全球网安事件速递

1. Jira路径遍历漏洞（CVE-2025-22167）可导致服务器/数据中心任意文件写入

Atlassian修复高危路径遍历漏洞CVE-2025-22167（CVSS 8.7），影响Jira Software/Service Management数据中心与服务器版，攻击者可写入任意文件导致远程代码执行，建议立即升级至修复版本。【外刊-阅读原文】

2. GitLab 多安全漏洞可致攻击者触发拒绝服务状态

GitLab紧急发布18.5.1等补丁版本，修复多个高危DoS漏洞和访问控制缺陷，建议自托管实例立即升级。漏洞包括未认证攻击导致的系统崩溃和已认证用户的权限问题，CVSS评分最高8.5。GitLab.com已受保护。【外刊-阅读原文】

3. Kali 官方仓库中的 Impacket 工具迎来重大升级：新增攻击路径与中继技巧

Impacket工具包迎来重大更新，集成至Kali Linux，强化中继攻击能力，新增RPC监听器等实用功能，优化LDAP/Kerberos协议支持，并引入多个新攻击模块，显著提升红队操作效率。【外刊-阅读原文】

4. Oracle VM VirtualBox 曝多个高危漏洞，攻击者可完全控制虚拟环境

Oracle VM VirtualBox 曝高危漏洞（CVE-2025-62587等），CVSS评分8.2，本地攻击者可完全控制环境，影响7.1.12和7.2.2版本。Oracle紧急发布补丁，建议立即更新并限制权限，以防数据泄露和系统崩溃。【外刊-阅读原文】

5. 捷豹路虎遭网络攻击致英国经济损失25亿美元

捷豹路虎遭网络攻击致英国损失25亿美元，停产五周影响5000家企业，供应链中断引发连锁反应，凸显网络韧性对工业的战略重要性。【外刊-阅读原文】

6. Rust库曝高危漏洞（CVE-2025-62518）可导致远程代码执行

Rust库_async-tar_及其分支存在高危漏洞TARmageddon（CVE-2025-62518），评分8.1，可致远程代码执行和供应链攻击。建议迁移至已修复版本_astral-tokio-tar_ 0.5.6+，审计依赖并隔离TAR处理。Rust虽内存安全，但无法避免逻辑错误，需警惕未维护库风险。【外刊-阅读原文】

7. 攻击者将可信OAuth应用转化为云端后门

攻击者滥用OAuth应用获取云环境持久访问，即使重置密码或启用MFA仍可维持权限。他们通过钓鱼入侵高权限账户创建恶意内部应用，自动化工具FASSAv1可隐蔽注册。建议培训用户识别恶意应用，监控并快速撤销异常授权以阻断攻击。【外刊-阅读原文】

8. 攻击者利用纯云技术针对零售商礼品卡系统发起攻击

摩洛哥黑客组织"圣诞大盗"利用云技术攻击全球零售商，通过钓鱼窃取凭证，在Microsoft 365中搜索礼品卡流程，绕过安全检测并隐藏踪迹，最终变现礼品卡。建议企业加强身份监控以应对此类云环境攻击。【外刊-阅读原文】

9. 主流AI Agent存在关键参数注入漏洞，攻击者可实现远程代码执行

热门AI Agent平台存在参数注入漏洞，攻击者可绕过审批执行远程代码。漏洞源于预批准命令的参数未过滤，导致RCE风险。建议采用沙箱隔离、参数分隔符和日志监控，限制权限并人工审核可疑输入，以应对动态AI环境的安全挑战。【外刊-阅读原文】

10. Rust异步TAR库TARmageddon漏洞：嵌套压缩包处理时可植入恶意档案

Rust异步TAR库async-tar存在高危漏洞CVE-2025-62518（CVSS 8.1），攻击者可利用PAX/ustar标头处理不一致植入恶意TAR条目，导致远程代码执行、文件覆盖或供应链投毒。该漏洞表明Rust虽能防范内存安全问题，但无法避免逻辑漏洞，开发者需对所有漏洞类型保持警惕。【外刊-阅读原文】

优质文章推荐

1. 反调试攻防实战：无限Debugger绕过与开发者工具检测技术解析

文章介绍了反调试技术及其应对方法，包括绕过F12限制和无限Debugger的解决方案，如使用隐私窗口、浏览器插件和Firefox原生功能等，帮助安全人员分析JS代码。【阅读原文】

2. 文件捆绑器（加载器）：从原理到免杀与防御实践

文件捆绑器隐蔽加载恶意代码，通过Python实现EXE与文档捆绑，分析易被杀特征并提出免杀优化（加密外置、内存加载、混淆逻辑、加壳）。防御需静态检测（YARA）、动态监控（Sysmon）和高级手段（沙箱/AI）。攻防博弈持续演进。【阅读原文】

3. Java 反序列化基础

序列化将对象转为字节流便于传输存储，反序列化恢复对象。常见协议有XML、JSON、Protobuf。Java中通过ObjectOutputStream和ObjectInputStream实现，但存在安全风险，如恶意代码执行。反射和动态代理增强灵活性，类加载机制涉及双亲委派。URLDNS链利用HashMap反序列化触发DNS请求。【阅读原文】

漏洞情报精华

1. 上邦电子文档安全管理系统 skins 任意文件读取漏洞

https://xvi.vulbox.com/detail/1981271143599968256

2. 中成科信票务管理系统 OrderManager.ashx 任意文件读取漏洞

https://xvi.vulbox.com/detail/1981237581689524224

3. 富勒仓储管理系统 getDownloadFileAction 任意文件读取漏洞

https://xvi.vulbox.com/detail/1981184811594813440

*本文内容收集自全球范围内的媒体与刊物，制作者对其完整性负责，但不对其真实性和有效性负责。

*标明为【外刊】的内容主要来源为英语国家的媒体与刊物，部分内容需要注册原链接平台账号后方可阅读。