利用微软office七年漏洞！乌克兰遭网络攻击
利用微软office七年漏洞！乌克兰遭网络攻击 网络安全应急技术国家工程中心 2024-04-30 16:09 摘要 网络安全研究人员发现，这次针对乌克兰的行动利用了微软Office中一个近七年的漏洞，将Cobalt Strike传送到被攻击的系统上。 这次攻击链在2023年底发生，据Deep Instinct公司称，攻击者使用了一个PowerPoint幻灯片文件(“signal-20
继续阅读标签： 代码执行
上周关注度较高的产品安全漏洞(20240422-20240428)
上周关注度较高的产品安全漏洞(20240422-20240428) 国家互联网应急中心CNCERT 2024-04-30 09:25 一、境外厂商产品漏洞 1、Linux Kernel存在拒绝服务漏洞（CNVD-2024-17902） Linux kernel是美国Linux基金会的开源操作系统Linux所使用的内核。Linux Kernel存在拒绝服务漏洞，攻击者可利用该漏洞进行拒绝服务攻击。
继续阅读Primeton EOS Platform jmx反序列化远程代码执行
Primeton EOS Platform jmx反序列化远程代码执行 原创 SXdysq 南街老友 2024-04-28 21:20 漏洞描述 Primeton EOS Platform是一个由普元科技开发的企业级应用软件平台，旨在提供数字化转型、数据管理和流程优化的解决方案。 普元EOS某接口开启了JMX over HTTP功能，且未对反序列化数据进行充分的安全检查和限制。 漏洞描述 攻击者通
继续阅读常见未授权访问漏洞总结及验证方式
常见未授权访问漏洞总结及验证方式 橘猫学安全 2024-04-27 14:14 前言 未授权访问漏洞是常见的攻击入口点，某些严重的未授权访问会直接导致getshell，熟悉常见的未授权访问漏洞排查方法对红蓝双方都有很大的帮助。本文对常见的未授权访问利用所需的工具和命令做总结。 mysql 3306端口未授权访问，可读取数据库内容，可尝试在web路径写webshell 工具：Navicat sqls
继续阅读漏洞通告 | 禅道项目管理系统权限提升漏洞
漏洞通告 | 禅道项目管理系统权限提升漏洞 原创 微步情报局 微步在线研究响应中心 2024-04-26 19:03 漏洞概况 禅道项目管理系统是一个开源的项目管理软件，专门设计用于敏捷开发，提供了需求管理、任务管理、缺陷跟踪、测试管理和项目绩效等功能，帮助团队更高效地进行项目规划和执行。 微步漏洞团队近日获取到禅道项目管理系统权限提升漏洞情报（https://x.threatbook.com/v
继续阅读经验分享 | 记一次通过子域模糊测试识别漏洞并获取高额赏金的经历
经验分享 | 记一次通过子域模糊测试识别漏洞并获取高额赏金的经历 FreddyLu666 FreeBuf 2024-04-26 19:01 左右滑动查看更多 本文由漏洞猎人Abdullah Nawaf于2024年3月18日发表在Medium网站，本文记录了Abdullah Nawaf的一次漏洞挖掘过程，而此次漏洞挖掘也成功让他获取到了三万五千美元的漏洞奖金。本文旨在跟大家分享一名专业漏洞猎人的漏洞
继续阅读安全通告丨网络安全漏洞通告（2024年4月）
安全通告丨网络安全漏洞通告（2024年4月） 创信华通 2024-04-26 18:18 作为国内权威的安全漏洞通告组织，创信华通基于自身的威胁情报和漏洞挖掘能力，对全球最新的安全漏洞及安全事件进行跟踪研究，在第一时间向用户提供高危漏洞、威胁攻击的解决办法及情报资讯，以帮助用户提升网络安全的预警和响应能力。 一、 漏洞态势 / 2024.4 高危漏洞预警 在第一时间内向用户发布高危漏洞预警，通告漏
继续阅读iMessage 零点击RCE利用被曝现身黑客论坛
iMessage 零点击RCE利用被曝现身黑客论坛 Divya 代码卫士 2024-04-26 17:25 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 据称，针对苹果 iMessage 的零点击远程代码执行 (RCE) 利用在多个黑客论坛上传播。 该利用可导致黑客在无需用户交互的情况下控制 iPhone，从而对全球数百万 iMessage 用户带来严重风险。零点击利用这一网络安全威胁，无
