Kaspersky researchers detail Umbrij, a new .NET malware tool used by the ToddyCat APT group to steal OAuth tokens from corporate Gmail accounts. The tool uses DLL sideloading via legitimate binaries (Bitdefender, Visual Studio, Google Desktop) to execute, then launches Chromium-based browsers in headless mode with remote debugging enabled. It connects via the DevTools protocol using Puppeteer Sharp, navigates to a Google OAuth authorization page using the client ID of legitimate Google Workspace tools (GWMMO/GWSMO), and automates clicks to grant permissions — capturing the resulting OAuth authorization code. The technique, dubbed Shadow Token via Remote Debug (STRD), exploits existing authenticated browser sessions to silently obtain API access tokens without triggering EPP/EDR alerts. Detection guidance includes monitoring for DLL loads from vulnerable apps, browser launches with remote debugging flags, and auditing third-party Google account permissions. Mitigation includes disabling browser developer tools via Group Policy and revoking unauthorized OAuth grants.
Nguồn: https://securelist.com/toddycat-apt-umbrij-tool-and-oauth/120251. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.
RSK đã fork IdentityServer4 thành Open.IdentityServer, phiên bản miễn phí và mã nguồn mở cho OpenID Connect và OAuth 2.0 trên .NET, nhằm thay thế phiên bản thương mại của Duende Software. Open.IdentityServer 1.0.0 ra mắt tháng 6/2025 với giấy phép Apache 2.0, hỗ trợ di chuyển dễ dàng từ Duende chỉ bằng thay đổi NuGet package.
Nếu bạn đang phát triển ứng dụng .NET sử dụng OAuth 2.0/OpenID Connect và muốn có một giải pháp mã nguồn mở, hỗ trợ lâu dài mà không phụ thuộc vào các giải pháp thương mại, thì Open.IdentityServer là lựa chọn thay thế đáng tin cậy và dễ triển khai ngay hôm nay.
Lỗ hổng ghi vượt giới hạn heap (CVE-2026-8461) có tên PixelSmash được phát hiện trong bộ giải mã MagicYUV của FFmpeg, ảnh hưởng đến nhiều ứng dụng sử dụng libavcodec như Kodi, OBS Studio, Nextcloud, PhotoPrism, Emby và Jellyfin. FFmpeg 8.1.2 đã vá lỗ hổng này, có thể gây RCE hoặc từ chối dịch vụ tùy thuộc vào điều kiện hệ thống.
Lập trình viên nên đọc bài này vì PixelSmash là lỗ hổng nghiêm trọng trong FFmpeg, có thể dẫn đến tấn công xâm nhập từ xa (RCE) hoặc cản trở hoạt động của ứng dụng sử dụng libavcodec, từ các nền tảng như Kodi đến hệ thống quản lý media như Jellyfin, ảnh hưởng đến cả hệ thống của bạn nếu không được cập nhật.
Bài viết hướng dẫn cách viết báo cáo lỗ hổng bảo mật (vulnerability reports) chất lượng cao cho các dự án nguồn mở, do người duy trì dự án curl chia sẻ. Các khuyến nghị chính gồm: viết đoạn giới thiệu rõ ràng, cung cấp mã tái hiện lỗi (reproducer) độc lập, gửi kèm bản vá (patch) nếu có thể, chỉ rõ phiên bản bị ảnh hưởng, tuân thủ kênh gửi báo cáo ưu tiên của dự án và sẵn sàng hợp tác trong suốt quá trình. Ngoài ra, bài viết cũng đề cập cách thức viết advisory bảo mật và nhấn mạnh tôn trọng thời gian hạn chế của các maintainer tình nguyện.
Lập trình viên nên đọc bài này để cải thiện chất lượng báo cáo lỗ hổng cho các dự án mở nguồn, tránh gây khó khăn cho các maintainer và tăng cơ hội được giải quyết nhanh chóng.

Một nhà phát triển tên Gretchen gia nhập dự án Node.js cũ kỹ sau khi bị mua lại và phát hiện hàng loạt lỗi nghiêm trọng: logging bị hỏng chỉ in ra "DEBUG", lỗ hổng SQL injection từ truy vấn thô, thiếu middleware phân quyền trên hầu hết endpoints (kể cả API admin), codebase dừng ở Node.js 14, và dữ liệu request được đưa trực tiếp vào database mà không qua bất kỳ validation nào.
