作者： cve-20

上周关注度较高的产品安全漏洞(20220801-20220807)

发布于 作者:

上周关注度较高的产品安全漏洞(20220801-20220807) 国家互联网应急中心CNCERT 2022-08-09 17:24 一、境外厂商产品漏洞 1、 Pexip Infinity输入验证错误漏洞（CNVD-2022-54746） Pexip Infinity （派视普视频会议云协作平台）是挪威派世（ Pexip ）公司的一款视频会议云协作平台。该产品可提供高质量安全的云会议功能。 Pe

继续阅读

Twitter 证实，零日漏洞致540万账户数据泄露

发布于 作者:

Twitter 证实，零日漏洞致540万账户数据泄露 网络安全应急技术国家工程中心 2022-08-09 14:56 Twitter 证实，最近泄露 540 万个账户数据的数据泄露事件是由利用零日漏洞造成的。7月底，一名威胁参与者泄露了 540 万个 Twitter 账户的数据，这些账户是通过利用Twitter 平台中现已修复的漏洞获得的。 威胁行为者在流行的黑客论坛 Breached Forum

继续阅读

专题·漏洞治理 | 基于漏洞情报的漏洞运营实践

发布于 作者:

专题·漏洞治理 | 基于漏洞情报的漏洞运营实践 汪列军 中国信息安全 2022-08-08 18:09 扫码订阅《中国信息安全》杂志 邮发代号 2-786 征订热线：010-82341063 文│奇安信集团威胁情报中心 汪列军 漏洞从来都是网络攻防的焦点。在洛克希德·马丁公司提出的“网络杀伤链模型”中，无论是武器构建、载荷投递抑或是其他环节，都离不开漏洞的影子。 作为攻击者突破渗透 IT 系统的关

继续阅读

推特零日漏洞遭利用， 540万个账户数据泄露

发布于 作者:

推特零日漏洞遭利用， 540万个账户数据泄露 看雪学苑 看雪学苑 2022-08-08 17:59 上个月，有黑客以30000美元出售最大社交媒体平台之一推特Twitter的540万个账户的数据。推特在对此事进行调查后，于8月5日发布公告证实，这些账户信息是利用其一个现已修复的漏洞获取的。 这个漏洞于2022年1月由zhirinovskiy通过漏洞赏金平台HackerOne提交，推特获悉后立即进行

继续阅读

Salesforce 解散中国团队；亚马逊17 亿美元收购iRobot；拼多多或将推跨境电商｜极客早知道

发布于 作者:

Salesforce 解散中国团队；亚马逊17 亿美元收购iRobot；拼多多或将推跨境电商｜极客早知道 陈晨 极客公园 2022-08-06 09:30 拼多多将推出跨境电商平台 志象网从大卖、物流公司等多方信源获得的信息显示，拼多多正在秘密筹备一个出海新项目。 据一位接近拼多多的人士透露，拼多多为此专门成立了出海项目组，「是小范围的，已经酝酿了 3 个月了。直接是副总级别的在领导」。目前尚不确

继续阅读

【技术分享】CVE-2019-10999 Dlink IP 摄像头缓冲区溢出

发布于 作者:

【技术分享】CVE-2019-10999 Dlink IP 摄像头缓冲区溢出 OneShell 安全客 2022-08-04 10:00 漏洞分析 CVE-2019-10999 是 Dlink IP 摄像头的后端服务器程序 alphapd 中的一个缓冲区溢出漏洞，漏洞允许经过身份认证的用户在请求 wireless.htm 时，传入 WEPEncryption 参数一个长字符串来执行任意代码。具体描

继续阅读

Android APP漏洞之战——SQL注入漏洞初探

发布于 作者:

Android APP漏洞之战——SQL注入漏洞初探 随风而行aa 看雪学苑 2022-08-03 17:58 本文为看雪论坛优秀文章 看雪论坛作者ID：随风而行aa 本文主要讲述Android中存在的常见的SQL注入漏洞的方式，以及如何快速的挖掘SQL注入漏洞。 本文结构如下： 第二节讲述SQL注入的基本原理 第三节讲述常见的SQL注入漏洞并复现 第四节讲述Content Provider上的s

继续阅读

VMware 修复CVSS评分9.8的身份验证绕过漏洞

发布于 作者:

VMware 修复CVSS评分9.8的身份验证绕过漏洞 看雪学苑 看雪学苑 2022-08-03 17:58 8 月 2 日，虚拟化和云计算巨头 VMware 发布了一项重要的安全公告 VMSA-2022-00 21 ，通告用户修复数个在 VMware产品中发现的安全漏洞。 这些漏洞包括身份验证绕过、远程代码执行和权限提升。身份验证绕过漏洞意味着具有Workspace ONE Access、VMw

