IT之家 3 月 1 日消息 据 MSPowerUser 2 月 28 日报道，谷歌公开了一个 Win10 系统的漏洞，该漏洞可使用户在不知情的情况下授权恶意软件访问内核的权利，从而遭受黑客攻击。这个漏洞来源于 Windows 的字体渲染器 Microsoft DirectWrite。
这个字体渲染器是被 Chrome、Firefox 和 Edge 等主流网络浏览器用作默认的字体光栅化器，用于渲染网络字体字形。它容易被特制的 TrueType 字体破坏，从而导致其内存损坏和崩溃，然后恶意程序可以用来获得内核使用权限，黑客也可以远程在目标系统上执行任意操作。
IT之家了解到，谷歌旗下 Project Zero 的研究人员在一个名为 Microsoft DirectWrite 的文本渲染 API 中发现了这个漏洞，该缺陷的资料库代码为 CVE-2021-24093。他们在 11 月向微软安全响应中心报告了该漏洞。微软公司于 2 月 9 日发布了安全更新，在所有易受攻击的平台上解决了这一问题。该安全漏洞影响多个 Windows 10 和 Windows Server 版本，直至最新发布的 20H2 版本。
攻击者可以通过诱导目标用户访问带有恶意制作的 TrueType 字体的网站，从而利用 CVE-2021-24093，触发 fsg_ExecuteGlyph API 函数中缓冲区溢出，从而获得 Windows 的内核使用权限。
IT之家建议所有微软用户进行安全更新，以避免遭到恶意站点或软件的攻击。
...
黑客正在互联网上大规模扫描存在新披露漏洞的 VMWare 服务器。该漏洞编号为 CVE-2021-21974，严重程度为 9.8 分（等级最高为 10 分）。它是 VMware vCenter 服务器中的远程代码执行漏洞，VMware vCenter 服务器是一个适用于 Windows 和 Linux 的应用程序，管理员用它来实现和管理大型网络的虚拟化。
在 VMWare 发布安全公告之后，至少有 6 个不同来源的概念验证漏洞出现。漏洞的高危严重性，加上 Windows和 Linux 机器的工作漏洞的可用性，让黑客们争先恐后地积极寻找脆弱的服务器。安全机构已经检测到针对脆弱的 VMware vCenter 服务器的大规模扫描活动。
来自 Bad Packets 的安全专家 Troy Mursch 表示，BinaryEdge 搜索引擎发现了近 1.5 万台暴露在互联网上的 vCenter 服务器，而 Shodan 搜索发现了约 6700 台。大规模扫描的目的是识别尚未安装补丁的服务器，VMware 周二发布了该补丁。
安全公司 Tenable 的研究人员表示，CVE-2021-21972 允许没有授权的黑客将文件上传到脆弱的 vCenter 服务器上，这些服务器可以通过 443 端口公开访问。成功的利用将导致黑客在底层操作系统中获得不受约束的远程代码执行权限。该漏洞源于默认安装的 vRealize Operations 插件缺乏认证。
该漏洞在通用漏洞评分系统3.0版上获得了9.8分（满分10.0分）的严重程度。发现该漏洞并私下向VMware报告的Positive Technologies 研究员 Mikhail Klyuchnikov 将 CVE-2021-21972 带来的风险认定和 CVE-2019-19781 同个级别，后者是 Citrix 应用交付控制器中的一个关键漏洞。
...
文章来源：酒仙桥六号部队
漏洞描述
近日，酒仙桥六号部队监测到致远OA发布了安全补丁，修复了多个致远OA旧版本存在的文件上传与权限绕过漏洞。根据补丁显示，漏洞出现原因是因为致远OA旧版本中某些接口存在未授权访问，以及部分函数过滤不足，攻击者通过构造恶意请求，可在无需登录的情况下上传恶意脚本，从而控制服务器。对此，建议广大用户做好资产自查以及预防工作，以免遭受黑客攻击。
影响版本
致远OA V8.0致远OA V7.1、V7.1SP1致远OA V7.0、V7.0SP1、V7.0SP2、V7.0SP3致远OA V6.0、V6.1SP1、V6.1SP2致远OA V5.x
危害级别
危害级别：严重
修复方案
升级至最新版本或者下载升级官方发布的最新补丁，链接如下：
http://service.seeyon.com/patchtools/tp.html#/patchList?type=%E5%AE%89%E5%85%A8%E8%A1%A5%E4%B8%81&id=
参考链接
2020年10-12月安全补丁合集
http://service.seeyon.com/patchtools/tp.html#/patchList?type=%E5%AE%89%E5%85%A8%E8%A1%A5%E4%B8%81&id=1
...
今天，上游新闻记者从江津区公安局获悉，当地警方日前破获一起网络诈骗案，跨省追回被骗款7.9万元。
8月8日，江津区吴女士来到德感派出所报警，称自己遭遇网络诈骗。“之前我在一个博彩网站输掉20多万元，后来在上网过程中浏览到一条消息，对方号称是专业黑客，可以帮我追回受损钱财。”吴女士说，她抱着试一试的心态，添加对方为好友。随后，对方以租服务器、交保证金、激活套现等借口，骗取吴女士7.9万元。直到被对方拉黑后，吴女士才意识到被骗，随即报警。
“我们立即展开侦查，及时启动冻结止付机制，同时根据报案人描述的案情及提供的线索，结合银行卡和网络身份信息，认真梳理并进行研判分析。”办案民警介绍，经过多日努力，成功锁定犯罪嫌疑人身份及所在地，赴贵州将犯罪嫌疑人胡某抓获归案。
“平日上网时，我发现很多人都希望通过网络黑客帮忙把网络博彩损失的钱追回来，于是就假冒黑客实施诈骗。”胡某交代，自己在诈骗过程中经常分饰两角，“先扮演托儿，再引出黑客，杜撰成功追回钱财的故事，等对方相信后，再换号以黑客的身份骗取钱财，榨干对方后便拉黑。”
侦破工作结束后，办案民警想方设法为受害人挽回损失。“我们通过进一步调查得知，胡某已将骗来的5万元交给了父亲。”办案民警介绍，民警多次向胡某及其父亲宣讲法律法规，通过连续多日耐心细致的教育，最终让胡某的父亲分两次将7.9万元悉数退还给了吴女士。
10月15日，受害人家属向民警送来一面写有“破案神速追回骗款，人民卫士一心为民”的锦旗，表达谢意。
警方：黑客追回钱财的故事都是骗术
警方表示，无论是网上博彩还是线下赌博，对自身、家庭、社会的危害都很大。
“所谓黑客追回钱财的故事，均是骗子的骗术，不要相信，更不要尝试。”警方提醒，诈骗手法虽然花样多，但最终都会归于转账这个落脚点，大家要提高警惕，做到不轻信、不透露、不转账，才能保护自己的财产安全。遭遇诈骗后，要保存相关的聊天、转账记录并及时报警。
发这篇文章给大家看看，多写点小技巧，别被人pian了。现在的骗子可多了、
...
