标签： 代码执行

CVE-2023-50164 Apache Struts RCE 分析

发布于 作者:

CVE-2023-50164 Apache Struts RCE 分析 原创 chestnut 闲聊趣说 2024-01-03 13:00 基本信息 由于 Struts 框架在处理参数名称大小写方面的不一致性，导致未经身份验证的远程攻击者能够通过修改参数名称的大小写来利用目录遍历技术上传恶意文件到服务器的非预期位置，最终导致代码执行。 影响版本 2.0.0<= Struts <= 2.

继续阅读

成果分享｜Java反序列化漏洞自动化挖掘和可利用性验证

发布于 作者:

成果分享｜Java反序列化漏洞自动化挖掘和可利用性验证 原创 陈波妃、张磊 复旦白泽战队 2023-12-31 16:23 元 喜迎2024 旦 复旦大学系统软件与安全实验室在开源代码治理方面取得新进展。本团队为 Java 反序列化漏洞的挖掘和利用上提供了一套高效的端到端的新方案和工具，在各云平台常用的 Apache Dubbo ， Motan ， Solon 等流行 Java 开源云组件上挖掘出

继续阅读

【漏洞复现】CVE-2023-49070

发布于 作者:

【漏洞复现】CVE-2023-49070 原创 fgz AI与网安 2023-12-31 06:45 免 责 申 明 ：本文内容为学习笔记分享，仅供技术学习参考，请勿用作违法用途，任何个人和组织利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责，与作者无关！！！ 福利：小编整理了大量电子书和护网常用工具，在文末免费获取。 01 — 漏洞名称 Apache-OFBiz  xmlrp

继续阅读

二进制漏洞分析-29.Huawei TrustZone HuaweiNfcActiveCard 漏洞

发布于 作者:

二进制漏洞分析-29.Huawei TrustZone HuaweiNfcActiveCard 漏洞 原创 haidragon 安全狗的自我修养 2023-12-27 07:54 二进制漏洞分析-1.华为Security Hypervisor漏洞 二进制漏洞分析-2.揭示华为安全管理程序(上) 二进制漏洞分析-3.揭示华为安全管理程序(下) 二进制漏洞分析-4.华为安全监控漏洞(SMC SE 工厂

继续阅读

【工具发布】2023年100个勒索风险漏洞检测工具

发布于 作者:

【工具发布】2023年100个勒索风险漏洞检测工具 长亭安全应急响应中心 2023-12-26 19:22 近期，长亭安全应急响应中心发布了453个勒索风险漏洞列表。为了帮助大家更好的排查勒索风险漏洞，牧云产线现推出本地检测工具，支持一键检测以下100个高危漏洞（详见附录）。 检测方法 Delection Methods  01‍ 在本地主机上执行以下命令即可扫描： ./chaitin_ranso

继续阅读

反序列化漏洞之Python篇

发布于 作者:

反序列化漏洞之Python篇 原创 说书人 台下言书 2023-12-26 19:11 关于序列化与反序列化 序列化（Serialization）：这是将对象的状态转换为可以保存或传输的形式（通常是字节序列）的过程。在这个过程中，对象的公共、私有字段和其他组成部分被转换为可以存储在文件中、数据库中或通过网络传输的格式。这使得对象的状态可以在不同的环境中重构或共享。 反序列化（Deserializa

继续阅读

QVD-2023-45061：I Doc View在线文档预览系统RCE漏洞

发布于 作者:

QVD-2023-45061：I Doc View在线文档预览系统RCE漏洞 原创 Locks_ Timeline Sec 2023-12-26 18:30 关注我们❤️，添加星标🌟，一起学安全！作者：Locks_@Timeline Sec 本文字数：1042 阅读时长：2～3min 声明：仅供学习参考使用，请勿用作违法用途，否则后果自负 0x01 简介 I Doc View 在线文档预览系统是由

继续阅读

【漏洞通告】OpenSSH命令注入漏洞CVE-2023-51385

发布于 作者:

【漏洞通告】OpenSSH命令注入漏洞CVE-2023-51385 深瞳漏洞实验室 深信服千里目安全技术中心 2023-12-26 16:20 漏洞名称： OpenSSH命令注入漏洞(CVE-2023-51385) 组件名称： OpenSSH 影响范围： OpenSSH < 9.6 漏洞类型： 命令注入 利用条件： 1、用户认证：是 2、前置条件：默认配置 3、触发方式：远程 综合评价： &

继续阅读

【已复现】金蝶Apusic应用服务器JNDI注入致远程代码执行漏洞

发布于 作者:

【已复现】金蝶Apusic应用服务器JNDI注入致远程代码执行漏洞 长亭安全应急响应中心 2023-12-20 20:14 金蝶Apusic应用服务器是一款企业级应用服务器，支持Java EE技术，适用于各种商业环境。 2023年12月，互联网上披露金蝶Apusic应用服务器存在JNDI注入漏洞，攻击者可利用该漏洞获取服务器控制权限。该漏洞利用 简单，建议受影响 的客户尽快修复漏洞。 漏洞描述 D