Lập trình viên nên đọc bài này để tránh rơi vào những sai lầm an toàn và thiết kế không hiệu quả trong dự án Node.js, từ đó học cách cải thiện bảo mật, quản lý lỗi và tối ưu hóa hệ thống ngay từ giai đoạn đầu.
Mọi lỗ hổng trong agent AI đều là thất bại trong việc thiết lập ranh giới tin cậy (trust boundary), không phải do mô hình hay công cụ. Bài viết phân tích bốn vector tấn công chính: tiêm prompt qua kết quả công cụ, giả mạo danh tính trong cuộc gọi giữa agent, tấn công "bom ngân sách" từ vòng lặp vô tận, và nhiễm độc công cụ qua sự sai lệch của MCP server. Giải pháp đề xuất là áp dụng các kiểm soát hạ tầng như Portkey's Agent Gateway, MCP Registry, LLM Gateway để ngăn chặn hoặc phát hiện các cuộc tấn công này.
Lập trình viên nên đọc bài này để hiểu cách bảo vệ hệ thống AI agent khỏi các lỗ hổng nghiêm trọng không phụ thuộc vào lỗi của mô hình hay công cụ, mà liên quan đến việc thiết lập và kiểm soát biên giới tin cậy—đặc biệt là khi các agent tự quyết định sử dụng các công cụ và giao tiếp với nhau.
Node.js 22.23.0 (LTS) là bản cập nhật bảo mật chỉ tập trung vào dòng LTS 'Jod', vá 11 lỗ hổng CVE, bao gồm các lỗi nghiêm trọng về chuẩn hóa hostname TLS, bảo vệ độ dài cipher WebCrypto, tăng trưởng bộ nhớ không giới hạn HTTP/2, tiêm NUL byte vào DNS/net hostname, rò rỉ credential proxy, và poisoning hàng đợi HTTP. Các dependency như nghttp2, OpenSSL, llhttp, undici cũng được nâng cấp.
Lập trình viên Node.js nên đọc bài này để cập nhật các bản vá an toàn mới nhất, đặc biệt là các lỗ hổng TLS và WebCrypto có thể ảnh hưởng đến tính bảo mật của ứng dụng web của bạn.
Okta ra mắt nền tảng quản trị AI Agent (Okta for AI Agents – Core) tương thích FedRAMP và HIPAA, quản lý AI Agent như danh tính cấp cao với token ngắn hạn thay thế API keys tĩnh. Tính năng bao gồm đăng ký agent, kiểm soát truy cập tối thiểu, nhật ký kiểm toán và công tắc ngắt agent độc hại, đáp ứng lệnh hành pháp về triển khai AI an toàn trong cơ quan chính phủ.
Lập trình viên cần đọc bài này để hiểu cách quản lý an toàn và tuân thủ tiêu chuẩn FedRAMP/HIPAA cho các ứng dụng AI agent, giúp họ xây dựng hệ thống bảo mật cao hơn trong môi trường công nghệ liên bang hoặc y tế.
LastPass xác nhận dữ liệu khách hàng trong môi trường Salesforce bị truy cập sau cuộc tấn công chuỗi cung ứng nhằm vào Klue hôm 12/6. Nhóm tống tiền Icarus đã xâm nhập hạ tầng Klue bằng thông tin đăng nhập cũ, đánh cắp token OAuth kết nối Klue với Salesforce của khách hàng. Dữ liệu bị lộ bao gồm tên, số điện thoại, email, địa chỉ, thông tin hỗ trợ và dữ liệu CRM. LastPass cho biết sản phẩm cốt lõi, dịch vụ và kho dữ liệu khách hàng không bị ảnh hưởng.
Lập trình viên nên đọc bài này để hiểu rõ về cách tấn công supply chain attack hoạt động như thế nào, từ đó nâng cao kiến thức bảo mật cho các ứng dụng và hệ thống của mình, đặc biệt là khi sử dụng các dịch vụ cloud như Salesforce.