分类： vx

【安全头条】MITRE漏洞公告意外展示易受攻击资产

发布于 作者:

【安全头条】MITRE漏洞公告意外展示易受攻击资产 安全客 安全客 2022-07-08 10:00 第318期 你好呀~欢迎来到“安全头条”！如果你是第一次光顾，可以先阅读站内公告了解我们哦。欢迎各位新老顾客前来拜访，在文章底部时常交流、疯狂讨论，都是小安欢迎哒~如果对本小站的内容还有更多建议，也欢迎底部提出建议哦！ 1、MITRE漏洞 公告意外展示 易受攻击资产 近日有喜欢看CVE信息的安全圈

继续阅读

Atlassian 修复Jira 中的完全读取SSRF漏洞

发布于 作者:

Atlassian 修复Jira 中的完全读取SSRF漏洞 Adam Bannister 代码卫士 2022-07-07 18:12 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Atlassian 公司的热门问题追踪和项目管理软件 Jira 易受一个服务器端请求伪造 (SSRF) 缺陷影响，在无需凭据的情况下即可遭滥用。 Assetnote 公司的首席技术官兼创始人 Shubham Sh

继续阅读

高危OpenSSL 漏洞可导致远程代码执行

发布于 作者:

高危OpenSSL 漏洞可导致远程代码执行 Jessica Haworth 代码卫士 2022-07-07 18:12 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 OpenSSL 中存在一个高危漏洞，可导致恶意人员在服务器端设备上实现远程代码执行。 OpenSSL是一款使用广泛的加密库，提供SSL 和 TLS 协议的开源实现，包括很多生成RSA密钥和执行加密和解密的工具等。 内存损坏 安

继续阅读

【安全圈】数亿网民受影响，OpenSSL又被爆高危漏洞

发布于 作者:

【安全圈】数亿网民受影响，OpenSSL又被爆高危漏洞 安全圈 2022-07-07 13:25 关键词 CNNVD、OpenSSL 近日，国家信息安全漏洞库（CNNVD）收到关于OpenSSL 安全漏洞（CNNVD-202207-242、CVE-2022-2274）情况的报送。成功利用此漏洞的攻击者，可造成目标机器内存损坏,进而在目标机器远程执行代码。OpenSSL 3.0.4版本受漏洞影响。目

继续阅读

国家漏洞库CNNVD：关于OpenSSL安全漏洞的通报

发布于 作者:

国家漏洞库CNNVD：关于OpenSSL安全漏洞的通报 安全内参 2022-07-06 19:01 关注我们 带你读懂网络安全 近日，国家信息安全漏洞库（CNNVD）收到关于OpenSSL 安全漏洞（CNNVD-202207-242、CVE-2022-2274）情况的报送。成功利用此漏洞的攻击者，可造成目标机器内存损坏,进而在目标机器远程执行代码。OpenSSL 3.0.4版本受漏洞影响。目前，O

继续阅读

【已复现】Atlassian Jira 多款产品Mobile Plugin服务端请求伪造漏洞安全风险通告

发布于 作者:

【已复现】Atlassian Jira 多款产品Mobile Plugin服务端请求伪造漏洞安全风险通告 原创 QAX CERT 奇安信 CERT 2022-07-06 17:19 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 近日，奇安信CERT监测到Atlassian Jira 多款产品 Mobile Plugin 服务端请求伪造漏洞PoC及

继续阅读

Chrome 103紧急修复已遭利用的0day

发布于 作者:

Chrome 103紧急修复已遭利用的0day Eduard Kovacs 代码卫士 2022-07-05 18:05 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 本周一，谷歌紧急修复已遭利用的0day (CVE-2022-2294)。 该漏洞是位于 WebRTC的一个堆缓冲区溢出漏洞，由Avast威胁情报团队在7月1日报告。该漏洞已在 Chrome 103.0.5060.114的Win

继续阅读

Django 修复SQL注入漏洞

发布于 作者:

Django 修复SQL注入漏洞 Ax Sharma 代码卫士 2022-07-05 18:05 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Django 项目是基于 Python 的开源 web框架，近期它修复了位于最新版本中的一个高危漏洞CVE-2022-34265。 该漏洞是存在于 Django 主分支4.1（目前处于测试）、4.0和3.2中的一个SQL注入漏洞，目前已修复。 数万

继续阅读

澳大利亚莫纳什大学推出公开漏洞奖励计划

发布于 作者:

澳大利亚莫纳什大学推出公开漏洞奖励计划 James Walker 代码卫士 2022-07-05 18:05 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 澳大利亚莫纳什大学推出公开漏洞奖励计划，以助力维护其数字化平台的安全性。 这项新的漏洞奖励计划托管在 Bugcrowd 平台，将为合法漏洞颁发最高2500美元的奖励。奖励目标涵盖莫纳什大学的主要 web 域名和移动应用，以及该大学使用的

