赛博安全狗：Vault ACL策略评估漏洞可能绕过拒绝访问限制 (10.08)

赛博安全狗
赛博安全狗

赛博看门狗

2026年10月8日 20:03
浙江

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

[ ROOT @ WATCHDOG ]

全网高价值安全威胁速递。包含高危漏洞、数据泄露与行业重点动态。

2026-10-08 · 11 条

今日重点

1.MonsterCloud负责人被控秘密支付赎金

2.Vault ACL策略评估漏洞可能绕过拒绝访问限制

3.澳大利亚政府评估针对自身医疗系统的代理攻击

【一】行业和安全动态

行业动态

MonsterCloud负责人被控秘密支付赎金

美国联邦大陪审团指控佛罗里达州勒索软件恢复公司MonsterCloud的所有者Zohar Pinhasi，在2018年6月至2023年6月期间，通过秘密向勒索软件团伙支付赎金获取解密密钥，并谎称使用专有技术恢复数据，从而欺诈客户。检方称，Pinhasi在多起案件中支付的赎金远低于向客户收取的费用，例如支付约8200美元赎金却向受害者收取约15万美元。此外，该公司还使用从勒索软件操作中获取的解密样本文件作为恢复证明。Pinhasi目前面临共谋电信欺诈和两项电信欺诈指控，若定罪最高可判处20年监禁。

来源：BleepingComputer · 10-08 07:04（北京时间）

行业动态

澳大利亚政府评估针对自身医疗系统的代理攻击

澳大利亚政府正在评估针对其自身医疗系统的代理攻击事件后，探讨针对前沿人工智能公司的监管法规。此前，澳大利亚政府系统遭受了一次代理攻击，促使当局重新审视相关监管框架。

来源：Dark Reading · 10-08 05:42（北京时间）

行业动态

Anthropic将Project Glasswing并入高级AI访问分级计划

Anthropic已将Project Glasswing项目整合进其高级网络大语言模型的分级访问计划中，该计划涵盖Opus、Sonnet和Mythos模型。此举旨在为经过验证的防御者提供更少的Claude护栏。

来源：Dark Reading · 10-08 04:51（北京时间）

行业动态

Qilin勒索软件嫌疑人被引渡至德国受审

一名涉嫌参与Qilin勒索软件组织的28岁俄罗斯公民在日本被捕后，于10月2日被引渡至德国。该嫌疑人被指在2024年9月入侵一家物流公司，加密数据并勒索超过16万美元加密货币。Qilin自2022年8月活跃以来已成为最活跃的勒索即服务（RaaS）组织之一，曾攻击包括伦敦医院和啤酒巨头Asahi在内的数百个组织。

来源：SecurityWeek · 10-07 21:47（北京时间）

【二】数据泄露与隐私事件

数据泄露与隐私

黑客宣称泄露Trump Mobile数据并称公司无应对团队

黑客组织BYOD宣称入侵了提供移动虚拟网络运营商MVNO服务的Liberty Mobile，并窃取了3,615人的个人数据，包括姓名、地址、电子邮件和电话号码。该组织声称已将数据发布在暗网上，并指出Trump Mobile曾回应称“没有团队来处理此事”。部分数据经媒体验证属实，包括Trump Organization副总裁Eric Brunnett的信息。此前，Trump Mobile在2025年5月也曾因第三方平台问题导致客户信息暴露。

来源：canaltech · 10-08 05:01（北京时间）

数据泄露与隐私

ASOS确认遭遇数据泄露事件

英国时尚零售商ASOS确认发生数据泄露，黑客通过其移动应用发送未经授权的推送通知，声称已入侵公司的Snowflake环境。ASOS表示第三方客户沟通平台被未授权访问，基本个人信息可能泄露，但未确认威胁行为者关于Snowflake环境被入侵的说法，也未确认支付卡信息或账户密码受影响。

来源：BleepingComputer · 10-07 00:33（北京时间）

【三】焦点漏洞与攻击预警

漏洞与攻击

Vault ACL策略评估漏洞可能绕过拒绝访问限制

安全研究人员披露了Vault和Vault Enterprise中存在的高危漏洞CVE-2026-89322。该漏洞源于系统未对资源名称和政策名称的规范形式一致地评估访问控制列表（ACL）策略。认证用户在拥有委托权限的情况下，可能绕过显式拒绝限制，访问受保护资源或分配被拒绝的策略，从而导致权限提升。该漏洞已在Vault社区版2.1.2、企业版2.1.2、1.21.12、1.20.17和1.19.23版本中修复，严重程度为7.2（高危）。

来源：cvefeed · 10-08 07:17（北京时间）

漏洞与攻击

AsyncHttpClient存在认证重放绕过漏洞CVE-2026-107282

安全研究人员发现AsyncHttpClient组件在连接池选择功能中存在一个严重漏洞（CVE-2026-107282），攻击者可通过重放捕获的认证数据实现认证绕过。该漏洞影响版本至2.16.0/3.0.12，目前尚无公开利用代码。

来源：vuldb · 10-08 05:52（北京时间）

漏洞与攻击

Async-Http-Client存在关键级访问控制漏洞

在Async-Http-Client至2.16.0/3.0.12版本中发现关键级漏洞（CVE-2026-107281），涉及HTTP/1.1连接池组件的未知函数。攻击者可通过远程操纵导致不当访问控制，目前无可用利用程序。

来源：vuldb · 10-08 05:38（北京时间）

漏洞与攻击

AsyncHttpClient存在关键级身份验证漏洞

在AsyncHttpClient至3.0.12版本中发现关键级漏洞（CVE-2026-107279），涉及身份验证组件的AuthenticatorUtils.computeExpectedRspAuth函数。远程攻击可导致不当身份验证，目前无可用利用程序。

来源：vuldb · 10-08 05:36（北京时间）

漏洞与攻击

AsyncHttpClient 发现关键漏洞 CVE-2026-107230

安全研究人员发现 AsyncHttpClient 组件存在关键漏洞 CVE-2026-107230，影响版本最高至 2.16.1/3.0.13。该漏洞位于 SpnegoEngine/NTLM/Kerberos/SPNEGO/SOCKS/CONNECT 功能中，攻击者可通过远程操纵导致不正确的访问控制。目前尚无已知的利用程序，建议受影响用户升级组件。

来源：vuldb · 10-08 05:35（北京时间）

• -   -

• 极客视角 · 洞悉暗流 -