继续阅读

VMware：立即、马上修复这个严重的认证绕过漏洞！

发布于 作者:

VMware：立即、马上修复这个严重的认证绕过漏洞！ Sergiu Gatlan 代码卫士 2022-08-03 17:40 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 VMware 公司提醒管理员称，应立即修复影响多款产品中影响本地域用户的认证绕过漏洞，它可导致未认证攻击者获得管理员权限。该漏洞的编号为CVE-2022-31656。 该漏洞是由 VNG Security 公司的研究员

继续阅读

开源web应用中存在三个XSS漏洞，可导致系统遭攻陷

发布于 作者:

开源web应用中存在三个XSS漏洞，可导致系统遭攻陷 Jessica Haworth 代码卫士 2022-08-03 17:40 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 PT Swarm 公司的研究人员在热门的开源开发应用Evaluation CMS、FUDForum 和 GitBucket中发现了三个跨站脚本 (XSS) 漏洞，它们可导致远程代码执行后果。 传统的XSS攻击可导致攻

继续阅读

开源软件 LibreOffice 修复多个与宏、密码等相关的漏洞

发布于 作者:

开源软件 LibreOffice 修复多个与宏、密码等相关的漏洞 Bill Toulas 代码卫士 2022-08-02 18:33 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 LibreOffice 套件已更新，修复了多个和宏执行以及web 连接密码防护相关联的漏洞。 LibreOffice 的开发人员已在稳定版本 LibreOffice 7.2 和不稳定版本的分支7.3中执行了修复方

继续阅读

【漏洞预警】大华IP摄像头重放漏洞

发布于 作者:

【漏洞预警】大华IP摄像头重放漏洞 SecPulse安全脉搏 2022-08-02 15:49 1. 通告信息 近日，安识科技 A-Team团队监测到大华发布安全公告，修复了其多个产品中的4个安全漏洞 ， 分别为： CVE-2022-30560、CVE-2022-30561、CVE-2022-30562、CVE-2022-30563。 对此，安识科技建议广大用户及时升级到安全版本，并做好资产自查以

继续阅读

从漏洞管理到攻击面管理

发布于 作者:

从漏洞管理到攻击面管理 关键基础设施安全应急响应中心 2022-08-02 15:10 近年来，随着攻防演练常态化，以及《网络安全法》《关键信息基础设施安全保护条例》等法律法规的相继颁布，网络安全建设从“合规驱动”阶段逐步过渡到 “实战驱动”阶段。传统的安全事件响应也由被动“亡羊补牢”的方式，向“先发现、先预防、先处理”的主动持续检测响应的方式转变。 当前，数字化转型加快了我国信息技术基础设施向数

继续阅读

【技术干货】CVE-2022-33891 Apache Spark shell命令注入漏洞分析

发布于 作者:

【技术干货】CVE-2022-33891 Apache Spark shell命令注入漏洞分析 星阑科技 2022-08-02 11:12 xxhzz @PortalLab实验室 漏洞描述 7月18号，Apache发布安全公告，修复了一个Apache Spark中存在的命令注入漏洞。漏洞编号：CVE-2022-33891，漏洞威胁等级：高危。Apache Spark UI提供了通过配置选项Spar

继续阅读

专题·漏洞治理 | 从漏洞管理到攻击面管理

发布于 作者:

专题·漏洞治理 | 从漏洞管理到攻击面管理 原创 沈传宝 中国信息安全 2022-08-01 20:18 扫码订阅《中国信息安全》杂志 邮发代号 2-786 征订热线：010-82341063 文│北京华云安信息技术有限公司创始人&CEO 沈传宝 近年来，随着攻防演练常态化，以及《网络安全法》《关键信息基础设施安全保护条例》等法律法规的相继颁布，网络安全建设从“合规驱动”阶段逐步过渡到 “

继续阅读

上周关注度较高的产品安全漏洞(20220725-20220731)

发布于 作者:

上周关注度较高的产品安全漏洞(20220725-20220731) 原创 CNVD CNVD漏洞平台 2022-08-01 17:04 一、境外厂商产品漏洞 1、Cybozu Garoon授权问题漏洞（CNVD-2022-54300） Cybozu Garoon是日本才望子（Cybozu）公司的一套门户型OA办公系统。该系统提供门户、E-mail、书签、日程安排、公告栏、文件管理等功能。Cyboz