继续阅读

AWS：代理服务器上的远程代码执行（hackerone漏洞报告）

发布于 作者:

AWS：代理服务器上的远程代码执行（hackerone漏洞报告） 原创 樱宁 火线Zone 2022-07-05 18:00 本文为翻译文章，原文地址:https://hackerone.com/reports/401136 介绍 我在用于跟踪研究人员活动的代理服务上发现了这个远程代码执行 (RCE) 漏洞。这是我进一步了解 AWS 的机会，特别是 AWS EC2 Systems Manager

继续阅读

上周关注度较高的产品安全漏洞(20220627-20220703)

发布于 作者:

上周关注度较高的产品安全漏洞(20220627-20220703) 国家互联网应急中心CNCERT 2022-07-05 17:24 一、境外厂商产品漏洞 1、Fortinet FortiWAN操作系统命令注入漏洞 Fortinet FortiWan是美国Fortinet公司的一个网络设备。用于在不同网络之间执行负载平衡和容错。Fortinet FortiWAN 4.5.9之前版本存在操作系统命令

继续阅读

【安全头条】Hackerone员工偷卖漏洞报告截胡安全研究员

发布于 作者:

【安全头条】Hackerone员工偷卖漏洞报告截胡安全研究员 安全客 安全客 2022-07-05 10:03 第315期 你好呀~欢迎来到“安全头条”！如果你是第一次光顾，可以先阅读站内公告了解我们哦。欢迎各位新老顾客前来拜访，在文章底部时常交流、疯狂讨论，都是小安欢迎哒~如果对本小站的内容还有更多建议，也欢迎底部提出建议哦！ 1、Hackerone 员工偷卖漏洞报告 截胡安全研究员 一名Hac

继续阅读

可修补和可预防的安全漏洞成为第一季度攻击的主要原因

发布于 作者:

可修补和可预防的安全漏洞成为第一季度攻击的主要原因 关键基础设施安全应急响应中心 2022-07-04 15:30 2022年第一季度，82%的组织攻击是由受害者面向外部的攻击面中的已知漏洞引起的。这些未修补的漏洞使得由于人为错误相关的财务损失所占的比例降到了很低，后者只占18%。 这些数字来自于Tetra Defense及其季度报告，该报告揭示了2022年1月至3月期间针对美国组织的网络攻击数量

继续阅读

2022年迄今为止半数零日漏洞都是之前漏洞的变体

发布于 作者:

2022年迄今为止半数零日漏洞都是之前漏洞的变体 nana 数世咨询 2022-07-02 23:30 谷歌Project Zero研究人员Maddie Stone在博客文章中揭示，今年截至目前发现的野生零日漏洞中有九个本可以避免——如果组织应用了更加全面的漏洞修复…… “最重要的是，2022年发现的零日漏洞中有四个都是2021年野生零日漏洞的变体。原始零日漏洞修复后仅仅12个月，攻击者就携原始漏

继续阅读

使用区块链分析评估朝鲜黑客的优势和漏洞

发布于 作者:

使用区块链分析评估朝鲜黑客的优势和漏洞 原创 情报分析师 情报分析师 2022-07-02 10:50 点击下方小卡片关注 情报分析师 今天小编推荐在2022年2月，新美国安全中心智库发布报告《使用区块链分析评估朝鲜黑客的优势和漏洞》。本报告共32页深入分析了朝鲜利用金融技术，特别是加密货币和区块链技术，为其非法的核和弹道武器开发项目获取资金的能力。 完整报告中英文已上传至情报学院知识星球，长按文

继续阅读

博通Brocade漏洞影响多家大厂的存储解决方案

发布于 作者:

博通Brocade漏洞影响多家大厂的存储解决方案 Eduard Kovacs 代码卫士 2022-07-01 19:33 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 最近，博通 (Broadcom) 公司表示，其存储网络子公司 Brocade 提供的一些软件受多个漏洞影响，可能影响多家主流厂商的产品。 博通公司表示，Brocade SANnav 存储局域网 (SAN) 管理应用受九个漏洞

继续阅读

谷歌分析2022在野0day利用后，得出令人意外的结论

发布于 作者:

谷歌分析2022在野0day利用后，得出令人意外的结论 谷歌 代码卫士 2022-07-01 19:33 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 2022年6月，谷歌零日项目团队 (Project Zero) 研究员 Maddle Stone在近期举办的 FIRST 会议上发表了报告《目前为止的2022年在野0day利用》分享了该团队的对2022年上半年0day利用情况的研究成果。如