继续阅读【漏洞通告】禅道项目管理系统权限绕过漏洞
【漏洞通告】禅道项目管理系统权限绕过漏洞 深瞳漏洞实验室 深信服千里目安全技术中心 2024-04-26 16:22 漏洞名称： 禅道项目管理系统权限绕过漏洞 组件名称： 易软天创-禅道项目管理软件 影响范围： v16.x ≤ 禅道 ＜ v18.12 （开源版） v6.x ≤ 禅道 ＜ v8.12 （企业版） v3.x ≤ 禅道 ＜ v4.12 （旗舰版） 漏洞类型： 权限提升 利用条件： 1、用
继续阅读RSAC 2024创新沙盒｜VulnCheck：漏洞优先级挑战的解决方案
RSAC 2024创新沙盒｜VulnCheck：漏洞优先级挑战的解决方案 绿盟君 绿盟科技 2024-04-26 15:36 5月6日 RSA Conference 2024 将正式启幕 作为“安全圈的奥斯卡” RSAC 创新沙盒（Innovation Sandbox） 已成为网络安全业界的创新标杆 创新之下 与绿盟君一道 聚焦网络安全新热点 洞悉安全发展新趋势 走进 ****VulnCheck
继续阅读【已复现】禅道项目管理系统身份认证绕过漏洞
【已复现】禅道项目管理系统身份认证绕过漏洞 长亭应急 黑伞安全 2024-04-26 13:33 禅道项目管理系统（以下简称禅道系统）是一个开源的项目管理软件，专门设计用于敏捷开发，提供了需求管理、任务管理、缺陷跟踪、测试管理和项目绩效等功能，帮助团队更高效地进行项目规划和执行。2024年4月，互联网披露禅道系统存在身份认证绕过的漏洞情报。经分析，确认该漏洞利用简单，并可能在绕过权限后利用后台其他
继续阅读CVE-2024-4040 CrushFTP 中的身份验证绕过和任意文件读取
CVE-2024-4040 CrushFTP 中的身份验证绕过和任意文件读取 Ots安全 2024-04-26 10:47 概述 2024 年 4 月 19 日星期五，托管文件传输供应商 CrushFTP 向私人邮件列表发布了有关一个新的零日漏洞的信息，该漏洞影响所有平台上低于 10.7.1 和 11.1.0 的 CrushFTP 版本（以及旧版 9.x 版本）。在披露时，供应商未分配 CVE，但
继续阅读注意补丁间隙：利用 Ubuntu 中的 io_uring 漏洞
注意补丁间隙：利用 Ubuntu 中的 io_uring 漏洞 Ots安全 2024-04-26 10:47 概述 本文讨论Linux 内核中io_uring 中的释放后使用漏洞 CVE-2024-0582 。尽管该漏洞于 2023 年 12 月在稳定内核中得到了修补，但它在两个多月后才被移植到 Ubuntu 内核中，这使其成为当时 Ubuntu 中的一个简单的 0day 向量。 2024 年
继续阅读利用 PUT 方法导致三星远程代码执行 (RCE)
利用 PUT 方法导致三星远程代码执行 (RCE) Ots安全 2024-04-26 10:47 什么是 HTTP 方法？ HTTP 方法是定义客户端想要对由 URI（统一资源标识符）标识的指定资源执行的操作的动词。它们在 HTTP（超文本传输协议）中使用，以促进客户端（例如 Web 浏览器或移动应用程序）与服务器之间的通信。每种方法指定要对资源执行的不同类型的操作。 常见 HTTP 方法解释 1
继续阅读漏洞利用-PoC-in-GitHub+msf简单利用
漏洞利用-PoC-in-GitHub+msf简单利用 原创 兰陵猪猪哼 小黑子安全 2024-04-26 07:46 查找库 -PoC-in-GitHub 里面集成了几乎所有 cve 漏洞 下载： https://github.com/nomi-sec/PoC-in-GitHub 演示： 如想要查找 vulfocus 靶场中 Metabase 远程命令执行漏洞 的利用方法。 可以下载一个 Y om
继续阅读漏洞速递 | Microsoft微软最新RCE漏洞（附EXP）
