月度归档： 2023 年 11 月

微软2023年11月补丁日多个产品安全漏洞风险通告

发布于 作者:

微软2023年11月补丁日多个产品安全漏洞风险通告 奇安信 CERT 2023-11-15 10:14 ●  点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 微软2023年11月补丁日多个产品安全漏洞 影响厂商&产品 Windows Server 2022、Microsoft Office、.NET 8.0 等 公开时间 2023-11-15 影响对象数量级 千万级 奇安信评

继续阅读

本周更新：ioct fuzz原理分析 | 系统0day安全-Windows平台漏洞挖掘

发布于 作者:

本周更新：ioct fuzz原理分析 | 系统0day安全-Windows平台漏洞挖掘 看雪课程 看雪学苑 2023-11-14 17:59 本周更新： 漏洞挖掘技能是一项非常重要的技能，它可以帮助企业发现并修复系统中的漏洞，从而提高系统的安全性，保护企业的重要数据和资产。同时，它也能帮助企业降低安全风险，避免因为漏洞被攻击而导致的数据泄露、系统瘫痪等问题。 此外，漏洞挖掘技能的学习和实践可以帮助

继续阅读

2023 SDC 议题回顾 | 从探索到利用：揭示安卓模拟器漏洞

发布于 作者:

2023 SDC 议题回顾 | 从探索到利用：揭示安卓模拟器漏洞 原创 2023 SDC 看雪学苑 2023-11-14 17:59 本议题将介绍演讲者对多款流行安卓模拟器的安全研究，演讲者在其中中发现了数十个安全漏洞，这些漏洞可以导致虚拟机ROOT提权、信息泄露、DOS、虚拟机逃逸等攻击效果，议题将以这些实际的案例介绍对安卓模拟器进行动静态分析的技巧，然后介绍每款模拟器和 Guest 操作系统的

继续阅读

404星链计划 | HaE、GShark、afrog、JYso、vArmor、As-Exploits 项目版本更新

发布于 作者:

404星链计划 | HaE、GShark、afrog、JYso、vArmor、As-Exploits 项目版本更新 404星链开发者 知道创宇404实验室 2023-11-14 17:11 「404星链计划」Github： https://github.com/knownsec/404StarLink 在使用404星链计划所属工具的过程中遇到问题，可以通过下方表单提问，我们将联合相关工具开发者进行

继续阅读

上周关注度较高的产品安全漏洞(20231106-20231112)

发布于 作者:

上周关注度较高的产品安全漏洞(20231106-20231112) 国家互联网应急中心CNCERT 2023-11-14 15:59 一、境外厂商产品漏洞 1、 IBM Security Verify Governance命令执行漏洞 IBM Security Verify Governance是美国国际商业机器（IBM）公司的一个智能身份访问平台。为组织提供了一个平台来分析、定义和控制用户访问和

继续阅读

Forrester预测：预计明年AI代码漏洞将造成新的攻击

发布于 作者:

Forrester预测：预计明年AI代码漏洞将造成新的攻击 布加迪 嘶吼专业版 2023-11-14 12:02 Forrester在其2024年网络安全、风险和隐私预测报告中警告到，开发运维（DevOps）团队更多地依靠AI编程助手来提高团队生产力，使编程任务实现自动化，但常常忽视了最终代码的安全缺陷。 Forrester 预测，不一致的合规和治理实践，加上许多DevOps团队同时试用多个AI编

继续阅读

2023年推出12个值得关注的漏洞悬赏项目

发布于 作者:

2023年推出12个值得关注的漏洞悬赏项目 小二郎 嘶吼专业版 2023-11-14 12:02 在过去的几年里，漏洞悬赏计划在普及和使用方面都有了显著的提升，越来越多的组织正在采用一些举措，以利用大量的研究人员资源来发现和检查在不法分子手中构成潜在威胁的漏洞。 他们的动机不仅是有机会通过安全和负责任地披露某些未知/不安全的漏洞来获得大额资金，而且还有机会获得认可，成为重大安全漏洞的发现者，并阻止

继续阅读

雷神众测漏洞周报2023.11.07-2023.11.12

发布于 作者:

雷神众测漏洞周报2023.11.07-2023.11.12 原创 雷神众测 雷神众测 2023-11-13 16:38 摘要 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任

继续阅读

2023 SDC 议题回顾 | 轻舟“难”过万重山——工控漏洞挖掘的探索实践

发布于 作者:

