慢雾：苹果发布可导致任意代码执行的严重漏洞提醒，请及时更新

金色财经报道，据慢雾区消息，Nuxt.js远程代码执行漏洞(CVE-2023-3224) PoC在互联网上公开，目前已出现攻击案例。Nuxt.js是一个基于Vue.js的轻量级应用框架，可用来创建服务端渲染(SSR) 应用，也可充当静态站点引擎生成静态站点应用，具有优雅的代码结构分层和热加载等特性。Nuxt中存在代码注入漏洞，当服务端以开发模式启动时，远程未授权攻击者可利用此漏洞注入恶意代码并获取目标服务器权限。其中，Nuxt == 3.4.0，Nuxt == 3.4.1，Nuxt == 3.4.2 均受到影响。加密货币行业有大量平台采用此方案构建前后端服务，请注意风险，并将Nuxt升级到3.4.3或以上版本。

金色财经报道，据慢雾区消息，Nacos 出现远程代码执行漏洞攻击案例。Nacos 是 Alibaba 开源的一个更易于构建云原生应用的动态服务发现、配置管理和服务管理平台，帮助用户快速实现动态服务发现、服务配置、服务元数据及流量管理。Nacos 在处理某些基于 Jraft 的请求时，采用 Hessian 进行反序列化，但并未设置限制，导致应用存在远程代码执行（RCE）漏洞。其中，1.4.1 <= Nacos < 1.4.6，使用 cluster 集群模式运行受影响；1.4.0、2.0.0 <= Nacos < 2.2.3，任意模式启动均受到影响。加密货币行业有大量平台采用此方案，请注意风险，并将 Nacos 升级到官方最新新版本。

4月18日消息，杀毒软件卡巴斯基官方表示，苹果操作系统中再次发现非常严重的漏洞。攻击者可以获取 root 权限，可能会危害用户资产安全。在 iOS 和 macOS 中这几个非常严重的安全漏洞已被攻击者利用。为了应对这些漏洞，苹果针对以前的几个版本迅速发布了更新。这些漏洞非常关键，请迅速更新。

金色财经报道，慢雾科技首席信息安全官23pds发文表示，Authy，仅次于Google Authenticator的流行2FA服务遭到黑客攻击，泄露3300万用户的电话号码。如果您是Authy用户，请警惕网络钓鱼攻击。 目前官方开发商Twilio已经确认了漏洞，加密货币行业有大量从业者使用此款2FA软件，请注意资产安全。

金色财经报道，据慢雾安全团队情报,2022年10月11号,ETH链上的Rabby钱包项目的Swap合约被攻击,其合约中代币兑换函数直接通过OpenZeppelin Addresslibrary中的functionCallWith Value函数进行外部调用，而调用的目标合约以及调用数据都可由用户传入，但合约中并未对用户传入的参数进行检查，导致了任意外部调用问题。攻击者利用此问题窃取对此合约授权过的用户的资金。慢雾安全团队提醒使用过该合约的用户请迅速取消对该合约的授权并提取资金以规避风险。 截止目前，Rabby Swap事件黑客已经获利超19万美元，资金暂时未进一步转移。黑客地址的手续费来源是Tornado Cash 10 BNB，使用工具有Multichain、ParaSwap、PancakeSwap、Uniswap V3、TraderJoe。慢雾MistTrack将持续监控黑客地址并分析相关痕迹。

9月22日消息，Apple发布了新一轮安全补丁，以解决三个正在被积极利用的零日漏洞，这些漏洞影响了iOS、iPadOS、macOS、watchOS和Safari，使今年在其软件中发现的零日漏洞总数达到16个。安全漏洞列表如下： CVE-2023-41991，Security框架中的一个证书验证问题，可能允许恶意应用程序绕过签名验证。 CVE-2023-41992，Kernel中的一个安全漏洞，可能允许本地攻击者提升权限。 CVE-2023-41993，WebKit中的一个漏洞，在处理特制Web内容时可能导致任意代码执行。 苹果没有提供更多细节，只是确认了“该问题可能在iOS 16.7之前的版本中被积极利用。提醒用户及时升级”。