赛博安全狗：科学数据管理框架Rucio修复高危REST API授权绕过漏洞CVE-2026-58273 (11.06)

赛博安全狗
赛博安全狗

赛博看门狗

2026年11月7日 09:17
浙江

去阅读

[ ROOT @ WATCHDOG ]

全网高价值安全威胁速递。包含高危漏洞、数据泄露与行业重点动态。

2026-11-06 · 12 条

今日重点

1.应圣保罗检察院请求，直布罗陀法院冻结涉案约2300万雷亚尔的美元与加密货币

2.科学数据管理框架Rucio修复高危REST API授权绕过漏洞CVE-2026-58273

3.OpenAI称未发布网络模型自动化发现948个Linux内核提权漏洞

【一】行业和安全动态

行业动态

应圣保罗检察院请求，直布罗陀法院冻结涉案约2300万雷亚尔的美元与加密货币

应圣保罗州检察院请求，直布罗陀法院裁定冻结一名涉嫌网络犯罪的巴西人约2300万雷亚尔（R$ 2.3 million）的资产，涉及存放在该英属领地金融机构保管的美元和加密货币。此项行动由检察院国际司法合作秘书处（Seinter）和打击互联网数字犯罪的专项工作组CyberGaeco检察官推动，并得到巴西资产追回与国际司法合作部（DRCI）的支持，协助直布罗陀刑事起诉与诉讼办公室完成冻结程序。检察院称该措施将保障对受害者的损害赔偿，巴西刑法第91条规定可没收疑似犯罪所得。检察院表示追回全部资产和完全赔偿损害的相关工作仍在进行中。

来源：infomoney · 11-06 02:18（北京时间）

行业动态

OpenAI称未发布网络模型自动化发现948个Linux内核提权漏洞

OpenAI表示，其未发布的网络攻击模型驱动的自主流水线在单次运行中为948个独特的Linux内核漏洞构建了可用的root提权利用程序，该次运行花费约120万美元API费用。10月中旬的扫描针对内核master分支最新代码，智能体先收窄至低权限用户可触及的安全相关区域，标记2308个潜在漏洞并确认1724个，最终产出1169个可用的本地提权（LPE）利用及291个信息泄露概念验证，948为对应漏洞的独立补丁数量。利用在启用KASLR、SMEP和SMAP等防护的未修改桌面Linux虚拟机上测试。OpenAI称智能体发现并使用了至少10种新型Linux利用技术。7月下旬由GPT-5.6 Sol驱动的早期扫描以51.369万美元产出166个LPE。OpenAI已提交数百份关键漏洞报告和补丁，并提醒 defenders：未及时打补丁系统上的低权限账户应被视为等同于资源充足的威胁行为者手中的root访问。

来源：SecurityWeek · 11-06 01:32（北京时间）

行业动态

美国国防供应链CMMC Level 2认证现状：110项安全要求与常见缺口分析

CMMC Level 2面向存储、处理或传输受控非密信息（CUI）的美国国防承包商与分包商，要求落实NIST SP 800-171 Rev.2全部110项安全要求，覆盖14个控制族、约320个评估目标，采用110分制扣分法，达到88分可获“有条件”状态，缺口须列入POA&M并在180天内关闭。自评估与C3PAO第三方独立认证两条路径要求与评分一致，区别在于验证方，自评估需上传SPRS并由高级官员每年确认。2026年7月13日美国国防部暂停了第二阶段强制C3PAO认证要求并启动60天审查，但Level 2的安全义务、自评估、SPRS打分、DIBCAC政府审计以及《虚假申报法》风险依然存在，承包商仍可自愿申请C3PAO评估。常见缺口包括CUI边界不清、SSP过时、未强制MFA、未用FIPS加密、日志不审查、云服务未通过FedRAMP Moderate验证等。