2023 SDC 议题回顾 | 轻舟“难”过万重山——工控漏洞挖掘的探索实践 原创 2023 SDC 看雪学苑 2023-11-10 17:59 工控安全漏洞挖掘之路面临万重“山”： 缺乏相关设备，无工控实践环境，研究者知识储备不足，公司经费支持方面不足等。 面对这些问题，议题分享者将结合过去的工业控制系统的漏洞挖掘思路，以及自身在做工业控制系统漏洞挖掘的过程中，所采取的各种探索方式、通过协议通信

继续阅读

【漏洞通告】IP-guard view.php 远程命令执行漏洞

发布于 作者:

【漏洞通告】IP-guard view.php 远程命令执行漏洞 深瞳漏洞实验室 深信服千里目安全技术中心 2023-11-10 17:17 漏洞名称： IP-guard view.php 远程命令执行漏洞 组件名称： IP-guard 影响范围： IP-guard<4.81.0307.0 漏洞类型： 远程代码执行 利用条件： 1、用户认证：无需认证 2、前置条件：默认配置 3、触发方式：远

继续阅读

美团SRC｜漏洞奖励翻N倍！

发布于 作者:

美团SRC｜漏洞奖励翻N倍！ 安全客 2023-11-10 11:53 活动时间 即日起至2023年11月24日 活动范围 属于美团及旗下所有开放在互联网的应用系统，美团控股公司漏洞视情况收取。 六重福利 1.漏洞翻倍 严重、高危漏洞 3倍奖励中危漏洞 2倍奖励爬虫漏洞全量 3倍奖励（范围详见） 2 高质量漏洞奖励 活动期间，提交有效严重/高危漏洞数量总计：≥10个，奖励10,000元≥5个，奖励

继续阅读

360独家揭秘：警惕Cerber新变种L0CK3D勒索软件借助漏洞多平台传播

发布于 作者:

360独家揭秘：警惕Cerber新变种L0CK3D勒索软件借助漏洞多平台传播 360数字安全 2023-11-09 18:33 近期，接到大量Linux系统用户反馈， 电脑中的文件被勒索软件加密 ，被加密后的文件后缀均为.L0CK3D。经分析，这些用户感染的均是隶属于Cerber家族的勒索软件。本轮攻击主要是通过Confluence 数据中心和服务器中的不当授权漏洞进行传播（漏洞编号为CVE-20

继续阅读

漏洞马拉松2023 | OSRC正式加入，赛程已过半，成为纵横榜C位的秘诀都在这里！

发布于 作者:

漏洞马拉松2023 | OSRC正式加入，赛程已过半，成为纵横榜C位的秘诀都在这里！ OPPO安全中心 2023-11-09 17:30 –   速报！速报！盒子君带着「漏洞马拉松 2023」最新赛况情报来啦~ 本周，我们迎来了漏洞马拉松线上赛的第三周，赛程过半SRC项目助力依旧持续来袭，截止11月6日chopper大佬以308分持续领先「白帽纵横榜」， 锁榜倒计时15天！ 比分交替上

继续阅读

CISA称SLP高危漏洞正遭活跃利用

发布于 作者:

CISA称SLP高危漏洞正遭活跃利用 THN 代码卫士 2023-11-09 17:30 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 本周三，美国网络安全和基础设施安全局 (CISA) 将位于服务位置协议 (SLP) 中的一个高危漏洞增加到“已知已遭利用漏洞 (KEV)”分类中，指出已发现活跃利用证据。 该漏洞的编号是CVE-2023-29552（CVSS评分7.5），与可被用于

继续阅读

【已复现】 IP-guard WebServer 远程命令执行漏洞

发布于 作者:

【已复现】 IP-guard WebServer 远程命令执行漏洞 长亭安全应急响应中心 2023-11-09 15:11 IP-guard是溢信科技开发的终端安全管理软件，专注于数据保护、员工行为监控和系统管理简化。2023年11月，互联网上披露IP-guard WebServer远程命令执行漏洞情报，攻击者可利用该漏洞执行任意命令，获取服务器控制权限。该漏洞利用简单，EXP 已在互联网公开，建

继续阅读

Kinsing恶意软件团伙利用Looney Tunables漏洞

发布于 作者:

