新闻1：MLOps平台惊现20余处供应链漏洞，机器学习安全岌岌可危！

网络安全研究人员在发现20多个可被利用来攻击MLOps平台的漏洞后，对机器学习（ML）软件供应链中的安全风险发出警告。

这些漏洞被描述为基于内在和实施方面的缺陷，可能会产生严重后果，从任意代码执行到加载恶意数据集。

MLOps平台提供了设计和执行ML模型管道的功能，模型注册表作为存储库，用于存储和版本训练有素的ML模型。然后，这些模型可以嵌入到应用程序中，或允许其他客户端使用API（又名模型即服务）查询它们。

“内在漏洞是由目标技术中使用的基础格式和流程引起的漏洞，”软件供应链安全研究人员在一份详细报告中说道。

一些内在漏洞的例子包括滥用ML模型来运行攻击者选择的代码，利用模型在加载时支持自动代码执行的事实（例如，Pickle模型文件）。

这种行为也扩展到某些数据集格式和库，它们允许自动代码执行，从而可能在仅加载公开可用的数据集时就为恶意软件攻击打开了大门。

关键词：MLOps平台、供应链漏洞、机器学习软件供应链、任意代码执行、恶意数据集、模型注册表、API

开源网安认为：软件供应链安全在当今数字化时代至关重要。以 MLOps 平台为例，研究人员发现的 20 多个供应链漏洞凸显了软件供应链安全防护的紧迫性。这些漏洞可能导致从任意代码执行到加载恶意数据集等严重后果，对机器学习软件供应链构成重大威胁。
软件供应链的各个环节都可能成为攻击的切入点，无论是基础格式、流程还是模型注册表、数据集格式和库等。内在漏洞的存在，如滥用 ML 模型运行攻击者代码以及某些格式和库允许自动代码执行，为恶意软件攻击打开了大门。这提醒我们，在软件供应链的设计和执行过程中，必须高度重视安全防护。
为了加强软件供应链安全防护，我们需要采取一系列措施。首先，应加强对基础格式和流程的安全审查，确保其不存在可被利用的漏洞。其次，对于模型注册表和数据集等关键环节，要建立严格的访问控制和验证机制，防止恶意代码的注入和恶意数据集的加载。同时，持续进行安全监测和漏洞管理，及时发现并修复潜在的安全风险。只有这样，才能有效保障软件供应链的安全，为企业和用户的数字业务提供可靠的支持。

https://thehackernews.com/2024/08/researchers-identify-over-20-supply.html

新闻2：macOS版HZ RAT后门悄然来袭，瞄准中国用户！

使用DingTalk和微信等中国即时通讯应用的用户是名为HZ RAT的苹果macOS版后门的目标。

卡巴斯基研究员谢尔盖·普赞表示，这些构件“几乎完全复制了Windows版后门的功能，只是在攻击者服务器以shell脚本形式接收的有效载荷方面有所不同。”

HZ RAT最早由德国网络安全公司DCSO于2022年11月记录，该恶意软件通过自解压zip归档或可能是使用Royal Road RTF武器构建器构建的恶意RTF文档进行分发。

关键词：macOS、HZ RAT后门、中国即时通讯应用、DingTalk、微信、Windows版后门、shell脚本、德国网络安全公司DCSO、自解压zip归档、恶意RTF文档、Royal Road RTF武器构建器

https://thehackernews.com/2024/08/macos-version-of-hz-rat-backdoor.html

新闻3：Telegram CEO巴维尔·杜罗夫遭法国当局指控，竟涉嫌协助犯罪活动！

周三，法国检察官正式指控 Telegram CEO 巴维尔·杜罗夫 (Pavel Durov) 协助在该流行的消息平台上进行一连串的犯罪活动，继周六被捕后，他已被正式立案调查。

出生于俄罗斯的杜罗夫也是法国公民，他被指控协助传播儿童虐待材料 (CSAM)，以及协助有组织犯罪、非法交易、毒品走私和欺诈行为。

根据新闻稿的英文翻译，杜罗夫还被指控“拒绝应有关当局的要求提供执行和运作法律允许的拦截所需的信息或文件”。

周六当地时间晚上 8 点，这位 39 岁的男子在巴黎北部布尔歇机场从一架私人飞机上下来后被拘留。为了避免审前拘留，杜罗夫已被勒令支付 500 万欧元的保释金，但他被禁止离开法国，并且必须每周向当局报告两次。

关键词：Telegram、CEO、Pavel Durov、犯罪活动、信息平台、有组织犯罪、非法交易、毒品走私、欺诈、拒绝沟通、拦截

https://thehackernews.com/2024/08/french-authorities-charge-telegram-ceo.html

新闻4：紧急警告！谷歌Chrome爆出CVE-2024-7965安全漏洞，黑客正疯狂利用！

紧急警告！谷歌Chrome爆出CVE-2024-7965安全漏洞，黑客正疯狂利用！谷歌透露，上周向其Chrome浏览器推出的软件更新中已修复的一个安全漏洞正在野外被积极利用。

该漏洞被追踪为CVE-2024-7965，已被描述为V8 JavaScript和WebAssembly引擎中的一个不适当的实现错误。

美国国家漏洞数据库(NIST NVD)对该漏洞的描述为：“在128.0.6613.84之前的Google Chrome中的V8的不适当实现允许远程攻击者通过精心制作的HTML页面潜在地利用堆损坏。”

一位网名为TheDog的安全研究员因于2024年7月30日发现并报告了此漏洞而获得11,000美元的漏洞赏金。

关于利用该漏洞的攻击性质或可能利用它的威胁行为者的身份，尚未公布更多具体信息。然而，这家科技巨头承认，它知道存在针对CVE-2024-7965的漏洞利用。

关键词：Chrome浏览器、安全漏洞、CVE-2024-7965、V8 JavaScript引擎、WebAssembly引擎、不适当的实现错误、远程攻击者、堆损坏、漏洞赏金

https://thehackernews.com/2024/08/google-warns-of-cve-2024-7965-chrome.html

新闻5：俄罗斯黑客利用Safari和Chrome漏洞发动高调网络攻击！

网络安全研究人员已经标记了多个野外利用活动，这些活动利用了苹果Safari和谷歌Chrome浏览器中的现已修补的漏洞，以感染移动用户的信息窃取恶意软件。

“这些活动提供了n天漏洞利用，虽然已有可用的补丁，但仍会对未修补的设备产生效果，”谷歌威胁分析组（TAG）研究员克莱门特·莱西涅在与黑客新闻分享的一份报告中说道。

此次活动于2023年11月至2024年7月期间被观察到，其显著特点是通过水坑攻击对蒙古国政府网站（cabinet.gov[.]mn和mfa.gov[.]mn）进行漏洞利用。

据推测，此次入侵很可能是由俄罗斯国家支持的威胁行为者所为，其代号为APT29（又名Midnight Blizzard），并且观察到活动中使用的漏洞利用与之前与商业监视供应商（CSVs）Intellexa和NSO Group相关的漏洞利用相似，表明存在漏洞重复利用的情况。

关键词：Safari、Chrome、信息窃取恶意软件、n天漏洞、水坑攻击、APT29、Intellexa、NSO Group

https://thehackernews.com/2024/08/russian-hackers-exploit-safari-and.html