赛博安全狗：ReadyMedia 1.3.0至1.3.3存在DFF解析栈缓冲区溢出漏洞 (11.03)

赛博安全狗
赛博安全狗

赛博看门狗

2026年11月3日 18:04
浙江

去阅读

[ ROOT @ WATCHDOG ]

全网高价值安全威胁速递。包含高危漏洞、数据泄露与行业重点动态。

2026-11-03 · 10 条

今日重点

1.佛州学生资助网站被黑，约490万人信息或泄露

2.巴西加密货币交易所Mercado Bitcoin暂停充提币

3.Black Hat USA 2026现场多款应用被观察到明文传输照片通话及个人敏感数据

【一】行业和安全动态

行业动态

Black Hat USA 2026现场多款应用被观察到明文传输照片通话及个人敏感数据

Corelight在Black Hat USA 2026大会网络运营中心（NOC）观察到多款应用以明文传输敏感数据：一款相册应用通过FTP明文上传了儿童五人制足球赛照片，两天内泄露101张；一款全球下载量超1000万的SIP电话应用经5060和5070端口未加密通话，其中一段9分钟通话包含姓名、地址、社保号后四位、银行账户等信息；一款计步应用经HTTP:80传输昵称、邮箱、电话、身高体重等数据；另有儿童看护摄像头视频流、家庭巷道监控流、3D打印机视频流、股票交易应用、自定义应用、防沉迷应用和MDM代理等明文泄露。这些发现并非恶意软件或漏洞利用所致，而是应用设计、配置错误或用户操作造成。NOC团队借助基于Zeek的Corelight日志识别出涉事摄影师并建议其停用相关应用。

来源：SecurityHub · 11-03 04:22（北京时间）

行业动态

NIST发布后量子密码迁移最终报告，高价值联邦系统2030年设期限

美国国家标准与技术研究院（NIST）发布最终版《后量子密码标准过渡》报告，指出当前易受量子攻击的密码标准及其抗量子替代标准，并为联邦机构给出迁移时间表和活动指引。报告称，虽然具备破解能力的量子计算机尚未出现，但“先窃取、后解密”威胁使现有加密数据已面临风险，因此建议对高敏感数据优先迁移至密钥建立标准FIPS 203。报告还讨论了将传统加密与后量子密码结合的混合方案及其代价。根据相关行政命令和OMB备忘录M-26-15，高价值资产与高影响系统须在2030年12月31日前完成后量子密钥建立、2031年12月31日前完成数字签名迁移；易受量子攻击的公钥密码2030年后被弃用、2035年后被禁用，国家安全备忘录10设定的2035年联邦整体迁移目标保持不变。

来源：Industrial Cyber · 11-02 21:10（北京时间）

行业动态

研究论文系统分析Google A2A协议 确认11项安全问题

ACSAC 2026录用的论文《A2ABreak: Systematic Security Analysis of the A2A Protocol》针对Google的智能体间通信协议A2A v1.0.0，在假设各方遵守MUST、落实SHOULD、开启MAY安全选项的严格威胁模型下，借助大语言模型将协议规范转化为状态机，系统分析协议层安全缺陷，并经人工复核确认11项问题。研究重点剖析跨客户端上下文注入、多跳身份丢失、未经证明的能力声明三个代表性问题，并介绍规范抽取、状态机构建和漏洞发现验证流程。研究指出逐跳认证不等于端到端委托证明，A2A仍缺少必要的安全机制。

来源：SecurityHub · 11-02 21:07（北京时间）

【二】数据泄露与隐私事件

数据泄露与隐私

佛州学生资助网站被黑，约490万人信息或泄露

佛罗里达州教育部称，黑客入侵其学生经济资助网站，可能导致约490万人的个人信息暴露。该部门于10月19日发现入侵，随后启动应急响应程序并表示已控制事态。据称事件局限于FloridaStudentFinancialAidSG.org网站，可能影响约490万人，过往曾在该州申请资助者均可能受影响。攻击者可能访问的数据包括姓名、社会安全号码、出生日期、住址、电话号码、电子邮箱和性别代码。该部门未披露入侵方式及责任方，也无威胁组织公开认领。佛罗里达数字服务局和州执法部门正协助处置。官方表示学生现有资助安全，拨付和学费支付不会延迟，奖学金、助学金和贷款资格不受影响。此前9月，佛州公路安全与机动车车辆局曾确认其驾驶员数据库被访问。