继续阅读

CVE-2022-30563：浙江大华网络摄像机安全漏洞

发布于 作者:

CVE-2022-30563：浙江大华网络摄像机安全漏洞 ang010ela 嘶吼专业版 2022-08-01 12:00 浙江大华网络摄像机安全漏洞，涉多款网络摄像机。 据企业官网介绍，浙江大华技术股份有限公司是全球领先的以视频为核心的智慧物联解决方案提供商和运营服务商。产品包含各种类型的网络摄像机、测温摄像机等热成像产品、网络硬盘录像机等。解决方案涵盖智慧城市、智慧交管、智慧交通、社会治理、智

继续阅读

IO_FILE 与高版本 glibc 中的漏洞利用技巧

发布于 作者:

IO_FILE 与高版本 glibc 中的漏洞利用技巧 原创 evilpan 有价值炮灰 2022-07-31 20:10 Hacking glibc for fun and profit! 前言 在日常的二进制漏洞利用过程中，最终在获取到任意地址读写之都会面临一个问题: 要从哪里读，写到哪里去。对于信息泄露有很多方法，比如寻找一些数据结构在内存中残留的地址，可以是内部结构，也可以是用户定义的结构

继续阅读

0day检测手段完全揭秘：没有最好，只有更全

发布于 作者:

0day检测手段完全揭秘：没有最好，只有更全 原创 ThreatBook 微步在线 2022-07-22 12:34 | 本文共 1261 字，阅读预计 3 分钟 | 这个世界上，能让网安人士魂（ti）牵（xin）梦（diao）绕（dan）的，不仅有一年一度的攻防演练，还有在攻防演练中“大火”的0day漏洞。 由于是未知漏洞，且官方并未公开发布漏洞补丁，在任何场合0day的杀伤力都无法被忽视。 而

继续阅读

国家漏洞库CNNVD：关于Oracle 316个安全漏洞的通报

发布于 作者:

国家漏洞库CNNVD：关于Oracle 316个安全漏洞的通报 安全内参 2022-07-21 20:01 关注我们 带你读懂网络安全 近日， Oracle官方发布了多个安全漏洞的公告，其中 Oracle产品本身漏洞 85个，影响到 Oracle产品的其他厂商漏洞 231个。包括 Oracle PeopleSoft Enterprise PeopleTools 输入验证错误漏洞（ CNNVD-20

继续阅读

Log4Shell漏洞的长期影响

发布于 作者:

Log4Shell漏洞的长期影响 关键基础设施安全应急响应中心 2022-07-20 15:25 Log4Shell漏洞(CVE-2021-44228)早在6个多月前就被披露了，虽然已经出现了很多防御方法。但该漏洞的影响至今都在。CISA最近发出警告，攻击者正在使用Log4Shell利用VMWare Horizon服务器来发起攻击。 到目前为止，对 Log4Shell 的大量利用都集中在众所周知的

继续阅读

工业控制系统信息安全漏洞管理思考与实践

发布于 作者:

工业控制系统信息安全漏洞管理思考与实践 关键基础设施安全应急响应中心 2022-07-20 15:25 随着工业领域数字化、网络化、智能化发展加速，工业控制系统风险暴露面持续扩大，工业控制系统信息安全（以下简称工控安全）漏洞成为网络安全攻击的众矢之的，被利用风险不断攀升，产业各界高度关注工控安全漏洞管理工作。本文围绕工控安全漏洞的概念、分类及特点，立足我国产业发展实际，分析了法律政策环境，结合国家

继续阅读

CVE-2022-26706 macOS App沙箱逃逸漏洞

发布于 作者:

CVE-2022-26706 macOS App沙箱逃逸漏洞 ang010ela 嘶吼专业版 2022-07-20 12:00 微软研究人员发现macOS App沙箱逃逸漏洞。 微软研究人员Jonathan Bar Or在检测macOS系统上微软office恶意宏时发现了macOS App沙箱逃逸漏洞，漏洞CVE编号为CVE-2022-26706。攻击者利用该漏洞可以构造代码来绕过APP沙箱，在系

继续阅读

Oracle 多个产品漏洞安全风险通告

发布于 作者:

Oracle 多个产品漏洞安全风险通告 原创 QAX CERT 奇安信 CERT 2022-07-20 11:45 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 Oracle官方发布了2022年7月的关键安全补丁集合更新CPU（Critical Patch Update），修复了多个漏洞包括CVE-2022-21570、CVE-2022-2154

继续阅读