漏洞速递 | Microsoft微软最新RCE漏洞（附EXP） 原创 AW 阿无安全 2024-04-26 06:02 声明：该公众号大部分文章来自作者日常学习笔记，也有部分文章是经过作者授权和其他公众号白名单转载，未经授权，严禁转载，如需转载，联系开白。请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。 现在只对常读和星标的公众号才展示大图推送，建议大家把
继续阅读【漏洞预警】CrushFTP 认证绕过模板注入漏洞（CVE-2024-4040）
【漏洞预警】CrushFTP 认证绕过模板注入漏洞（CVE-2024-4040） cexlife 飓风网络安全 2024-04-25 17:34 漏洞描述: CrushFTP是一款支持FTP, FTPS, SFTP, HTTP, HTTPS, WebDAV and WebDAV SSL等协议的跨平台FTP服务器软件，CVE-2024-4040中，攻击者可构造恶意请求利用模版注入获取他人身份凭据，读
继续阅读【漏洞预警】Primeton EOS Platform jmx 远程代码执行漏洞
【漏洞预警】Primeton EOS Platform jmx 远程代码执行漏洞 cexlife 飓风网络安全 2024-04-25 17:34 漏洞描述: Primeton EOS Platform是一款集成了开发运维一体化等功能的企业级应用开发平台,2024年4月,互联网上披露其存在反序列化代码执行漏洞,攻击者可构造恶意请求触发反序列化,执行任意代码,官方已经发布安全更新,建议升级修复,Pri
继续阅读国家黑客组织利用思科两个0day攻击政府网络
国家黑客组织利用思科两个0day攻击政府网络 Sergiu Gatlan 代码卫士 2024-04-25 17:28 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 思科提醒称，自2023年11月起国家黑客组织一直在利用位于 ASA 和 FTD 防火墙中的两个0day漏洞攻陷全球政府网络。 这些黑客被思科 Talos 称为 “UAT4356”，微软称为 “STORM-1849”，他们自202
继续阅读【复现】禅道项目管理系统身份认证绕过漏洞的风险通告
【复现】禅道项目管理系统身份认证绕过漏洞的风险通告 原创 赛博昆仑CERT 赛博昆仑CERT 2024-04-25 17:03 赛博昆仑漏洞安全通告- 禅道项目管理系统身份认证绕过漏洞的风险通告 漏洞描述 禅道(ZenTao)是一款国产的，基于LGPL协议和敏捷方法scrum，开源免费的项目管理软件。禅道内置需求管理、任务管理、bug管理、缺陷管理、用例管理、计划发布等功能，实现了软件的完整生命
继续阅读【漏洞通告】Primeton EOS Platform远程代码执行漏洞
【漏洞通告】Primeton EOS Platform远程代码执行漏洞 深瞳漏洞实验室 深信服千里目安全技术中心 2024-04-25 15:13 漏洞名称： Primeton EOS Platform远程代码执行漏洞 组件名称： Primeton EOS Platform 影响范围： Primeton EOS Platform ≤ 7.6 漏洞类型： 远程代码执行 利用条件： 1、用户认证：不需
继续阅读Primeton EOS Platform jmx反序列化致远程代码执行漏洞
Primeton EOS Platform jmx反序列化致远程代码执行漏洞 长亭应急 黑伞安全 2024-04-25 08:30 Primeton EOS Platform（以下简称普元EOS）是一个由普元科技开发的企业级应用软件平台，旨在提供数字化转型、数据管理和流程优化的解决方案。2024年4月，互联网披露普元EOS远程代码执行漏洞情报，经分析，确认该漏洞由反序列化缺陷引起，且该漏洞在去年已
继续阅读重大安全漏洞暴露超过 10 亿中文输入法用户的击键行为
