SECURITY INTEL · DAILY

2026-10-28 每日安全情报

CSSA 2 · CVE 2 · 投毒 0

10.0 超危 · CPython TLS服务端因SNI回调引用管理缺陷导致远程未认证攻击者触发释放后使用引发内存损坏或服务崩溃

CSSA 独家预警 2

CSSA 独家预警 10.0 超危

CPython TLS服务端因SNI回调引用管理缺陷导致远程未认证攻击者触发释放后使用引发内存损坏或服务崩溃

该漏洞源于ssl.SSLContext对象在设置sni_callback时未正确维护底层C结构体的引用计数，导致Python对象析构后OpenSSL仍持有指向已释放内存的函数指针，远程未认证攻击者可利用TLS 1.3 HelloRetryRequest机制或连接重协商强制服务端在特定时间点调用该悬空指针，致使服务进程发生确定性崩溃、静默跳过验证或执行由并发请求数据构造的任意代码，严重破坏系统的机密性、完整性与可用性。

组件

CPython作为Python语言的核心解释器，其架构旨在通过高效的字节码执行引擎支持动态脚本运行，并在系统层面提供对操作系统原生接口的抽象封装，其中ssl模块负责实现基于OpenSSL库的传输层安全协议栈，承担网络通信中的加密握手、身份验证及数据完整性保护功能，确保分布式应用间数据传输的安全性。

类型

Use After Free (CWE-416)

仓库

github.com/python/cpython · Star 77746

处置建议

建议在处理具有sni_callback属性的SSLContext对象时，确保在应用生命周期内保持对该对象的长期引用以防止提前回收，同时若基于旧版OpenSSL构建环境，应显式禁用连接重协商功能以阻断攻击向量，从根源上消除释放后使用的风险。

CSSA 独家预警 10.0 超危

ComfyUI远程管理接口缺失认证导致任意代码执行及系统完全失控

攻击者利用启动参数启用管理器并绑定非回环地址时的配置缺陷，直接向暴露的管理API发送未经身份验证的HTTP POST请求，触发特定端点执行自定义节点的下载与安装操作。由于鉴权逻辑仅依赖静态安全级别而非调用者身份验证，且默认配置下未对远程安装实施有效阻断，攻击者可借此植入含有恶意Python代码的节点，进而实现服务器端的任意代码执行，获取系统最高控制权并持久化驻留，导致数据机密性、完整性及可用性遭到毁灭性破坏。

组件

ComfyUI是一款基于节点图架构的图形用户界面工具，旨在通过可视化工作流简化稳定扩散等生成式人工智能模型的推理过程。其核心组件包含自定义节点管理器，用于动态加载、安装和更新第三方扩展插件，该模块通过HTTP API与主服务集成，支持非本地网络监听以方便远程协作与管理，是系统实现功能扩展性的关键枢纽。

类型

Missing Authentication for Critical Function (CWE-306)

仓库

github.com/Comfy-Org/ComfyUI · Star 143653

处置建议

建议为管理接口强制实施基于令牌的强身份验证机制，限制敏感操作仅允许来自可信来源的请求。同时应严格校验节点来源，默认禁止非白名单或未经过签名验证的外部依赖自动加载，并在检测到非本地网络访问时发出明确的安全警告，确保只有经过授权的用户才能执行安装或重启等高危动作。

CVE 情报 2

CVE-2026-90465 CVSS 10.0 超危 2026年10月28日

FireCluster Sync处理缺失认证漏洞导致以root身份执行特权防火墙管理操作

在 FireCluster Sync 处理模块中，由于存在缺失身份验证的安全缺陷（CWE-77），位于集群互连网络上的攻击者（例如被攻陷的集群对等节点或路径上的网络攻击者）能够通过发送特制请求，以 root 身份调用特权防火墙管理操作。该漏洞允许攻击者在无需有效凭证的情况下，直接操控核心防火墙策略，严重威胁集群网络的安全边界。该漏洞影响所有未修复此认证逻辑缺陷的 FireCluster 部署环境。攻击者仅需处于集群互连网络路径上或控制集群中的一个节点即可发起攻击，无需用户交互即可实现远程特权提升。

组件

FireCluster 是一款用于构建高可用防火墙集群的软件解决方案，支持多节点间的状态同步与协同工作，广泛应用于企业级网络安全防护场景。

风险

完全系统控制：攻击者可以 root 权限执行任意防火墙管理命令，包括修改、删除或绕过安全规则，导致整个集群失去防护能力
权限提升：从普通网络攻击者直接提升至集群最高管理权限（root），可进一步横向移动控制集群内其他资源
无用户交互攻击：攻击者无需诱导用户点击或输入，仅需在网络层发送特制数据包即可触发漏洞，隐蔽性极高

来源

NVD · CVE-2026-90465

处置建议

立即隔离集群互连网络，限制仅允许受信任的集群节点进行通信
部署网络入侵检测系统（IDS），监控针对 Sync 端口的异常请求流量
尽快联系厂商获取官方补丁或临时缓解措施，修复认证逻辑缺陷

CVE-2026-65145 CVSS 10.0 超危 2026年10月27日

NVIDIA NeMo Agent Toolkit 缺失身份验证漏洞导致远程代码执行

在 NVIDIA NeMo Agent Toolkit 中，由于关键功能缺乏必要的身份验证机制（CWE-306），存在严重的安全缺陷。攻击者可通过网络远程利用此漏洞，无需复杂条件或用户交互，即可导致代码执行、权限提升、数据篡改、拒绝服务以及信息泄露。该漏洞影响所有未修复的 NVIDIA NeMo Agent Toolkit 部署环境。攻击者仅需通过网络发送特制请求即可触发漏洞，完全绕过安全控制，实现对系统的非法控制。

组件

NVIDIA NeMo Agent Toolkit 是 NVIDIA 提供的一套用于构建和部署 AI 智能体（Agent）的工具包，广泛应用于企业级 AI 应用开发场景。

风险

权限提升与完全控制：攻击者可利用缺失的身份验证直接执行任意代码，若服务以高权限运行，攻击者可获得系统最高权限
数据完整性与机密性受损：攻击者可篡改关键数据或窃取敏感信息，导致业务逻辑错误或隐私泄露
服务可用性破坏：通过触发拒绝服务条件，攻击者可导致 AI 智能体服务中断，影响业务连续性
无交互远程攻击：漏洞利用无需用户交互，攻击者可通过网络直接发起攻击，隐蔽性强且危害极大

来源

NVD · CVE-2026-65145

处置建议

在部署环境中强制实施严格的身份验证和访问控制策略
监控网络流量，阻断针对该组件的异常未认证请求

← 返回情报中心 RSS用 CleanSource SCA 自动监测这些风险 →