【风险通告】XZ-Utils 5.6.0/5.6.1版本后门风险（CVE-2024-3094） 风险通告 阿里云应急响应 2024-04-01 13:58 2024年3月29日，安全社区披露 CVE-2024-3094 XZ-Utils 5.6.0/5.6.1版本后门风险。 01 风险描述 XZ-Utils是Unix等操作系统中广泛用于处理.xz文件的套件，包含liblzma、xz等组件，已集成在
继续阅读【复现】JumpServer 后台模板注入漏洞（CVE-2024-29202）的风险通告 原创 赛博昆仑CERT 赛博昆仑CERT 2024-04-01 10:56 赛博昆仑漏洞安全通告- JumpServer 后台模板注入漏洞（CVE-2024-29202）的风险通告 漏洞描述 JumpServer 是广受欢迎的开源堡垒机，是符合 4A 规范的专业运维安全审计系统。JumpServer 帮助企
继续阅读【事件描述修正】XZ Utilѕ 工具库恶意后门植入漏洞(CVE-2024-3094)安全风险通告 奇安信 CERT 2024-04-01 00:01 ● 点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 XZ Utilѕ 工具库恶意后门植入漏洞 漏洞编号 QVD-2024-11691,CVE-2024-3094 公开时间 2024-03-29 影响量级 万级 奇安信评级 高危 CV
继续阅读【核弹漏洞？】XZ Utils供应链投毒事件分析 船山信安 2024-04-01 00:00 事件描述 简单来说这是一起供应链投毒事件，攻击者通过上游开源项目投毒，最终随着项目集成影响 Linux 发行版，包括 Fedora Linux 40/41 等操作系统已经确认受该问题影响。 2024年3月29日，微软PostgreSQL开发人员Andres Freund在调查SSH性能问题时，发现了XZ
继续阅读记一次非法网站资金盘股票基金的渗透-漏洞挖掘 漏洞挖掘 渗透安全HackTwo 2024-04-01 00:00 0x01 前言 简单的描述一下，在某次客户的授权渗透中发行客户网站被植入了暗链，一般这种暗链都是些非法网站，于是我就点开了这个暗链发现是一个资金盘，简简单单的翻了一下，立马锁定目标站，具体过程直接来看思路！ 末尾可领取字典等资源文件 0x02 漏洞信息收集网站打开后是一
继续阅读(互联网未公开)海康威视综合安防存在文件上传漏洞 DC1安全实验室 DC1安全实验室 2024-03-31 23:08 0x01 阅读须知 文章中涉及的敏感信息均已做打码处理，文章仅做经验分享用途，切勿当真，未授权的攻击属于非法行为！文章中敏感信息均已做多层打码处理。传播、利用本文章所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任，一旦造成后果请自行承担
继续阅读XZ Utilѕ 工具库恶意后门植入漏洞(CVE-2024-3094)安全风险通告 奇安信CERT 代码卫士 2024-03-31 21:49 ● 点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 XZ Utilѕ 工具库恶意后门植入漏洞 漏洞编号 QVD-2024-11691,CVE-2024-3094 公开时间 2024-03-29 影响量级 万级 奇安信评级 高危 CVSS 3
继续阅读【安全圈】微软重发 Edge 浏览器 123 稳定版：修复兼容性问题和 4 个零日漏洞 安全圈 2024-03-31 19:00 关键词 漏洞 微软公司近日重新发布了 Microsoft Edge 123 稳定版更新，在修复了此前报告的某些企业配置兼容性问题之外，还修复了 4 个零日漏洞。 IT 之家翻译 Edge 123.0.2420.65 更新日志内容如下： 修复了各种错误和性能问题： 修复了
继续阅读CVE-2022-2588 Dirty Cred漏洞分析与复现 Arahat0 看雪学苑 2024-03-30 18:00 1. 漏洞简述 ◆漏洞名称：Dirty Cred ◆漏洞编号：CVE-2022-2588 ◆漏洞类型：Double Free ◆漏洞影响：Linux 本地提权 ◆CVSS评分：7.8 ◆基础权限：需要 2. 组件概述 漏洞函数是route4_change() ，用于初始化和替
继续阅读明晚19点直播课！欢迎报名《系统0day安全-Windows平台漏洞挖掘（第2期）》 看雪课程 看雪学苑 2024-03-30 18:00 漏洞挖掘技能是一项非常重要的技能，它可以帮助企业发现并修复系统中的漏洞，从而提高系统的安全性，保护企业的重要数据和资产。同时，它也能帮助企业降低安全风险，避免因为漏洞被攻击而导致的数据泄露、系统瘫痪等问题。 此外，漏洞挖掘技能的学习和实践可以帮助企业员工提高安