继续阅读

【已复现】金蝶Apusic应用服务器文件上传致远程代码执行漏洞

发布于 作者:

【已复现】金蝶Apusic应用服务器文件上传致远程代码执行漏洞 长亭安全应急响应中心 2023-12-20 20:14 金蝶Apusic应用服务器是一款企业级应用服务器，支持Java EE技术，适用于各种商业环境。 2023年12月，互联网上披露金蝶Apusic应用服务器存在文件上传漏洞，攻击者可利用该漏洞获取服务器控制权限。该漏洞利用简单，建议受影响的客户尽快修复漏洞。 漏洞描述 Descrip

继续阅读

【已复现】金蝶天燕远程代码执行漏洞安全风险通告

发布于 作者:

【已复现】金蝶天燕远程代码执行漏洞安全风险通告 原创 QAX CERT 奇安信 CERT 2023-12-20 16:21 ●  点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 金蝶天燕远程代码执行漏洞 漏洞编号 QVD-2023-48081 公开时间 2023-12-19 影响对象数量级 万级 奇安信评级 高危 CVSS 3.1分数 9.8 威胁类型 代码执行 利用可能性 高 PO

继续阅读

不靠谱的补丁！补丁再次被绕过-声音文件触发的Microsoft Outlook零点击漏洞链

发布于 作者:

不靠谱的补丁！补丁再次被绕过-声音文件触发的Microsoft Outlook零点击漏洞链 网络安全应急技术国家工程中心 2023-12-20 15:15 Akamai的安全研究人员正在分享Microsoft今年早些时候针对Outlook零点击远程代码执行漏洞发布的补丁的多个绕过细节。最初的问题被追踪为CVE-2023-23397，在俄罗斯国家支持的黑客组织在野外利用该问题大约一年后，微软于202

继续阅读

【漏洞预警】Zabbix代码执行漏洞CVE-2023-32727

发布于 作者:

【漏洞预警】Zabbix代码执行漏洞CVE-2023-32727 cexlife 飓风网络安全 2023-12-19 21:42 漏洞简述:Zabbix是一个基于WEB界面的提供分布式系统监视以及网络监视功能的企业级开源监控解决方案，可以用来监控服务器、硬件、网络等,近日监测到Zabbix中修复了一个icmpping()代码执行漏洞（CVE-2023-32727），其CVSS评分为6.8。有权配置

继续阅读

【复现】 金蝶天燕未授权远程代码执行漏洞风险通告

发布于 作者:

【复现】 金蝶天燕未授权远程代码执行漏洞风险通告 原创 赛博昆仑CERT 赛博昆仑CERT 2023-12-19 20:25 赛博昆仑漏洞安全通告- 金蝶天燕未授权远程代码执行漏洞风险通告 漏洞描述 金蝶Apusic应用服务器（Apusic Application Server，AAS）是一款标准、安全、高效、集成并具丰富功能的企业级应用服务器软件，全面支持JakartaEE8/9的技术规范，提供

继续阅读

S2-045远程代码执行漏洞（CVE-2017-5638）

发布于 作者:

S2-045远程代码执行漏洞（CVE-2017-5638） 巢安实验室 巢安实验室 2023-12-19 18:04 漏洞简介 S2-045（CVE-2017-5638）是指Apache Struts 2框架中存在的一个严重的安全漏洞，该漏洞允许攻击者通过精心构造的恶意请求执行远程代码。这个漏洞的原理涉及到Apache Struts 2框架的文件上传组件（FileUploadInterceptor

继续阅读

新3年旧3年又3年，堪比 Spring4Shell 的 GWT RCE 漏洞仍无补丁

发布于 作者:

新3年旧3年又3年，堪比 Spring4Shell 的 GWT RCE 漏洞仍无补丁 Becky Bracken 代码卫士 2023-12-19 17:47 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 距离第一次被发现过了超过8年后，游荡在热门开源应用框架 Google Web Toolkit (GWT) 中的未认证 Java 反序列化漏洞至今仍未被修复，易受攻击的应用可能需要根

继续阅读

微软：热门源代码管理平台 Perforce Helix Core Server 中存在RCE漏洞

发布于 作者:

微软：热门源代码管理平台 Perforce Helix Core Server 中存在RCE漏洞 Bill Toulas 代码卫士 2023-12-19 17:47 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 微软在游戏、政府、军队和技术行业都在使用的源代码管理平台 Perforce Helix Core Server 上发现了四个漏洞，其中一个是严重等级。 微软公司的分析师对该

继续阅读

漏洞通告 | 金蝶Apusic应用服务器远程代码执行漏洞

发布于 作者:

漏洞通告 | 金蝶Apusic应用服务器远程代码执行漏洞 原创 微步情报局 微步在线研究响应中心 2023-12-19 16:59 01 漏洞概况**** 金蝶Apusic应用服务 器（Kingdee Apusic Application Server）是金蝶软件推出的一款企业级Java应用服务器。它提供了一个稳定、高效、可扩展的运行环境，用于部署和管理企业级Java应用程序。 微步漏洞团队监测到

