每日安全动态推送(26/11/9)

原创 admin 2026-11-09 17:08 北京

无线音频安全的多层性：从固件漏洞到芯片组风险；uutils Coreutils 漏洞：翻译文件注入导致 Rust 代码执行；史无前例的1亿欧元盗窃案：Credit Mutuel Arkea 因第三方访问权限被利用遭攻破

•  无线音频安全的多层性：从固件漏洞到芯片组风险
https://www.jamf.com/blog/the-bluetooth-trust-problem-we-carry-in-our-ears/

本文深刻揭示了无线耳机已从普通配件演变为具备计算能力的微型终端，其固件配对逻辑中的细微时序漏洞（如Beats的CVE-2025-20701及Airoha芯片组缺陷）可被利用进行未经授权的窃听与追踪。文章通过剖析从芯片SDK到自动配对协议的跨层级安全盲区，警示业界必须将可穿戴音频设备纳入核心端点防御体系。

•  CVSS 9.9 uutils Coreutils 漏洞：翻译文件注入导致 Rust 代码执行
https://securityonline.info/uutils-coreutils-vulnerability-poc/

本文揭示了 Rust 核心工具库 uutils 中一个 CVSS 9.9 的严重供应链漏洞，攻击者仅需在翻译文件中注入特定字符即可在编译时植入恶意代码。鉴于 uutils 已成为主流 Linux 发行版的默认工具集且下载量巨大，这一发现警示了看似无害的本地化文件可能成为系统级后门的高危入口，必须立即升级修复。

•  sshhole CVE-2026-123158 漏洞检测脚本 - 🔰雨苁ℒ🔰
https://www.ddosi.org/cve-2026-123158/

本文揭示了 OpenSSH 与 musl libc 交互中一个极具隐蔽性的严重认证绕过漏洞（CVE-2026-123158），其核心亮点在于提供了一行即可执行的自动化检测命令，能精准识别 Alpine 等特定环境下的高危配置。该文章不仅深入剖析了因密码长度异常导致的逻辑碰撞原理，更给出了从紧急缓解到彻底修复的完整实战指南，是当下运维人员必须立即研读的紧急安全通告。

•  史无前例的1亿欧元盗窃案：Credit Mutuel Arkea 因第三方访问权限被利用遭攻破
https://www.computing.co.uk/news/2026/security/credit-mutuel-arkea-launches-recovery-effort-after-100m-cyber-theft

本文深入剖析了法国信贷互助集团遭遇的史无前例的1亿欧元资金盗窃案，揭示了攻击者如何通过利用第三方供应商权限直接渗透核心银行系统。这一案例突显了供应链攻击在金融领域日益严峻的威胁，为行业提供了关于第三方风险管理和资金流转监控的关键警示。

•  绕过 ChatGPT Lockdown Mode：利用嵌套 HTML 预览沙箱逃逸实现零点击数据窃取
https://thehackernews.com/2026/11/researchers-bypass-chatgpt-lockdown.html

本文揭示了OpenAI ChatGPT“锁定模式”中一个关键的沙箱逃逸漏洞，攻击者可利用HTML预览功能的弹窗机制绕过数据防泄露防护，实现静默数据窃取与恶意软件投递。该发现极具警示意义，它深刻表明AI安全控制的强度完全取决于其周围应用环境的完整性，任何外围功能的弱点都可能成为绕过核心防护的突破口。

•  CVE-2026-109518：APT 严重漏洞允许 MitM 攻击者替换包并执行 Root 代码
https://thehackernews.com/2026/11/debian-and-ubuntu-apt-flaw-lets-mitm.html

本文揭示了 Debian 和 Ubuntu 核心包管理器 APT 中一个被评定为关键的远程代码执行漏洞（CVE-2026-109518），攻击者仅需拦截并诱导重试下载请求即可在目标系统上以 root 权限执行恶意代码。鉴于该漏洞影响范围涵盖最新 LTS 版本且默认配置即可触发，立即更新补丁是防止供应链攻击的关键。

•  CVE-2026-98432：Linux 内核 TCP 竞态条件导致 AI 生成零点击 Root 提权漏洞
https://sectoday.tencent.com/event/87z9oaEB5M25NX6PEiKO

Anthropic 前沿红队披露，其未发布的 Claude AI 模型自主生成了针对 Linux 内核 CVE-2026-98432 的有效利用代码。该漏洞源于 IPv4 TCP 握手代码中的严重竞态条件，导致 Use-After-Free 缺陷，CVSS 评分高达 9.8。攻击者可通过配置 MPTCP 监听器的服务器，利用该漏洞绕过 KASLR 保护，在无需用户交互的情况下实现远程 Root 提权及任意命令执行。尽管上游内核已修复此问题，但 Ubuntu、Red Hat 等主要发行版的补丁分发进度不一，部分系统仍面临高风险。此次事件突显了 AI 技术加速漏洞发现与利用链构建的严峻威胁，迫使安全社区立即采取缓解措施。

•  【实战】逻辑漏洞连招：验证码复用与 Token 预测的致命组合 | CN-SEC 中文网
https://cn-sec.com/archives/5555266.html

本文极具实战价值，揭示了验证码可复用与基于时间戳的 Token 预测这两个常见逻辑缺陷组合后，如何绕过 WAF 实现任意用户登录及 GetShell 的完整攻击链。文章摒弃了低效的暴力破解，展示了逻辑漏洞“连招”在红队行动中突破防御体系的致命威力。

* 查看或搜索历史推送内容请访问：
https://sectoday.tencent.com/
* 新浪微博账号： 腾讯玄武实验室
https://weibo.com/xuanwulab
* 微信公众号： 腾讯玄武实验室

阅读原文

跳转微信打开