继续阅读【风险提示】天融信关于liblzma/xz库5.6.0、5.6.1版本后门事件（CVE-2024-3094）的风险提示 天融信应急响应 天融信阿尔法实验室 2024-03-30 17:24 0x00 背景介绍 3月29日，Openwall 邮件列表中公布了名为 XZ Utils 的流行软件包中的后门。涉及混淆恶意代码的供应链攻击 。 0x01 漏洞描述 开发人员表示此次涉及一个名为 liblzma
继续阅读xz xz-utils供应链攻击CVE-2024-3094初步分析 原创 高渐离 落水轩 2024-03-30 15:28 声明 我只是知识的搬运工，本文核心内容均来自于https://www.openwall.com/lists/oss-security/2024/03/29/4。我只是帮忙总结翻译下。 内部并无原创内容 ，不过应该比那些只知道吓人的公众号好点。 影响范围●影响包名：xz, xz
继续阅读【漏洞通告】XZ-Utils供应链后门漏洞（CVE-2024-3094） 原创 NS-CERT 绿盟科技CERT 2024-03-30 14:41 通告编号:NS-2024-0011 2024-03-30 TAG： liblzma/xz、后门漏洞、CVE-2024-3094 漏洞危害： 攻击者利用此漏洞，可实现SSH未授权访问。 版本： 1.0 1 漏洞概述 近日，绿盟科技CERT监测到安全社区披
继续阅读【知道创宇404实验室】警惕Linux生态xz-utils软件包被攻击并植入后门（CVE-2024-3094） 404实验室 知道创宇404实验室 2024-03-30 13:43 2024年3月29日，有国外安全人员宣称在xz-utils软件包5.6.0到5.6.1版本中，存在被供应链攻击并植入后门风险（https://www.openwall.com/lists/oss-security/20
继续阅读liblzma/xz库被植入后门影响SSH事件紧急通告（CVE-2024-3094） 奇安信CERT 奇安信威胁情报中心 2024-03-30 11:27 后门事件： XZ是类Unix操作系统上的一种无损数据压缩格式，通常与gzibzip2 等其他常见数据压缩格式进行比较。 XZ Utils是一个命令行工具，包含XZ文件和liblzma的压缩和解压缩功能，liblzma是一种用于数据压缩的类似zl
继续阅读Exchange攻防系列之CVE-2019-1040分析 原创 chuxin 青藤智库 2024-03-29 18:00 Exchange基础 我们在进行渗透时会发现拿到Exchange 服务器权限之后就可以拥有域管权限或者可以拿到域管权限，那么为什么Exchange这么 神奇，我们从Exchange 原理、漏洞产生原理和场景利用等方面进行系统分析。 因为安装Exchange的时候是需要域管才可以
继续阅读Linux “wall” 漏洞已存在十年之久，可制造虚假的SUDO 提示并窃取密码 Bill Toulas 代码卫士 2024-03-29 17:39 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 作为Linux 操作系统一部分的util-linux 包的 wall 命令中存在一个漏洞 (CVE-2024-28085)，可导致攻击者窃取密码或更改受害者的剪贴板。 该漏洞被称为 “WallE
继续阅读NIST 成立新联盟来运营美国家漏洞数据库（NVD） 安全客 2024-03-29 16:34 美国国家标准与技术研究院 (NIST) 正式宣布将把世界上使用最广泛的软件漏洞存储库的部分管理工作移交给行业联盟。 NIST 是美国商务部的一个机构，于 2005 年推出了美国国家漏洞数据库 (NVD) 并一直运营至今。 这种情况预计会发生变化，数据库最早从 2024 年 4 月开始将交由经过审查的组织
继续阅读黑客披露“万能房卡”漏洞，可秒开全球数百万酒店房间 网络安全应急技术国家工程中心 2024-03-29 14:21 近日黑客公布了一种被万豪国际、华住酒店集团、锦江酒店集团、希尔顿酒店集团、如家酒店集团等全球知名酒店品牌广泛采用的RFID感应房卡门锁的漏洞，黑客只需获取任何一张酒店房卡，就可以复制出可打开该酒店所有房间的“万能钥匙”。 近日，安全研究人员Ian Carroll、Lennert Wo
继续阅读ScreenConnect 管理员应尽快修补关键的 RCE 漏洞 胡金鱼 嘶吼专业版 2024-03-29 14:00 ConnectWise 提醒 ScreenConnect 管理员应立即修补其服务器，以防止威胁分子用远程代码执行 (RCE) 攻击。 据悉，此安全错误是由于身份验证绕过弱点造成的，攻击者可以利用该弱点来访问机密数据，或在不需要用户交互的低复杂性攻击中在服务器上远程执行任意代码。