来源：SecurityHub · 11-05 01:03（北京时间）

行业动态

Hex-Rays为IDA Pro推出恶意软件分析附加组件

Hex-Rays于11月4日发布面向SOC、事件响应和威胁情报团队的IDA Pro恶意软件分析附加组件，用于大规模恶意软件分诊。该组件覆盖自动脱壳、去混淆、全系统Windows模拟器、沙箱事件叠加、VMRay与Speakeasy跟踪、API名称与类型恢复等能力，减少手工分析步骤。文章以NSModule.exe演示自动脱壳并重建IAT与OEP，又以APT41的PLUSDROP、PLUSINJECT、TOUGHPROGRESS攻击链展示沙箱轨迹与反汇编联动，导入RWX shellcode继续分析。产品支持通过idalib与AI代理无头使用。附加组件适用于IDA 9.5，2026年12月31日前使用促销码MALADD50可五折购买。

来源：SecurityHub · 11-05 00:02（北京时间）

行业动态

美国联邦大陪审团起诉两名加拿大人涉嫌入侵美国大学挖矿

美国联邦大陪审团起诉35岁的Ryan James Roach与41岁的Mathiew James Stubbings两名加拿大人，指控其入侵多所美国大学并利用被入侵系统挖掘加密货币。起诉书指二人于2016年6月至2019年12月间，使用多个国家以假名注册的虚拟专用服务器，向纽约、田纳西、北卡罗来纳和马萨诸塞州多所未具名教育机构的网络传播恶意软件和挖矿软件，窃取数据和登录凭据，部分情况下还接入受害者网络上的超级计算机进行漏洞研究。两人被控共谋及损害受保护计算机等罪名，每项最高可判10年监禁和25万美元罚款。Roach已于10月28日从加拿大被引渡，11月3日接受传讯；Stubbings待引渡后受审。

来源：BleepingComputer · 11-04 21:13（北京时间）

【二】数据泄露与隐私事件

数据泄露与隐私

巴西信用担保机构FGC披露投资者个人信息遭未授权访问

巴西信用担保机构Fundo Garantidor de Créditos（FGC）于周四（5日）通报，其环境中投资者个人信息遭到未授权访问。被不当访问的数据包括姓名、CPF（个人纳税登记号）、出生日期和电子邮箱，以及与FGC付款相关的数据、付款中扣缴税款的信息和通过已被清算机构进行受担保投资所经由的分销渠道信息。受影响客户数量未披露，该机构称迄今未发现数据被泄露或被不当使用的证据。FGC称于10月26日发现事件可疑迹象，此后已采取环境访问限制、封停不当账户、保全证据以及审查权限和安全控制等措施，并已向国家数据保护局（ANPD）通报，调查仍在专家参与下继续进行。FGC提醒，这些数据可能被用于使诈骗联系更具说服力，包括冒用身份或骗取付款等企图，建议投资者对自称FGC或其它机构代表的来电、消息和邮件保持警惕，遇可疑联系通过官方渠道核实。

来源：TI Inside · 11-06 00:48（北京时间）

数据泄露与隐私

DigiCert数据泄露事件暴露客户信息与身份证明文件

证书颁发机构DigiCert警告称其遭遇数据泄露：一次服务器迁移错误地将一个此前仅通过VPN访问的内部业务系统暴露到互联网，导致客户信息与身份文件被未授权访问。泄露涉及一小部分归档客户数据，包括姓名、企业邮箱、电话号码和企业地址，部分记录还包含驾照、护照、水电费账单等身份证明文件。2025年2月的迁移引入了自注册功能和授权缺陷；DigiCert于2026年6月发现未授权账户，起初认为无法访问客户数据，10月19日才确认有未授权账户在6月27日至7月2日间读取了客户信息。该公司称CertCentral、DigiCert ONE平台及证书与登录凭据未受影响，已限制访问、关闭自注册并增加控制措施。

来源：BleepingComputer · 11-06 00:12（北京时间）

【三】焦点漏洞与攻击预警

漏洞与攻击

科学数据管理框架Rucio修复高危REST API授权绕过漏洞CVE-2026-58273

科学数据管理框架Rucio被披露编号为CVE-2026-58273的授权绕过漏洞，严重程度评级8.8（高危）。从1.16.1至35.9.0、38.6.0和41.0.0rc1之前的版本中，/credentials/signurl端点读取X-Rucio-Account头而非令牌认证存储在request.environ['issuer']中的账户，任何已认证的低权限用户可将该头设为root并通过仅限root的get\_signed\_url权限检查，服务器随后会使用存储的S3、GCS或Swift凭据返回攻击者所选对象的预签名读取、写入或删除URL；在多VO部署中X-Rucio-VO还可选择其他租户。这可能导致基于云的RSE上的数据泄露、篡改、删除和跨租户访问。该问题已在35.9.0、38.6.0和41.0.0rc1版本中修复。