来源：SecurityWeek · 11-02 22:44（北京时间）

数据泄露与隐私

时尚零售商Revolve数据泄露 至少18万客户支付信息被盗

在线时尚零售商Revolve正在通知至少18万人，其个人和支付卡信息在数据泄露事件中被盗。事件发生于9月11日，攻击者未经授权访问了包括公司在线购物平台在内的部分系统。Revolve在发现网络攻击后立即启动事件响应并遏制和修复了未授权活动。调查显示，黑客可能访问并窃取了在电商平台账户中保存数据的客户的姓名、地址、支付卡号和支付卡有效期。公司在提交给美国证券交易委员会的文件中称，事件未造成运营中断或客户服务中断，预计不会对业务产生重大影响。公司已通知执法部门并聘请网络安全公司协助修复，已向至少179259人发送通知信，但未提供免费身份盗用或信用监控服务。攻击者身份和入侵方式尚未披露。

来源：SecurityWeek · 11-02 21:35（北京时间）

【三】焦点漏洞与攻击预警

漏洞与攻击

巴西加密货币交易所Mercado Bitcoin暂停充提币

2026年11月2日，巴西加密货币交易所Mercado Bitcoin在检测到其一个系统发生安全事件后，暂停了充值和提现业务。该交易所表示，已于周一凌晨迅速控制了该问题，并宣称客户未遭受损失，也没有数据泄露。服务暂停的更多细节尚未公布，交易所称问题已被快速遏制。

来源：CISO Advisor · 11-03 04:42（北京时间）

漏洞与攻击

ReadyMedia 1.3.0至1.3.3存在DFF解析栈缓冲区溢出漏洞

CVE-2026-29508于2026年11月2日发布，涉及ReadyMedia（前身为MiniDLNA）1.3.0至1.3.3版本中的基于栈的缓冲区溢出漏洞。远程攻击者可通过构造带有超大PROP块大小值的恶意DFF音频文件破坏栈内存，该值未经校验即被用于分配变长栈数组并读入文件数据。攻击者可将构造的DFF文件放入ReadyMedia监控的目录，借助inotify触发自动解析，在未启用防护的构建上实现远程代码执行，或在启用栈保护的加固构建上造成拒绝服务。该漏洞严重程度评分为8.8，属高危。

来源：cvefeed · 11-03 05:17（北京时间）

漏洞与攻击

篡改版Claude Code扩展波及Cursor编辑器用户

报道披露一起供应链攻击：Anthropic的Claude Code扩展被篡改的版本被分发给Cursor编辑器用户。事件发生于10月29日，涉及anthropic.claude-code扩展的2.1.312和2.1.313版本，这些版本在Cursor VS Code扩展市场（Cursor VS Code Extension Marketplace）上存留了约11小时。报道正文因截断未提供攻击的具体技术细节、影响范围或已确认的用户受害情况，上述信息为该报道的描述。

来源：CISO Advisor · 11-03 01:55（北京时间）

漏洞与攻击

Ivanti修复Connect Secure两个遭在野利用的零日漏洞

Ivanti发布安全更新，修复其远程访问网关Connect Secure（ICS）中的两个新漏洞。据该报道，这两个漏洞自至少10月1日起已被攻击者在链式零日攻击中利用，编号为CVE-2026-111357和CVE-2026-118527，攻击者将其与此前已被修复的身份验证绕过漏洞CVE-2026-104935配合使用。这表明相关漏洞已被实际在野利用，而非仅存在潜在风险。报道正文截断，未提供漏洞成因、影响版本范围或攻击者归属等更多细节。

来源：CISO Advisor · 11-03 01:48（北京时间）

漏洞与攻击

欧洲多国超市冷冻系统遭黑客操纵致食品报废

11月2日，针对超市制冷系统的网络攻击浪潮蔓延至欧洲至少7国，涉及瑞典、比利时、爱沙尼亚、爱尔兰、芬兰、卢森堡和荷兰，受影响零售商包括ICA、Coop、Ahold Delhaize、Colruyt、家乐福、Intermarché和SuperValu，宜家也确认其比利时至少一家门店受到影响。黑客通过操纵温度控制迫使零售商下架冷藏冷冻食品。瑞典斯德哥尔摩一家ICA加盟店称凌晨2时遭攻击后冷冻柜温度升至50摄氏度，冷冻库存全部损毁；爱沙尼亚Selver一家超市的冷冻系统同样被升至50摄氏度，但因技术伙伴及时发现而避免损失。制冷设备供应商Kitman Coldtech称攻击者利用了较旧的Danfoss制冷系统。此前的10月法国数百家超市也遭类似攻击。各国网络安全机构正在调查，尚未确定攻击者身份或与法国事件的关联；爱尔兰NCSC称现有迹象表明事件可能与一个已知漏洞有关。

来源：Industrial Cyber · 11-03 01:36（北京时间）

• -   -

- 极客视角 · 洞悉暗流 -