Theo PANews, curl đã khắc phục 18 lỗ hổng bảo mật vào ngày 29 tháng 6, bao gồm vượt qua xác thực, an toàn bộ nhớ và các vấn đề xác minh máy chủ. Một lỗ hổng libcurl đã tồn tại khoảng 25 năm. Rủi ro không chỉ giới hạn ở công cụ dòng lệnh curl mà còn ảnh hưởng đến các ứng dụng, SDK, container, firmware, gateway và môi trường CI/CD phụ thuộc vào libcurl. Khuyến nghị nâng cấp ngay curl và libcurl, đồng thời kiểm tra việc sử dụng các phiên bản lỗi thời.

Theo PANews, trích dẫn nghiên cứu bảo mật từ Giám đốc An ninh Thông tin của Slow Mist, 23pds, một lỗ hổng CI/CD nghiêm trọng có tên Cordyceps đã bị phơi bày hôm nay (ngày 25 tháng 6), ảnh hưởng đến các kho lưu trữ mã nguồn mở của Microsoft, Google, Apache và Cloudflare. Kẻ tấn công chỉ cần một tài khoản GitHub miễn phí để gửi các yêu cầu kéo và bình luận độc hại, cho phép chúng giả mạo phê duyệt, đánh cắp thông tin xác thực máy chủ, đẩy mã độc và giành toàn quyền kiểm soát các kho lưu trữ mã doa

Theo Foresight News, công ty an ninh mạng Mutesky đã công bố một cuộc tấn công chuỗi cung ứng mới trong hệ sinh thái PyPI. Hai gói tin độc hại, openaimcp-2.41.2 và bramin-0.0.4, tự động kích hoạt khi Python khởi động thông qua các tệp .pth, sau đó tải runtime Bun và thực thi các đoạn mã JavaScript bị che giấu có khả năng đánh cắp GitHub PATs, thông tin xác thực AWS và token npm, với việc rò rỉ dữ liệu được mã hóa bằng RSA-OAEP. Cuộc tấn công cũng thể hiện khả năng duy trì dai dẳng và tiêm vào CI

Theo Ngân hàng Nhân dân Trung Quốc (PBOC), ngân hàng trung ương đang kêu gọi lấy ý kiến công chúng về các sửa đổi đối với các Biện pháp quản lý chứng chỉ tiền gửi lớn (Large Certificate of Deposit, CD) vào hôm nay, ngày 12 tháng 6. Một thay đổi then chốt hạ mức đầu tư tối thiểu đối với nhà đầu tư cá nhân từ mức trước đó xuống không thấp hơn 200.000 nhân dân tệ. Các biện pháp sửa đổi cũng làm rõ rằng cả nền tảng bên thứ ba và các kênh của chính ngân hàng đều có thể hỗ trợ chuyển nhượng CD, rút ti

Theo giám sát an ninh của Slow Mist vào ngày 4/6, một chiến dịch mã độc chuỗi cung ứng Rust mới có tên IronWorm đang tấn công các nhà phát triển Web3 thông qua các gói npm độc hại. Khả năng tấn công bao gồm đánh cắp thông tin xác thực, trích xuất cụm từ hạt giống ví và mật khẩu, thao túng kho lưu trữ GitHub, phát hành gói độc hại, rò rỉ bí mật CI/CD, điều khiển và kiểm soát dựa trên Tor, cùng cơ chế duy trì rootkit eBPF. Các nhóm an ninh nên rà soát lịch sử kho lưu trữ để tìm các commit, nhánh v

Theo Eleanor Terrett, vào ngày 26 tháng 5, nhiều PAC được hậu thuẫn bằng crypto đã dồn vốn vào các cuộc bầu cử vòng loại sơ bộ chủ chốt ở Texas. Ngành công nghiệp này, trị giá khoảng 2,5 nghìn tỷ đô la, đã triển khai lượng vốn đáng kể thông qua các mạng lưới như Fellowship PAC và Fairshake. Fellowship PAC được Tether hậu thuẫn đã đầu tư 500.000 đô la cho quảng cáo để ủng hộ Ken Paxton trước thượng nghị sĩ đương nhiệm John Cornyn. Fairshake và các tổ chức liên kết, nắm giữ khoảng 193 triệu đô la

Theo Slowmist, vào ngày 20/5, nhiều gói npm có tần suất truy cập cao, bao gồm AntV và Echarts-for-react, cũng như Python SDK durabletask, đã bị xâm phạm trong một cuộc tấn công chuỗi cung ứng Mini Shai-Hulud. Slowmist khuyến nghị ngay lập tức xoay vòng tất cả thông tin xác thực GitHub, npm, PyPI và trên nền tảng đám mây bị lộ; thay thế các gói bị ảnh hưởng bằng phiên bản an toàn đã được xác minh hoặc chốt (freeze) phiên bản phụ thuộc; cô lập các hệ thống có khả năng bị xâm phạm và rà soát hành v

Theo Slowmist, trong ngày 19-20/5, kẻ tấn công đã xâm nhập tài khoản npm atool và tự động đăng tải 637 phiên bản độc hại trên 317 gói trong vòng 22 phút. Từ 00:19 đến 00:54 (giờ Bắc Kinh) ngày 20/5, kẻ tấn công đã tải lên các phiên bản durabletask 1.4.1, 1.4.2 và 1.4.3, giả mạo các bản phát hành chính thức của Microsoft. Các thành phần có tần suất sử dụng cao bị ảnh hưởng gồm AntV và Echarts-for-react trong hệ sinh thái npm, và durabletask trong Python. Slowmist liên kết vụ rò rỉ token GitHub qu

Theo công ty bảo mật blockchain SlowMist, hệ thống theo dõi mối đe dọa MistEye của hãng đã phát hiện một loại sâu npm (worm) tinh vi có tên “Mini Shai-Hulud” lây lan qua các dự án nhà phát triển, bao gồm TanStack, UiPath và DraftLab. Phần mềm độc hại sử dụng thông tin xác thực GitHub bị xâm phạm để đăng các gói tin được ngụy trang như các bản cập nhật hợp pháp, đồng thời chèn một tập lệnh ẩn có tên routerinit.js chạy âm thầm trong các môi trường CI/CD như GitHub Actions. Con sâu nhắm vào các khó