摘要：各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！

各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！

🍮ChatGPT被诱导自我注入攻击，7 种新型手法窃取隐私数据

⚔️攻击者利用自定义GPT的SSRF漏洞窃取ChatGPT机密数据

🛡️GlassWorm蠕虫卷土重来：开源安全体系暴露根本性缺陷

📱三星0Day漏洞遭间谍软件LANDFALL利用入侵Galaxy设备

🫙runc关键漏洞威胁Docker和Kubernetes容器隔离安全

🌐Chrome修复V8 JavaScript引擎高危实现漏洞

💾NVIDIA App漏洞可导致攻击者执行恶意代码（CVE-2025-23358）

微软披露高危内核漏洞CVE-2025-62215，已在野外被利用，可提权至SYSTEM权限。影响所有Windows版本，需立即修补。攻击者常借此深化控制，建议优先更新服务器和管理终端。

全球65%顶级AI企业因创新优先暴露API密钥，估值超4000亿美元资产面临模型窃取、数据泄露风险。云配置错误和密钥管理不当凸显AI行业安全短板，合规治理迫在眉睫。

2025年11月微软披露GitHub Copilot和Visual Studio两个高危漏洞，涉及路径遍历和AI输出验证缺陷，可绕过安全防护。攻击者需本地权限，但可能窃取敏感数据或注入恶意代码。建议立即更新并加强代码审查。

OpenAI的ChatGPT存在SSRF漏洞，攻击者可利用自定义GPT的"Action"功能访问内部云元数据，导致Azure凭证泄露。漏洞通过外部HTTPS重绕限制，注入"Metadata"标头获取权限。该漏洞已修复。

runc曝出三个关键漏洞（CVE-2025-31133/52565/52881），攻击者可突破容器隔离获取宿主机root权限。所有版本受影响，已发布修复版本1.2.8/1.3.3/1.4.0-rc.3+，建议立即升级并启用用户命名空间防护。

谷歌发布Chrome 142.0.7444.162/.163版本，修复V8引擎高危漏洞CVE-2025-13042，建议用户尽快更新。该漏洞可能被恶意代码利用，更新将逐步推送至各平台。

NVIDIA修复Windows版APP高危漏洞CVE-2025-23358，该漏洞允许本地攻击者通过安装程序组件执行任意代码并提权，CVSS评分8.2。建议用户立即升级至11.0.5.260或更高版本。

本周好文推荐指数

AI驱动的网络安全工具面临"即时注入攻击"威胁，攻击者通过恶意指令劫持AI代理，暴露LLM固有缺陷。防御需构建多层架构：隔离环境、智能检测、文件保护及二次AI验证，结合人机协同与责任共担，平衡智能与安全。

CVE-2025-53770是SharePoint严重RCE漏洞，无需认证即可远程控制服务器，全球23.5万实例受影响。漏洞利用Referer头绕过认证和ExcelDataSet反序列化实现攻击，CVSS评分9.8。微软已发布补丁，建议立即更新并轮换MachineKey。

来源：FreeBuf