月度归档： 2025 年 3 月

速修复Kibana 中严重的RCE漏洞

发布于 作者:

速修复Kibana 中严重的RCE漏洞 Ravie Lakshmanan 代码卫士 2025-03-07 18:06 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Elastic 公司发布安全更新，修复影响用于Elasticsearch 的Kibana 数据可视化仪表盘软件中的一个严重的原型污染漏洞，它可导致任意代码执行后果，编号是CVE-2025-25012，CVSS评分为9.9。 El

继续阅读

Jenkins 修复CSRF和开放重定向等多个漏洞

发布于 作者:

Jenkins 修复CSRF和开放重定向等多个漏洞 do son 代码卫士 2025-03-07 18:06 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 热门开源自动化服务器Jenkins 发布安全公告修复多个漏洞，其中包括加密机密泄露和跨站请求伪造 (CSRF) 漏洞。 该安全公告在2025年3月5日发布，它详述了影响 Jenkins 2.499及之前版本和 LTS 2.492.1及之

继续阅读

实力认证！360入选国家工业信息安全漏洞库技术组成员单位

发布于 作者:

实力认证！360入选国家工业信息安全漏洞库技术组成员单位 360漏洞云 2025-03-07 17:49 近日，国家工业信息安全漏洞库（简称：CICSVD）公布了技术组成员单位名单。360数字安全集团凭借其在工业信息领域的杰出贡献和卓越实力，成功入选CICSVD技术组成员单位。 CICSVD是在工信部指导下成立的专注于工业控制产品领域安全漏洞管理的国家级专业库，旨在面向关键信息基础设施等重要行业打

继续阅读

专题·漏洞人才培养 | 知攻善防，内外兼修，网络安全实战人才培养的实践之道

发布于 作者:

专题·漏洞人才培养 | 知攻善防，内外兼修，网络安全实战人才培养的实践之道 原创 杨坤 余慧英 袁胜 中国信息安全 2025-03-07 17:39 扫码订阅《中国信息安全》 邮发代号 2-786 征订热线：010-82341063 文 | 北京长亭科技有限公司 杨坤 余慧英 袁胜 习近平总书记指出，“网络空间的竞争，归根结底是人才竞争”。面对当前日益严峻的网络空间安全态势，高水平高质量的专业网络

继续阅读

公安部网安局提醒：警惕5种个税汇算骗局；新型勒索团伙SecP0出新招：威胁公开未披露软件漏洞 | 牛览

发布于 作者:

公安部网安局提醒：警惕5种个税汇算骗局；新型勒索团伙SecP0出新招：威胁公开未披露软件漏洞 | 牛览 安全牛 2025-03-07 15:48 点击蓝字·关注我们  /  aqniu 新闻速览 •公安部网安局提醒：警惕5种个税汇算骗局 •工信部CSTIS提醒：防范针对DeepSeek本地化部署实施网络攻击的风险 •NIST发布《评估差分隐私保证指南》 •5欧元二手硬盘藏15GB敏感医疗记录，数据

继续阅读

利用 3000 条大字典 MachineKeys 爆破 ViewState 反序列化漏洞

发布于 作者:

利用 3000 条大字典 MachineKeys 爆破 ViewState 反序列化漏洞 原创 专攻.NET安全的 dotNet安全矩阵 2025-03-07 08:39 MachineKeys  负责加密和解密敏感数据，确保服务器端的安全性。然而，一旦这些密钥被泄露，攻击者便可解密受保护的数据，并可能用 ViewState  反序列化漏洞执行恶意代码。Sharp4DotNetBurst  正是这

继续阅读

2025上半年最需要关注的80+高危漏洞！

发布于 作者:

2025上半年最需要关注的80+高危漏洞！ 原创 微步情报局 微步在线研究响应中心 2025-03-07 08:29 当2025的阳光爬上机房的玻璃窗，攻击者的漏洞同样追着光登场。 微步情报局从 漏洞活跃程度、利用难易度、影响面、实网攻击行为情况 等多个维度，梳理出2025年 80+最需要各位师傅关注的高危漏洞 ，涵盖 应用系统、中间件、数据库、操作系统，大模型、安全产品 等关键对象，99%都是R

继续阅读

专题·漏洞人才培养 | 实战化漏洞安全人才培养 为新质生产力保驾护航

发布于 作者:

专题·漏洞人才培养 | 实战化漏洞安全人才培养 为新质生产力保驾护航 CNNVD安全动态 2025-03-06 21:33 文 | 中国移动网络与信息安全管理部 徐一 随着数字化进程的持续推进，各类信息系统和数字资产的大规模建设与广泛应用，带来了日益增多的漏洞安全风险。当前，网络安全形势日趋严峻，外部环境的不确定性进一步加剧，对各类系统应用的安全构成了持续威胁。漏洞作为攻击入侵的重要突破口，同时也

继续阅读

专题·漏洞人才培养 | 以CTF学科竞赛为抓手的漏洞人才培养探索与实践

发布于 作者:

