==== 资安双周报 (240901) ====
初一十五除了呷菜喔外 也要关心一下安全圈的消息
- 台湾 CCTV 设备发现 RCE 并用来散布 Mirai
- 如何用 SQL Inject 绕过航空安检
- Azure Health Bot 存在 SSRF 问题
- Slack AI 存在 prompt injection
- FlightAware 证实外泄大量用户资料
## 台湾 CCTV 设备发现 RCE 并用来散布 Mirai ##
根据 Akamai 的 SIRT 团队 (Aline Eliovich) 发现 AVTECH CCTV 存在 RCE 漏洞[0]
根据 CVE-2024-7029 AVTECH CCTV 存在一个 command inj 漏洞且可到 RCE
已经已被用来散布 Mirai botnet
## 如何用 SQL Inject 绕过航空安检 ##
根据[1] 的研究发现航空公司的 Known Crewmember (KCM) 系统中
FlyCASS 存在一个 SQL Injection 的问题 导致可以任意增加认证机长
进而绕过航空安检
## Azure Health Bot 存在 SSRF 问题 ##
根据研究人员发现 [2]
Azure Healt Bot 存在一个 SSRF 问题 可能存取到其他客户的资料
在第一次发现时 透过 data connection 功能以及重导功能绕过检查
进而读取其他客户的资料
经过官方快速修复之后 研究人员再次发现另外一个可以利用的存取点
## Slack AI 存在 prompt injection ##
研究人员[3] 发现 Slack AI 存在一个 prompt injection 问题
允许攻击者窃取任意使用者私人频道内的内容
## FlightAware 证实外泄大量用户资料 ##
航班追踪服务 FlightAware 证实[4] 因配置错误造成可能的用户资料外泄
其中包含使用者 ID 密码以及 email 等 (取决于用户所提供的资料)
[0]: https://401.tw/wViF
[1]: https://ian.sh/tsa
[2]: https://401.tw/2QfP
[3]: https://401.tw/waKG
[4]: https://static.flightaware.com/pdf/fa_data_notification.pdf