Cloud & Application Security
Cloud & Application Security
2026-05-06 归档
今日共收录 1285 条安全情报，包含 277 个 CVE，391 篇安全通告，以及 322 篇研究论文。
← 返回归档列表From Scanner to Stealer: Inside the trivy-action Supply Chain Compromise
From Scanner to Stealer: Inside the trivy-action Supply Chain Compromise
Next-Gen Identity Security
Next-Gen Identity Security
CrowdStrike FalconID Brings Phishing-Resistant MFA to Falcon Next-Gen Identity Security
CrowdStrike FalconID Brings Phishing-Resistant MFA to Falcon Next-Gen Identity Security
Backdoored PyTorch Lightning package drops credential stealer
A malicious version of the PyTorch Lightning package published on the Python Package Index (PyPI) delivers a credential-
CloudZ malware abuses Microsoft Phone Link to steal SMS and OTPs
A new version of the CloudZ remote access tool (RAT) is deploying a previously unseen malicious plugin called Pheno that
ScarCruft hackers push BirdCall Android malware via game platform
The North Korean hacker group APT37 has been delivering an Android version of a backdoor called BirdCall in a supply-cha
The Dark Side of Flexibility: Detecting Risky Permission Chaining Attacks in Serverless Applications.
本文研究了无服务器应用（Serverless Applications）中由于权限配置灵活性导致的 "权限链攻击" 风险。作者识别出两种新型攻击模式："Permission Overlord Attack"（权限霸主攻击）和 "Permis
Hey there! You are using WhatsApp: Enumerating Three Billion Accounts for Security and Privacy.
本论文研究了全球最大即时通讯平台 WhatsApp 的电话号码枚举漏洞。WhatsApp 拥有超过 35 亿活跃用户（截至 2025 年初），其通讯录同步机制允许用户通过手机号查询联系人是否注册。该机制虽为合法功能，但本质上为攻击者提供了枚
Indicator of Benignity: An Industry View of False Positive in Malicious Domain Detection and its Mitigation.
该论文针对恶意域名检测中普遍存在的误报（False Positive）问题，提出了“良性指标（Indicator of Benignity, IoB）”这一新概念。传统检测方法依赖恶意指标（Indicator of Compromise,
Token Time Bomb: Evaluating JWT Implementations for Vulnerability Discovery.
该论文对 JSON Web Token（JWT）实现的安全性进行了系统评估。JWT 被广泛应用于分布式系统中的身份认证和授权，但已知存在多种安全漏洞。作者首先收集了来自 GitHub、Maven、npm 和 Go 生态系统的 43 个 JW
LOKI: Proactively Discovering Online Scam Websites by Mining Toxic Search Queries.
本文提出名为 LOKI 的系统，旨在主动发现在线诈骗网站。现有检测系统虽能准确判断网站是否欺诈，但获取候选扫描网站的途径存在瓶颈：依赖用户报告被动且滞后，主动搜索引擎查询覆盖低且难以泛化。LOKI 通过挖掘“有毒”搜索查询（即返回高比例欺诈
FlyTrap: Physical Distance-Pulling Attack Towards Camera-based Autonomous Target Tracking Systems.
本文提出了一种针对基于摄像头的自主目标跟踪系统（如无人机、机器人等）的新型物理攻击方法——FlyTrap。该类系统通常依赖视觉目标跟踪算法（如SiamRPN、DiMP等）来锁定并跟随目标。攻击者通过精心设计物理世界中的对抗性图案（例如在衣服
SIPConfusion: Exploiting SIP Semantic Ambiguities for Caller ID and SMS Spoofing.
该论文研究了SIP（会话初始协议）中的语义歧义问题，并展示了如何利用这些歧义实现呼叫者ID和短信欺骗。作者通过分析SIP协议中多个字段的解析不一致性，发现了不同网络设备（如SIP服务器、媒体网关、终端）对同一SIP消息的不同解释方式，从而导
Pruning the Tree: Rethinking RPKI Architecture from the Ground up.
本文对资源公钥基础设施（RPKI）架构的复杂性进行了首次系统性分析，并提出了向后兼容的改进设计iRPKI。RPKI是BGP安全的关键机制，但其现有设计大量重用传统PKI组件（如X.509 EE证书、ASN.1编码、基于XML的仓库协议），导
HoneySat: A Network-based Satellite Honeypot Framework.
本文提出了 HoneySat，这是首个高交互卫星蜜罐框架，能够逼真地模拟真实的 CubeSat（一种小型卫星）。卫星是GPS等关键服务的基础，过去常因架构复杂和依赖安全模糊性而被认为安全，但技术进步使这些假设过时，卫星安全成为关注焦点。然而
Aliens Among Us: Observing Private or Reserved IPs on the Public Internet.
该论文研究在公共互联网上观察到私有或保留IP地址（如RFC 1918地址）的现象。作者通过大规模网络扫描和被动监测，发现大量私有IP地址在公网中可见并被路由，这可能是由于设备配置错误、NAT穿透技术或恶意活动导致。论文提出了一个分类框架，将
PhishLang: A Real-Time, Fully Client-Side Phishing Detection Framework Using MobileBERT.
该论文提出了PhishLang，一个基于MobileBERT的实时、全客户端钓鱼检测框架。传统钓鱼检测方法通常依赖服务器端分析或黑名单，存在延迟、隐私泄露和无法检测新钓鱼站点的问题。PhishLang通过在客户端设备上直接运行轻量级Mobi
Crack in the Armor: Underlying Infrastructure Threats to RPKI Publication Point Reachability.
该论文研究了RPKI（资源公钥基础设施）中发布点（Publication Point）的可达性问题。RPKI通过路由起源授权（ROA）来防止路由劫持，但其有效性依赖于发布点的可靠可达性。作者发现发布点存在多种基础设施层面的威胁，包括DNS解
Action Required: A Mixed-Methods Study of Security Practices in GitHub Actions.
该论文《Action Required: A Mixed-Methods Study of Security Practices in GitHub Actions》针对持续集成/持续部署（CI/CD）工作流中的安全问题，特别是GitHub