1、Apache Parquet曝远程代码执行漏洞

https://thehackernews.com/2025/04/critical-flaw-in-apache-parquet-allows.html

2025年4月4日，研究员近期监测到Apache Parquet开源数据格式库存在严重安全漏洞（CVE-2025-30065），其Java版本因Schema解析逻辑缺陷允许远程攻击者通过恶意文件执行任意代码。该漏洞影响范围覆盖1.15.0及之前版本，已被官方修复。Aqua公司披露的攻击案例显示，攻击者正利用自动化工具扫描未修复的Apache服务（如Tomcat），部署加密劫持及持久化后门。

2、SpotBugs令牌泄露引发GitHub供应链攻击

https://thehackernews.com/2025/04/spotbugs-access-token-theft-identified.html

2025年4月4日，GitHub供应链攻击事件的根本原因被确定为开源项目SpotBugs的个人访问令牌（PAT）泄露。攻击者通过伪造拉取请求（PR）渗透SpotBugs的CI/CD流程，窃取维护者PAT后横向攻击至reviewdog、tj-actions/changed-files等GitHub Action，最终导致Coinbase等218个代码库泄露敏感信息，包括AWS密钥、GitHub令牌及加密货币钱包凭证。

3、KongTuk利用假验证码实施剪贴板劫持

https://cybersecuritynews.com/fake-captcha/

2025年4月5日，网络安全公司 Palo Alto Networks Unit 42近日揭露新型攻击链“KongTuke”，其通过入侵合法网站注入恶意脚本，诱导用户执行伪装成CAPTCHA（验证码）验证的剪贴板劫持（pastejacking），最终下载未知恶意软件。

4、PostgreSQL管理工具曝远程代码执行漏洞

https://gbhackers.com/critical-pgadmin-flaw/

2025年4月7日，研究员发现PostgreSQL数据库管理工具pgAdmin被曝存在严重远程代码执行漏洞（CVE-2025-2945），影响版本≤9.1。攻击者通过构造恶意API请求，利用Python的eval()函数在受控系统执行任意命令，此漏洞可能导致数据库篡改、凭证窃取及内网渗透。该漏洞虽然需要身份验证以限制被广泛利用，但是被盗用的帐户或网络钓鱼攻击可以绕过此验证。pgAdmin团队已在9.2版本中移除eval()函数并修复逻辑，建议用户立即升级。

5、Oracle公司向部分客户确认了云数据泄露

https://www.bleepingcomputer.com/news/security/oracle-privately-confirms-cloud-breach-to-customers/

2025年4月3日，Oracle公司向部分客户确认，攻击者通过入侵其2017年停用的遗留系统窃取了历史客户凭证。Oracle声称外泄数据不涉及敏感信息，但攻击者向美国科技网站BleepingComputer提供的样本显示泄露数据至2024年末，并于黑客论坛公开了2025年更新的数据，表明漏洞可能未被彻底修复。Oracle建议客户重置关联账户密码，但尚未公布受影响客户范围。

6、新型攻击利用LLM应用层过度授权窃取数据

https://www.helpnetsecurity.com/2025/04/07/compromised-llm-attacks-video/

2025年4月7日，研究员指出随着大语言模型（LLM）应用加速普及，其集成环境中的权限管理漏洞正催生新型网络攻击。攻击者不再直接针对LLM模型，而是利用应用层对模型资源访问的过度授权，窃取企业核心数据、操控决策流程或导致关键服务中断。尽管当前攻击案例尚未大规模爆发，但安全机构警告，LLM与业务系统深度绑定的趋势将放大此类风险。

7、谷歌发布网络安全AI新模型Sec-Gemini v1

https://cybersecuritynews.com/sec-gemini-v1/

谷歌近日宣布推出实验性AI模型Sec-Gemini v1，旨在通过人工智能技术革新网络安全防御体系。该模型由Sec-Gemini团队成员Elie Burzstein和Marianna Tishchenko共同研发，旨在帮助网络安全人员应对日益复杂的网络威胁。

8、威瑞森iOS来电过滤应用漏洞暴露数百万用户通话记录

https://securityaffairs.com/176217/hacking/verizon-s-ios-call-filter-app-flaw.html

威瑞森（Verizon）iOS版来电过滤应用中一个现已修复的漏洞，可能被利用来获取数百万美国用户的通话记录。研究人员Evan Connelly已报告该漏洞，并于3月中旬完成修复。

9、乌克兰利用无人机嵌入恶意软件对抗俄罗斯反无人机行动

https://www.secrss.com/articles/77372

据悉，乌克兰无人机携带的恶意软件主要影响无人机本身或其连接的计算机，而不是针对整个网络，因此威胁相对较小；相关恶意软件烧坏了USB端口，似乎还旨在阻止俄罗斯重新利用被捕获的无人机。

10、专家利用ChatGPT-4o在5分钟内伪造护照 成功绕过KYC验证

https://securityaffairs.com/176224/security/chatgpt-4o-to-create-a-replica-of-his-passport-in-just-five-minutes.html

波兰研究员Borys Musielak使用ChatGPT-4o在短短五分钟内生成了一份逼真的假护照。专家表示，该伪造文件足以通过自动化（KYC）验证流程。

声明

以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。