继续阅读CVE-2024-29666 原创 fgz AI与网安 2024-03-29 07:23 免 责 申 明 ：本文内容为学习笔记分享，仅供技术学习参考，请勿用作违法用途，任何个人和组织利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责，与作者无关！！！ 01 — 漏洞名称 CMSV6车辆监控平台系统中存在弱密码漏洞 02 — 漏洞影响 CMSV6 7.31.0.2、7.32.0.3
继续阅读SSRF自动化漏洞检测利用工具|漏洞探测 漏洞挖掘 渗透安全HackTwo 2024-03-29 00:01 0x01 工具介绍 SSRFmap 是一个用于自动化发现和利用服务器端请求伪造（SSRF）漏洞的工具。根据您提供的信息，这个工具可以将一个 Burp Suite 的请求文件作为输入，然后针对其中的特定参数执行模糊测试。SSRF 是一种漏洞，攻击者可以利用它迫使服务器代表他们执行请求。 下
继续阅读【漏洞预警】泛微E-Office10 < 10.0_20240222 远程代码执行漏洞 cexlife 飓风网络安全 2024-03-28 22:18 漏洞描述: 泛微e-office OA系统是通过php开发面向中小型组织的专业协同OA软件,在受影响版本中,由于处理上传的phar文件时存在缺陷,攻击者可通过向/eoffice10/server/public/api/attachment/a
继续阅读泛微E-Office10存在phar反序列化漏洞 安恒研究院 安恒信息CERT 2024-03-28 20:39 漏洞概述 漏洞名称 泛微E-Office10存在phar反序列化漏洞 安恒CERT评级 1级 CVSS3.1评分 10.0（安恒自评） CVE编号 未分配 CNVD编号 未分配 CNNVD编号 未分配 安恒CERT编号 WM-202403-000001 POC情况 已发现 EXP情况
继续阅读SRC漏洞挖掘–并发 迪哥讲事 2024-03-28 20:30 简介 并发漏洞是一类涉及多线程、多用户或多进程环境下的安全漏洞，其独特性质在于攻击者能够利用系统同时处理多个请求的特点，以获取未授权访问、篡改数据或实施拒绝服务攻击。相较于传统漏洞，它们的复杂性在于在同一时间内处理多个请求可能导致数据不一致性和竞争条件。 危害 数据不一致性 并发漏洞可能导致系统中的数据不一致性。当多个请
继续阅读荔枝课堂 | 在 iPad 上用 PDF Expert 3 看书学习是一种什么体验？ 网络空间信息安全学习 2024-03-28 20:10 iPad 屏幕比手机大，又比笔记本电脑轻巧，除了当 泡面盖 以外，用来阅读学习再好不过了。并且搭配 Apple Pencil，可以随意写写画画，相信不少朋友也是出于这点而入手的 iPad 吧。 除了硬件，怎么能少得了一款好用的 PDF Expert 3 阅读
继续阅读【已复现】泛微E-Office10远程代码执行漏洞(QVD-2024-11354)安全风险通告 奇安信 CERT 2024-03-28 18:20 ● 点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 泛微E-Office10远程代码执行漏洞 漏洞编号 QVD-2024-11354 公开时间 2024-03-27 影响量级 十万级 奇安信评级 高危 CVSS 3.1分数 9.8 威胁
继续阅读【已复现】泛微E-Office10远程代码执行漏洞 长亭应急 黑伞安全 2024-03-28 18:12 泛微E-Office10是一款企业级办公自动化系统，主要用于优化和管理企业的文档、信息流转、协作与沟通工作流程。2024年3月，互联网上披露泛微E-Office10存在远程代码执行漏洞，攻击者可利用该漏洞获取服务器控制权限。该漏洞利用简单，无需前置条件，建议受影响的客户尽快修复漏洞。 漏洞描述
继续阅读不取消上百次弹窗就无法正常使用，苹果密码重置功能疑似存在漏洞 看雪学苑 看雪学苑 2024-03-28 17:59 苹果用户要小心了，根据AI企业家Parth Patel发布的推文，苹果的密码重置功能疑似存在漏洞，允许黑客在苹果设备上强制显示上百条重置密码的系统级提示。并且，由于重置密码提示是在系统级别发送的，用户必须一一点击取消，否则无 法正常使用设备。 据了解，攻击者能够让受害者的iPhone
继续阅读CISA称微软 SharePoint RCE 漏洞已遭在野利用 Sergiu Gatlan 代码卫士 2024-03-28 17:29 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 CISA 提醒称攻击者正在利用微软 SharePoint 代码注入漏洞发动攻击。而组合一个严重的提权漏洞，即可执行预认证RCE攻击。第一个漏洞的编号是CVE-2023-24955，可导致具有Site Owner
继续阅读