackers to execute arbitrary code on affected systems through a type confusion vulnerability in Chrome’s V8 JavaScript engine. Key Points1. CVE-2025-6554, a high-severity type confusion […]

The post Chrome 0-Day Vulnerability Exploited in the Wild to Execute Arbitrary Code – Patch Now appeared first on Cyber Security News.

Канада бьёт тревогу о национальной безопасности.

文章描述了错误代码521的情况，指出该错误通常由Cloudflare引起，表示Cloudflare服务器在尝试访问原始服务器时遇到连接超时问题。此错误可能由于原始服务器响应缓慢或网络配置问题导致，并建议用户检查服务器状态或联系Hosting提供商以解决问题。

HackerNews 编译，转载请注明出处： 俄罗斯互联网服务提供商（ISP）对受Cloudflare保护的网站实施访问限制，导致该国网络流量严重中断。美国互联网基础设施公司Cloudflare证实，自6月9日起实施的限流措施使俄罗斯用户无法正常访问依赖其平台的网站和服务。该公司内部数据显示，ISP将每次请求的数据传输量限制在仅16KB，导致多数网站功能瘫痪。 Cloudflare声明：“限流行为超出我方控制范围，目前无法以合法方式为俄罗斯用户恢复稳定高性能的访问服务。”俄罗斯联邦通信监管局（Roskomnadzor）数月来持续打压Cloudflare，德国Hetzner、美国DigitalOcean及法国OVH等其他外国云服务商也遭遇类似限制。该机构呼吁用户停用这些服务，转向本土托管提供商。 技术封锁手段包括： 深度包检测：通过注入虚假数据包中断连接，或直接阻断数据引发超时。 协议层限制：影响TCP/TLS协议的HTTP/1.1/2及QUIC协议的HTTP/3。 流量整形：针对境外服务器实施无差别限流，即使连接请求发自俄罗斯境内。 2024年11月，俄方曾因Cloudflare的加密客户端问候（ECH）技术能隐藏用户访问目标网站信息，以“规避政府审查”为由封禁数千家使用该服务的网站。此次限流后，俄罗斯境内Cloudflare流量骤降30%，但当局否认存在此类干扰行为。 企业影响与应对 小型电商企业受冲击最严重，可能面临流量大幅流失。俄罗斯本土服务目前仍无法完全替代Cloudflare的DDoS防护能力，迁移过程成本高昂且技术复杂。Cloudflare建议俄罗斯站点运营商联系当地机构要求解除限制，同时指出：“若您的网站使用Cloudflare防护，当前我们无法为俄罗斯用户恢复网络连接。” 地缘技术博弈 与多数西方科技公司不同，Cloudflare在2022年俄乌冲突后未完全退出俄罗斯市场，当时声明“俄罗斯需要更多而非更少的互联网访问”。但该公司终止了受制裁实体的服务，包括金融机构和影响活动相关客户。部分俄企因Cloudflare的美国背景主动停用其服务，但更多企业仍依赖其防护能力应对日益增长的DDoS攻击浪潮。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

作者在处理PortSwigger的业务逻辑漏洞时，尝试通过大量发送数据包来触发价格溢出现象。他计算了所需的数据包数量，并设置了高并发请求。然而，在操作过程中页面显示负数结果，这让他感到困惑并寻求帮助。

苹果搁置自研AI计划，转而与Anthropic和OpenAI谈判，拟采用Claude和ChatGPT模型改进Siri。谈判涉及定制模型及高昂使用费，可能促使苹果转向其他方案或继续自研。

文章介绍了错误代码521的原因及解决方法,指出该错误通常由Cloudflare导致服务器无法连接源站或源站服务器关闭或网络中断,并建议排查源站状态和网络配置。

HackerNews 编译，转载请注明出处： 北欧主要苹果产品经销商Humac近日出现在勒索组织Kraken的暗网泄露网站上，攻击者宣称已获取公司财务数据、客户信息及其他敏感资料。Humac母公司为意大利C&C集团（欧洲最大苹果授权合作伙伴，拥有超120家门店），目前暂未回应事件。Cybernews研究人员验证后表示，泄露数据样本真实性较高，含员工资料、运营文件及数据库样本等关键信息。 安全团队指出，此类依赖品牌合作的企业易成勒索目标：“内部人员信息可能被用于钓鱼攻击获取苹果平台权限，而包含联系方式、住址及金融资料的客户数据更是黑市抢手货。” 背景补充： Kraken是2025年2月新兴的勒索组织，脱胎于HelloKitty团伙（该组织于2024年4月更名为HelloGookie）。据监测工具Ransomlooker显示，Kraken在2025年累计攻击13家机构。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

5月移动恶意软件整体活跃度下降

这篇文章列出了WordPress生态系统中最近的安全更新和漏洞修补情况，包括多个插件和主题的Cross Site Scripting (XSS)、SQL注入和其他高风险漏洞，并提供了修复建议和Sucuri防火墙的保护方案。

文章讨论了错误代码521的含义及其常见原因，指出该错误通常与Cloudflare服务相关，表示服务器暂时无法处理请求，并建议用户检查网络连接、联系管理员或稍后再试以解决问题。

HackerNews 编译，转载请注明出处： 总部位于苏黎世的非营利健康基金会Radix遭遇勒索软件攻击，导致多家瑞士联邦部门数据外泄。Sarcoma勒索软件组织已在其暗网数据泄露站点发布1.3TB窃取数据。 瑞士国家网络安全中心（NCSC）通报称，Radix作为提供健康教育与推广服务的非营利组织，其系统遭黑客入侵并发生数据窃取。该机构客户包含多个联邦部门，NCSC正调查具体受影响单位及数据范围。官方声明强调：“因Radix无权访问联邦行政系统，攻击者始终未能侵入这些系统。” Radix确认攻击发生于2025年6月16日。因拒绝支付赎金，黑客于6月29日公开全部窃取数据。该机构声明：“尽管具备高标准安全防护和专业支持，我们仍不幸成为网络攻击受害者。”虽然未透露具体受影响人数，但表示已逐一向相关个人发出通知，并称“目前无迹象表明合作伙伴敏感数据遭波及。” 应对措施方面，Radix表示已对所有加密数据启动备份恢复流程，攻击发现后立即撤销数据访问权限。机构预警黑客可能利用外泄数据发动钓鱼攻击，企图窃取密码、信用卡号等敏感信息。瑞士当局尚未公布攻击者入侵途径，相关调查仍在进行。 本次攻击呈现典型双重勒索特征：黑客先窃取数据再加密系统实施勒索；若拒付赎金则威胁分批逐步公开数据施压。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

微软身份验证器即日起停止自动填充功能，并将于8月起不再支持访问已保存密码。用户需尽快将密码迁移到Microsoft Edge或其他密码管理器（如Bitwarden、KeePass等）。

A vulnerability classified as critical was found in Simple Payment Plugin up to 2.3.8 on WordPress. This vulnerability affects the function create_user. The manipulation leads to improper authentication. This vulnerability was named CVE-2025-6688. The attack can be initiated remotely. There is no exploit available.