专题·漏洞人才培养 | 以CTF学科竞赛为抓手的漏洞人才培养探索与实践 CNNVD安全动态 2025-03-06 21:33 文 | 武汉大学国家网络安全学院 赵磊 鄢炜 文贝西 在我国深入推进网络强国战略的进程中，网络安全人才的短缺已成为制约网络安全产业发展的主要问题之一，尤其是实战型人才的匮乏。据统计，高达92%的企业信息部门和安全部门负责人认为其团队“缺乏攻防实战能力”。漏洞的挖掘、分析、利

继续阅读

金和OA-C6系统接口IncentivePlanFulfillAppprove.aspx存在SQL注入漏洞

发布于 作者:

金和OA-C6系统接口IncentivePlanFulfillAppprove.aspx存在SQL注入漏洞 Superhero Nday Poc 2025-03-06 21:13 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC 信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号nday poc及作者不为此承担任何责任，一旦造成后果请自行承担

继续阅读

【安全圈】Windows KDC 代理 RCE 漏洞让攻击者远程控制服务器

发布于 作者:

【安全圈】Windows KDC 代理 RCE 漏洞让攻击者远程控制服务器 安全圈 2025-03-06 19:00 关键词 安全漏洞 安全研究人员发现微软 Windows 密钥分发中心 (KDC) 代理中存在一个严重的远程代码执行漏洞，该漏洞可能允许攻击者完全控制受影响的服务器。 该漏洞编号为CVE-2024-43639，是由于 KDC 代理服务中缺少对 Kerberos 响应长度的检查而导致的

继续阅读

【安全圈】VMware 修复了 ESX 产品中三个被积极利用的零日漏洞

发布于 作者:

【安全圈】VMware 修复了 ESX 产品中三个被积极利用的零日漏洞 安全圈 2025-03-06 19:00 关键词 零日漏洞 博通发布了安全更新，以解决 ESX 产品中三个被广泛利用的 VMware 零日漏洞。 这些漏洞分别被编号为 CVE-2025-22224、CVE-2025-22225 和 CVE-2025-22226，影响多个 VMware ESX 产品，包括 VMware ESXi

继续阅读

【安全圈】CISA 警告 VMware 漏洞正被积极利用，并敦促立即修补

发布于 作者:

【安全圈】CISA 警告 VMware 漏洞正被积极利用，并敦促立即修补 安全圈 2025-03-06 19:00 关键词 安全漏洞 美国网络安全和基础设施安全局 (CISA) 于 2025 年 3 月 4 日发布紧急警报，在确认存在野外利用后，将三个严重的 VMware 漏洞添加到其已知利用漏洞 (KEV) 目录中。 漏洞CVE-2025-22224、CVE-2025-22225 和 CVE-2

继续阅读

谷歌修复已遭利用的安卓0day

发布于 作者:

谷歌修复已遭利用的安卓0day Sergiu Gatlan 代码卫士 2025-03-06 18:36 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 谷歌发布安卓3月安全更新，修复了43个漏洞，包括已遭利用的两个0day。 塞尔维亚当局利用位于Human Interface Devices Linux 内核驱动中的一个高危信息泄露漏洞 (CVE-2024-50302) 解锁被没收的设备。该

继续阅读

逾10亿美元Bybit被盗加密货币已初步进行洗钱，引发全球追踪；WordPress插件RCE漏洞曝光，威胁超10万网站 | 牛览

发布于 作者:

逾10亿美元Bybit被盗加密货币已初步进行洗钱，引发全球追踪；WordPress插件RCE漏洞曝光，威胁超10万网站 | 牛览 安全牛 2025-03-06 17:42 点击蓝字·关注我们  /  aqniu 新闻速览 •合规压力过大，金融机构敦促CISA修订网络事件报告规则 •暗网Nemesis管理员遭美国财政部制裁 •逾10亿美元Bybit被盗加密货币已初步进行洗钱，引发全球追踪 •AI伪造

继续阅读

Elastic Kibana 原型污染致任意代码执行漏洞(CVE-2025-25012)安全风险通告

发布于 作者:

Elastic Kibana 原型污染致任意代码执行漏洞(CVE-2025-25012)安全风险通告 奇安信 CERT 2025-03-06 16:05 ●  点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Elastic Kibana 原型污染致任意代码执行漏洞 漏洞编号 QVD-2025-9842,CVE-2025-25012 公开时间 2025-03-06 影响量级 十万级 奇

继续阅读

MachineKeys 大字典：利用 3000 条 MachineKeys 爆破 ViewState 反序列化漏洞

发布于 作者:

MachineKeys 大字典：利用 3000 条 MachineKeys 爆破 ViewState 反序列化漏洞 原创 专攻.NET安全的 dotNet安全矩阵 2025-03-06 08:20 MachineKeys  负责加密和解密敏感数据，确保服务器端的安全性。然而，一旦这些密钥被泄露，攻击者便可解密受保护的数据，并可能用 ViewState  反序列化漏洞执行恶意代码。Sharp4Dot

继续阅读

近期暗网 0day 售卖情报预警

发布于 作者:

近期暗网 0day 售卖情报预警 sec0nd安全 2025-03-05 22:19 宇宙观察对数图 下面的内容全当图一乐，切莫当真！！！ 1.EDR杀手 什么是 EDR 杀手？ 端点检测和响应 ( EDR ) 工具是我们在不断发展的网络安全战场上的前线战士。然而，一种新的威胁正在形成：EDR杀手–旨在削弱这些防御的工具，使组织面临毁灭性的攻击。 这些邪恶的工具已不再罕见。EDR杀手在

继续阅读

车载Android系统破解工具和漏洞挖掘浅析

发布于 作者:

车载Android系统破解工具和漏洞挖掘浅析 sec0nd安全 2025-03-05 22:19 鸿蒙APP逆向分析工具和方法 Root检测绕过(文件系统虚拟化) DeepSeek辅助研究魔改LSPosed Hook框架 车载Android系统破解工具和漏洞挖掘方法 针对车载Android系统破解工具及漏洞挖掘方法的系统性总结，结合当前主流技术实践与安全研究，分工具分类、漏洞挖掘方法及风险注意事项

继续阅读

记一次小程序漏洞打包

发布于 作者:

记一次小程序漏洞打包 sec0nd安全 2025-03-05 22:19 扫码领资料 获网安教程 本文由掌控安全学院 –   bielang 投稿 来Track安全社区投稿~ 千元稿费！还有保底奖励~（https://bbs.zkaq.cn） 前言： 本文涉及的相关漏洞均已修复、本文中技术和方法仅用于教育目的；文中讨论的所有案例和技术均旨在帮助读者更好地理解相关安全问题，并采取适当的防

继续阅读

SRC挖掘 | fastjson反序列化漏洞实战

发布于 作者:

SRC挖掘 | fastjson反序列化漏洞实战 sec0nd安全 2025-03-05 22:19 1、前言 前段时间挖掘src遇到了两个fastjson反序列化漏洞，分享一下挖掘思路与打法。 2、漏洞挖掘 漏洞1、 该小程序需要输入账号密码才能访问，这种时候可以通过反编译小程序代码，拼接路径接口进行测试。 将小程序反编译后（过程省略，反编译教学可看我之前的文章：微信小程序反编译与动态调试教学）

继续阅读

漏洞预警 | VMware ESXi 存在缓冲区溢出漏洞（CVE-2025-22224）

发布于 作者:

漏洞预警 | VMware ESXi 存在缓冲区溢出漏洞（CVE-2025-22224） 原创 烽火台实验室 Beacon Tower Lab 2025-03-05 21:45 一 漏洞概述 漏洞类型 缓冲区溢出 漏洞等级 高危 漏洞编号 CVE-2025-22224 漏洞评分 9.3 在野利用 是 利用复杂度 低 影响版本 ESXi 7.x 和 8.x 利用方式 远程 POC/EXP 未公开 近

继续阅读

【安全圈】全球 49,000 多个门禁管理系统存在巨大安全漏洞

发布于 作者:

【安全圈】全球 49,000 多个门禁管理系统存在巨大安全漏洞 安全圈 2025-03-05 19:01 关键词 安全漏洞 荷兰 IT 安全咨询公司 Modat 发现全球部署的约 49,000 个访问管理系统 (AMS) 存在令人震惊的安全漏洞。 这些系统旨在通过密码、生物识别和多因素身份验证等身份验证方法来控制建筑物访问，但被发现存在严重的配置错误，导致敏感数据暴露且设施容易受到未经授权的进入。

继续阅读

思科： Webex 漏洞可导致凭据遭远程访问

发布于 作者:

思科： Webex 漏洞可导致凭据遭远程访问 Sergiu Gatlan 代码卫士 2025-03-05 18:15 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 今天，思科提醒客户称，适用于 BroadWorks 的Webex 中存在一个漏洞，可导致未认证攻击者远程访问凭据。 适用于 BroadWorks 的Webex 将思科Webex的视频会议和协同特性与 BroadWorks 的统一

继续阅读

第22周更新： 反序列化漏洞（三）ThinkPHP反序列链分析 | CTF训练营-Web篇

发布于 作者:

第22周更新： 反序列化漏洞（三）ThinkPHP反序列链分析 | CTF训练营-Web篇 看雪课程 看雪学苑 2025-03-05 18:00 第二十二周： 反序列化漏洞（三）ThinkPHP反序列链分析 本周我们将对ThinkPHP框架中的反序列化链做一个分析讲解。经过本周的学习，同学们将掌握基础的框架反序列化链的挖掘。 今日更新： 第一章  ThinkPHP 框架的反序列化漏洞分析与挖掘思路

继续阅读

【已支持识别检测】Ollama配置不当未授权访问漏洞（CNVD-2025-04094）

发布于 作者:

【已支持识别检测】Ollama配置不当未授权访问漏洞（CNVD-2025-04094） 原创 NS-CERT 绿盟科技CERT 2025-03-05 17:26 通告编号:NS-2025-0010 2025-03-04 TAG： Ollama、未授权访问、CNVD-2025-04094 漏洞危害： 攻击者利用此漏洞，可实现未授权访问。 版本： 1.0 1 漏洞概述 近日，绿盟科技监测到网上披露了O

继续阅读