重大安全漏洞暴露超过 10 亿中文输入法用户的击键行为 会杀毒的单反狗 军哥网络安全读报 2024-04-25 07:57 导读 基于云的拼音输入法中发现的安全漏洞可能会被利用，向不法分子泄露用户的击键内容。 该调查结果来自公民实验室，该实验室发现了百度、荣耀、科大讯飞、OPPO、三星、腾讯、Vivo和小米等供应商的九款应用程序中的八款存在安全漏洞。唯一一家输入法不存在任何安全缺陷的供应商是华为。
继续阅读【论文速读】|大语言模型（LLM）智能体可以自主利用1-day漏洞
【论文速读】|大语言模型（LLM）智能体可以自主利用1-day漏洞 原创 知识分享者 安全极客 2024-04-24 18:52 本次分享论文： LLM Agents can Autonomously Exploit One-day Vulnerabilities 基本信息 原文作者：Richard Fang, Rohan Bindu, Akul Gupta, Daniel Kang 作者单位：无
继续阅读微软：APT28 利用由NSA报送的 Windows 漏洞
微软：APT28 利用由NSA报送的 Windows 漏洞 Sergiu Gatlan 代码卫士 2024-04-24 17:33 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 微软提醒称，俄罗斯 APT28 威胁组织利用 Windows Print Spooler 漏洞 (CVE-2022-38028)，通过此前未知的黑客工具 GooseEgg提升权限，窃取凭据和数据。 APT 28 黑
继续阅读原创 | 首个国内自主挖掘的RISC-V处理器设计中危漏洞研究
原创 | 首个国内自主挖掘的RISC-V处理器设计中危漏洞研究 原创 CISRC 网络安全应急技术国家工程中心 2024-04-24 14:51 CNCERT国家工程研究中心 作者 | 胡伟 西北工业大学教授 张家琦 网络安全应急技术国家工程研究中心 摘要： 处理器安全是近年来备受关注的热点研究方向。2021年，国内首个处理器硬件安全领域的国家重点研发计划项目——纳米级芯片硬件综合安全评估关键技术
继续阅读漏洞通告 | Primeton EOS Platform远程代码执行漏洞
漏洞通告 | Primeton EOS Platform远程代码执行漏洞 原创 微步情报局 微步在线研究响应中心 2024-04-24 14:01 漏洞概况 Primeton EOS Platform是普元信息技术股份有限公司推出的一款集成了低代码开发、微服务应用、开发运维一体化等功能的企业级应用开发平台。它帮助企业实现软件开发、运维一体化管理，提升IT运营效率和业务响应速度。 微步漏洞团队近日通
继续阅读kkFileView远程代码执行漏洞分析
kkFileView远程代码执行漏洞分析 哈拉少安全小队 2024-04-24 12:17 kkFileView由于前台上传功能在处理压缩包时，从仅获取文件名改为获取文件名及其目录，导致出现了Zip Slip漏洞。这使得攻击者可上传包含恶意代码的压缩包并覆盖系统文件，随后通过调用这些被覆盖的文件实现远程代码执行。 影响版本 漏洞复现 复测版本：4.2.1 下载地址： https://github.
继续阅读Apache 项目中存在依赖混淆漏洞
Apache 项目中存在依赖混淆漏洞 代码卫士 2024-04-23 15:16 聚焦源代码安全，网罗国内外最新资讯！ 作者： Alessandro Mascel lino 编译：代码卫士 已归档的一个 Apache 项目中存在一个依赖混淆漏洞。 Legit Security 公司发现了该漏洞，并表示这说明有必要审计第三方项目和依赖，尤其是被归档且有可能忽视了更新和安全补丁的第三方项目和依赖。该公
继续阅读黑客利用 OpenMetadata 漏洞在 Kubernetes 上挖掘加密货币
黑客利用 OpenMetadata 漏洞在 Kubernetes 上挖掘加密货币 威胁监测 渗透安全团队 2024-04-22 20:03 OpenMetadata简介 OpenMetadata 是一个 开源平台 ，可作为元数据管理工具运行，为数据资产发现、可观测性和治理提供统一的解决方案。 Microsoft 威胁情报团队四月份表示，攻击者利用 OpenMetadata 中的关键漏洞，获取对
继续阅读