来源：cvefeed · 11-06 06:18（北京时间）

漏洞与攻击

CVE-2026-119757：BTCPay Server 2.4.1及更早版本信息泄露漏洞

据Vuldb消息，BTCPay Server 2.4.1及更早版本被发现一个被定为 problematic 级别的漏洞，编号为CVE-2026-119757。该漏洞存在于某个未知函数中，攻击者可通过操纵实现信息泄露，且攻击可以远程发起。目前不存在公开的漏洞利用代码。建议用户升级受影响的组件以消除风险。该信息为研究方报告结果，非官方确认，且报道未提及任何已发生的在野利用事件。

来源：vuldb · 11-06 06:12（北京时间）

漏洞与攻击

Sekoia披露水坑攻击活动Poisoned Source并以高置信度归因于俄罗斯背景APT29

安全研究机构Sekoia披露代号Poisoned Source的水坑攻击活动，并以高置信度归因于俄罗斯背景的APT29（Cozy Bear/Midnight Blizzard）。据披露，攻击者未直接入侵目标站点，而是攻陷第三方网页分析服务Plerdy，利用嵌入众多客户网站的脚本注入重定向逻辑，将目标访客静默引导至仿冒分析与CDN域名，并在后续阶段投递针对iOS/Android已修补漏洞的n-day移动利用链。该行动主要针对政府、外交、国防和高价值研究机构，体现第三方脚本供应链风险以及国家级攻击者利用未及时打补丁移动设备的务实策略。报告建议审计第三方脚本、部署SRI与CSP、监控仿冒域名并强化移动终端补丁管理。

来源：SecurityHub · 11-06 03:47（北京时间）

漏洞与攻击

印度CERT-In警告Crafty Falcon组织借AI代理自动化攻击金融行业

印度CERT-In与I4C发布警告，披露名为Crafty Falcon的威胁组织正利用AI代理及与中国存在关联的ARTEX、PentAGI等攻击框架，对印度金融行业发动自动化攻击。目标包括非银行金融公司、数字贷款机构、支付聚合商、支付网关和加密货币交易所。攻击者使用AI代理自动扫描互联网暴露资产、逆向移动应用包、攻陷支付API，并调用内部资金发放系统转移资金。行动通常选择节假日和周末等低监控时段，先以₹1测试交易验证API路由，再通过IMPS/NEFT和钱骡账户窃取资金。CERT-In指出仅做表面修补的组织会被重新攻击，建议遵守CIAD-2026-0046和CIAD-2026-0049、监控API微交易、在6小时内报告AI相关事件并加固非生产环境。

来源：SecurityHub · 11-06 03:36（北京时间）

漏洞与攻击

Anubis勒索软件针对SQL Server部署新后门Lindnor及BYOVD攻击

安全遥测与威胁情报显示，Anubis勒索软件运营者针对企业数据库基础设施发起结构化攻击，在Microsoft SQL Server主机部署此前未记录的Backdoor.Lindnor，并伪装成Google Chrome更新和VMware文件。攻击者获得访问后约一小时内投放至少13个可强制终止EDR进程和监控服务的安全杀手可执行文件，同时加载5个公开已知的易受攻击签名驱动，通过IOCTL请求剥离安全驱动回调，以BYOVD手段获取ring-0内核级权限。攻击者还安装合法远程管理工具AnyDesk并配置其在Windows安全模式运行以维持备用远程访问。后门与msrcontrib[.]com及cfgsync-relay.eastus.cloudapp[.]azure.com通信，最终文件加密载荷被及时遏制阻断，未造成数据丢失。

来源：SecurityHub · 11-06 03:29（北京时间）

• -   -

- 极客视角 · 洞悉暗流 -