继续阅读

Xstream反序列化漏洞

发布于 作者:

Xstream反序列化漏洞 白帽子 2023-12-19 00:00 Xstream简介 XStream是Java类库，用来将对象序列化成XML （JSON）或 反序列化 为对象。 说白了就是我们可以将Java对象转换为XML，也可以将XML字符串转换为Java对象。 Xstream反序列化原理 XStream实现了一套序列化和反序列化机制，核心是通过Converter转换器来将XML和对象之间进

继续阅读

速修复！开源防火墙软件pfSense 中存在多个漏洞

发布于 作者:

速修复！开源防火墙软件pfSense 中存在多个漏洞 THN 代码卫士 2023-12-18 18:18 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 开源的 Netgate pfSense 防火墙解决方案 pfSense 中存在多个漏洞，可被攻击者用于在可疑设备上执行任意命令。 这些问题和两个反射型XSS漏洞有关，其中一个是命令注入漏洞。安全研究员 Zeino-Mahmalat

继续阅读

Apache Dubbo多个反序列化漏洞安全风险通告

发布于 作者:

Apache Dubbo多个反序列化漏洞安全风险通告 奇安信 CERT 2023-12-18 17:04 ●  点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Apache Dubbo多个反序列化漏洞 漏洞编号 CVE-2023-29234、CVE-2023-46279 公开时间 2023-12-15 影响对象数量级 十万级 奇安信评级 高危 CVSS 评分 7.7、8.1 威胁类型

继续阅读

【安全圈】QNAP VioStor NVR 漏洞被恶意软件利用

发布于 作者:

【安全圈】QNAP VioStor NVR 漏洞被恶意软件利用 安全圈 2023-12-17 19:01 关键词 恶意软件 一个名为 “InfectedSlurs” 的基于 Mirai 的僵尸网络正在利用 QNAP VioStor NVR （网络录像机）设备中的远程代码执行 (RCE) 漏洞来劫持并使它们成为其 DDoS （分布式拒绝服务）群的一部分。 该僵尸网络由 Akamai 的安全情报响应团

继续阅读

S2-032远程代码执行漏洞（CVE-2016-3081）

发布于 作者:

S2-032远程代码执行漏洞（CVE-2016-3081） 巢安实验室 巢安实验室 2023-12-17 17:30 漏洞简介 S2-032漏洞是一种影响Apache Struts web应用程序框架的远程代码执行（RCE）漏洞。此漏洞允许攻击者通过发送特制的HTTP请求在服务器上执行任意代码。这可能被利用来获得对服务器的未经授权的访问，从而可能导致系统的完全破坏。 影响版本 2.3.20 &lt

继续阅读

Android App半自动化静态漏洞挖掘技术分析

发布于 作者:

Android App半自动化静态漏洞挖掘技术分析 ADLab 白帽子左一 2023-12-17 12:00 扫码领资料 获网安教程 免费&进群 一、前言 在Android应用层安全研究领域，研究人员大多采用人工审计加脚本的方式进行漏洞挖掘。针对某个新的攻击面，对手机厂商上千款的预置App开展批量的漏洞挖掘时，短时间内很难产出结果，漏洞挖掘效率低。 在2021年7月上旬，启明星辰ADLab

继续阅读

Apache告警， Struts 2 开源框架存在严重安全漏洞

发布于 作者:

Apache告警， Struts 2 开源框架存在严重安全漏洞 小薯条 FreeBuf 2023-12-17 09:01 近日，阿帕奇公司发布安全公告称 Struts 2 开源 Web 应用程序框架存在严重安全漏洞，可能导致远程代码执行。 该漏洞被追踪为 CVE-2023-50164，其根源在于文件上传逻辑，该逻辑可实现未经授权的路径遍历，在这种情况下极易被用来上传恶意文件并执行任意代码。 Sha

继续阅读

漏洞预警 | MLFlow远程代码执行漏洞

发布于 作者:

漏洞预警 | MLFlow远程代码执行漏洞 浅安 浅安安全 2023-12-16 08:00 0x00 漏洞编号 – # CVE-2023-6709 0x01 危险等级 – 高危 0x02 漏洞概述 MLflow是一个简化机器学习开发的平台，包括跟踪实验、将代码打包成可重现的运行，以及共享和部署模型。 0x03 漏洞详情 CVE-2023-6709 漏洞类型： 远程代码执行

继续阅读

【已复现】亿赛通电子文档安全管理系统远程代码执行漏洞

发布于 作者:

【已复现】亿赛通电子文档安全管理系统远程代码执行漏洞 长亭安全应急响应中心 2023-12-13 20:11 亿赛通电子文档安全管理系统是一个集文档加密、权限控制和操作审计于一体的软件，用于提升企业文档的安全性和管理效率。 2023年12月，互联网公开了一个亿赛通的远程代码执行漏洞。该漏洞利用无需前置条件，建议使用该系统的用户尽快修复。 漏洞描述 Description  01 漏洞成因亿赛通由于

继续阅读