继续阅读

微软云服务爆容器逃逸漏洞，攻击者可接管Linux集群

发布于 作者:

微软云服务爆容器逃逸漏洞，攻击者可接管Linux集群 关键基础设施安全应急响应中心 2022-07-01 15:26 – 微软旗下应用程序托管平台Service Fabric爆出容器逃逸漏洞“FabricScape”，攻击者可以提权控制主机节点，乃至接管平台Linux集群； 微软花了 近5个月时间修复漏洞，目前已将修复程序推送至自动更新通道，未开启该平台自动更 新功能的用户需尽快更新。

继续阅读

亚马逊悄悄修复安卓相册 app 中的高危漏洞

发布于 作者:

亚马逊悄悄修复安卓相册 app 中的高危漏洞 Jonathan Greig 代码卫士 2022-06-30 18:21 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 亚马逊披露称，收到研究员的漏洞报告后，在去年12月修复了 Amazon Photos Android app 中的一个高危漏洞。 网络安全公司 Checkmarx 的研究员表示从该 app 中发现了一个漏洞，可导致攻击者窃取用

继续阅读

微软 Azure FabricScape 漏洞可被用于劫持 Linux 集群

发布于 作者:

微软 Azure FabricScape 漏洞可被用于劫持 Linux 集群 Sergiu Gatlan 代码卫士 2022-06-30 18:21 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 微软修复了 Service Fabric (SF) 应用托管平台上的一个容器逃逸漏洞 FabricScape，它可导致威胁行动者将权限提升至root，控制主机节点并攻陷整个 SF Linux 集群

继续阅读

【漏洞预警】Apache Shiro认证绕过漏洞

发布于 作者:

【漏洞预警】Apache Shiro认证绕过漏洞 安识科技 SecPulse安全脉搏 2022-06-30 12:03 1. 通告信息 近日， 安识科技 A-Team团队 监测到一则 Apache Shiro 组件存在认证绕过漏洞的信息，漏洞编号：CVE-2022-32532，漏洞威胁等级：高危。该漏洞是由于 RegexRequestMatcher 不正当配置存在安全问题，攻击者可利用该漏洞在未授

继续阅读

Windows UAF 漏洞CVE-2021-34486分析

发布于 作者:

Windows UAF 漏洞CVE-2021-34486分析 原创 信创安全实验室 山石网科安全技术研究院 2022-06-30 10:48 Windows事件跟踪 (ETW) 机制允许记录内核或应用程序定义的事件以进行调试。开发人员能够启动和停止事件跟踪会话，检测应用程序以提供跟踪事件，并通过调用 ETW 用户模式 Windows API 集来使用跟踪事件。最终的请求部分都是在内核 (ntosk

继续阅读

美国家安全局“酸狐狸”漏洞攻击武器平台技术分析报告

发布于 作者:

美国家安全局“酸狐狸”漏洞攻击武器平台技术分析报告 安全内参 2022-06-29 15:44 关注我们 带你读懂网络安全 美国用“酸狐狸”攻击中俄，已发现中国多家科研机构受影响！ 前情回顾 – 国家计算机病毒应急处理中心披露美国安局网络间谍装备！ 美国主战网络攻击武器曝光：世界重要信息基础设施已成美“情报站” 近日，国家计算机病毒应急处理中心对美国家安全局（NSA）“酸狐狸”漏洞攻击

继续阅读

6月，盘点您需要修复的那些API安全漏洞

发布于 作者:

6月，盘点您需要修复的那些API安全漏洞 星阑科技 2022-06-29 14:07 为了让大家的API更加安全 致力于守护数字世界每一次网络调用 小阑公司 PortalLab实验室的同事们 给大家整理了 6月份的一些API安全漏洞报告 希望大家查漏补缺 及时修复自己API可能出现的漏洞 No.1 开放自动化软件OAS平台REST API 的RCE漏洞 漏洞详情：开放式自动化软件OAS 平台的RE

继续阅读

美国国家安全局（NSA）“酸狐狸”漏洞攻击武器平台技术分析报告

发布于 作者:

美国国家安全局（NSA）“酸狐狸”漏洞攻击武器平台技术分析报告 CVERC 奇安信威胁情报中心 2022-06-29 12:51 作者：国家计算机病毒应急处理中心 以下为全文转载 近日，国家计算机病毒应急处理中心对美国家安全局（NSA）“酸狐狸”漏洞攻击武器平台（FoxAcid）进行了技术分析。该漏洞攻击武器平台是美国国家安全局（NSA）特定入侵行动办公室（TAO，也被称为“接入技术行动处”）对他

继续阅读