Kinsing恶意软件团伙利用Looney Tunables漏洞 布加迪 嘶吼专业版 2023-11-09 12:01 Aqua Nautilus的研究人员近日成功拦截了Kinsing入侵云环境的试验性活动。利用一种基本但很典型的PHPUnit漏洞利用攻击（Kinsing活动的一个部分），我们发现了这伙威胁分子手动操纵Looney Tunables漏洞（CVE-2023-4911）的事实。据我们所

继续阅读

ZDI研究人员披露四个Microsoft Exchange中的0day漏洞

发布于 作者:

ZDI研究人员披露四个Microsoft Exchange中的0day漏洞 看雪学苑 看雪学苑 2023-11-08 18:00 11月3日，趋势科技的ZDI研究人员披露了四个Microsoft Exchange中的零日漏洞，攻击者可以远程利用这些漏洞执行任意代码或泄露敏感信息。 ZDI于2023年9月7日、8日向微软报告了这些漏洞，但微软对此表示，ZDI披露的四个Exchange漏洞要么已经修复

继续阅读

【顶刊论文分享】The Leaky Web：自动化识别浏览器和Web中跨站信息泄露漏洞

发布于 作者:

【顶刊论文分享】The Leaky Web：自动化识别浏览器和Web中跨站信息泄露漏洞 原创 创新研究院 绿盟科技研究通讯 2023-11-08 17:02 一. 概述 用户通常期望在浏览网络时保持隐私，不希望让网站知道他们之前访问了哪些站点或是否已登录其他网站。然而，被攻击者恶意控制的网站可能通过浏览器的一些方法来获取这些信息，而用户并不知情。这些网站可以在后台与其他网站进行互动，从而收集用户的

继续阅读

漏洞通告 | IP-guard WebServer 远程命令执行漏洞

发布于 作者:

漏洞通告 | IP-guard WebServer 远程命令执行漏洞 原创 微步漏洞团队 微步在线研究响应中心 2023-11-08 17:00 01 漏洞概况**** IP-guard是由溢信科技股份有限公司开发的一款终端安全管理软件，旨在帮助企业保护终端设备安全、数据安全、管理网络使用和简化IT系统管理。微步漏洞团队通过“X 漏洞奖励计划”获取到IP-guard WebServer远程命令执行

继续阅读

通过分析JS源代码发现api漏洞

发布于 作者:

通过分析JS源代码发现api漏洞 Waleed 迪哥讲事 2023-11-08 16:00 通过分析JS源代码发现api漏洞 正文 目标为target.com,范围为*.target.com,信息搜集之后，发现前端为react,发现了一个文件夹名字叫web-app,其中包含了前端的源代码! 使用了一个chrome插件来下载源代码(见文末)，然后进行代码审计 首先在 JS 文件中寻找 api 接口,

继续阅读

攻击范围扩大促Atlassian 修正漏洞评分-勒索攻击者已摩拳擦掌跃跃欲试

发布于 作者:

攻击范围扩大促Atlassian 修正漏洞评分-勒索攻击者已摩拳擦掌跃跃欲试 关键基础设施安全应急响应中心 2023-11-08 14:53 针对未修补的Atlassian Confluence数据中心和服务器技术的主动勒索软件和其他网络攻击已促使Atlassian将该漏洞CVE-2023-22518的CVSS评分从原来的9.1分提高到10分，这是该等级中最关键的评级。据称，Atlassian C

继续阅读

今日更新-分析ioctl fuzz，syscall fuzz | 系统0day安全-Windows平台漏洞挖掘

发布于 作者:

今日更新-分析ioctl fuzz，syscall fuzz | 系统0day安全-Windows平台漏洞挖掘 看雪课程 看雪学苑 2023-11-07 17:59 今日更新 漏洞挖掘技能是一项非常重要的技能，它可以帮助企业发现并修复系统中的漏洞，从而提高系统的安全性，保护企业的重要数据和资产。同时，它也能帮助企业降低安全风险，避免因为漏洞被攻击而导致的数据泄露、系统瘫痪等问题。 此外，漏洞挖掘技

继续阅读

Veeam ONE 监控平台存在多个严重漏洞

发布于 作者:

Veeam ONE 监控平台存在多个严重漏洞 Sergiu Gatlan 代码卫士 2023-11-07 16:58 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 今天，Veeam 发布热补丁，修复了位于 Veeam ONE IT 基础设施监控和分析平台中的四个漏洞，其中两个是严重级别。 Veeam 公司对这两个严重漏洞的CVSS评分为9.8分，它们可导致攻击者获得远程代码执行权限

继续阅读