优步被黑，内部系统受陷，漏洞报告被盗
优步被黑，内部系统受陷，漏洞报告被盗 Lawrence Abrams 代码卫士 2022-09-16 18:01 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 本周四下午，优步遭受网络攻击。黑客获得对漏洞报告的访问权限并共享了优步内部系统、邮件仪表盘和Slack服务器的截屏。 所分享的截屏似乎说明黑客获得对优步很多关键IT系统的完全访问权限，包括该公司的安全软件和Windows域。黑客访问
继续阅读标签： 代码
开源CMS TYPO3中存在XSS漏洞
开源CMS TYPO3中存在XSS漏洞 Adam Bannister 代码卫士 2022-09-16 18:01 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 易受攻击的开源内容管理系统 (CMS) TYPO3的维护人员修复了位于软件更新中的一个跨站点脚本 (XSS)漏洞。 本周二，GitHhub发布安全公告指出，由于上游包masterminds/html5中存在一个解析问题，导致PHP包
继续阅读【安全更新】微软9月安全更新多个产品高危漏洞通告
【安全更新】微软9月安全更新多个产品高危漏洞通告 原创 NS-CERT 绿盟科技CERT 2022-09-14 22:23 通告编号:NS-2022-0025 2022-09-14 TAG： 安全更新、Windows TCP/IP、Kernel、Windows Common Log File System Driver 漏洞危害： 攻击者利用本次安全更新中的漏洞，可造成权限提升、远程代码执行、敏感
继续阅读趋势科技修复又一个已遭利用的Apex One漏洞
趋势科技修复又一个已遭利用的Apex One漏洞 Eduard Kovacs 代码卫士 2022-09-14 18:23 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 本周二，趋势科技宣布称已修复位于 Apex One端点安全产品中的多个缺陷，其中包括一个0day。 该漏洞的编号是CVE-2022-40139，是与回滚函数相关的一个验证不当问题，可导致代理下载未认证的回滚组件并执行任意代码
继续阅读修复两个零日、五个严重漏洞，微软本月累积更新发布
修复两个零日、五个严重漏洞，微软本月累积更新发布 看雪学苑 看雪学苑 2022-09-14 17:59 9月13日，微软惯例的星期二补丁日，这天微软披露了64个漏洞，包括两个零日漏洞，其中一个已遭利用。据昨日发布的累积更新公告，有5个漏洞被评为“严重”，57 个被评为“重要”。 微软所披露的遭利用的零日漏洞（CVE-2022-37969）影响 Windows 通用日志文件系统驱动程序。通用日志文件
继续阅读【风险提示】天融信关于微软9月安全更新中重要漏洞的风险提示
【风险提示】天融信关于微软9月安全更新中重要漏洞的风险提示 原创 天融信应急响应 天融信阿尔法实验室 2022-09-14 12:59 0x00背景介绍 9月14日,天融信阿尔法实验室监测到微软发布9月安全更新，共修复多个漏洞。其中3个被评为严重，53个被评为高危，还有7个被评为中危，涉及系统及组件包括Windows TCP/IP、Windows IKE Extension、Windows Ker
继续阅读PbootCMS历史漏洞分析 0x01
PbootCMS历史漏洞分析 0x01 原创 数据安全实验室 山石网科安全技术研究院 2022-09-14 11:28 V0.9.8 php代码审计的初学者，所以就先从D类CMS入手。 后台默认账号：admin 密码：123456 代码审计分： · 危险函数追踪流 · 通读全文流 · 黑白盒结合审计流 开发者标签手册 IF条件语句 注意：条件语句中字符串需要用单引号或双引号，条件也可以使用
继续阅读微软2022年9月补丁日多产品安全漏洞风险通告
微软2022年9月补丁日多产品安全漏洞风险通告 原创 QAX CERT 奇安信 CERT 2022-09-14 10:49 奇安信CERT 致力于 第一时间为企业级用户提供安全风险 通告 和 有效 解决方案。 通告摘要 本月，微软共发布了63个漏洞的补丁程序，修复了Windows Server、Microsoft Office、.NET Framework、Microsoft SharePoint
继续阅读雷神众测漏洞周报2022.9.05-2022.9.11
雷神众测漏洞周报2022.9.05-2022.9.11 雷神众测 雷神众测 2022-09-13 15:00 声明 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改或增
继续阅读【技术干货】CVE-2022-22978 Spring-security 认证绕过漏洞分析和漏洞挖掘思考
【技术干货】CVE-2022-22978 Spring-security 认证绕过漏洞分析和漏洞挖掘思考 星阑科技 2022-09-13 13:26 xxhzz @PortalLab实验室 前言 在此之前，已经对CVE-2022-32532 Apache Shiro RegExPatternMatcher 认证绕过漏洞进行了分析，它和CVE-2022-22978漏洞产生原理上，本质是一样的。在分
继续阅读Microsoft VPN远程代码执行漏洞分析1-CVE-2022-23252
Microsoft VPN远程代码执行漏洞分析1-CVE-2022-23252 原创 信创安全实验室 山石网科安全技术研究院 2022-09-13 10:43 之前对于windows平台漏洞分析中我们都集中分析了本地提权类别的相关漏洞，很少有远程代码执行漏洞进行过分析，该系列中我们将分析4个windows内核远程代码执行漏洞，揭示这些很少被分析的攻击面。 CVE-2022-23253 是 Nett
继续阅读【安全圈】CICD管道中的代码注入漏洞影响Google、Apache开源GitHub项目
【安全圈】CICD管道中的代码注入漏洞影响Google、Apache开源GitHub项目 安全圈 2022-09-08 19:00 关键词 CI/CD管道 根据网站FreeBuf消息，CI/CD管道中存在安全漏洞，攻击者可以利用这些漏洞来破坏开发过程并在部署时推出恶意代码。 近日，研究人员在Apache和Google的两个非常流行的开源项目的GitHub环境中发现了一对安全漏洞，可用于秘密修改项目
继续阅读ZecOps 对 AliExpress 平台购买的 Android 手机取证分析
ZecOps 对 AliExpress 平台购买的 Android 手机取证分析 luochicun 嘶吼专业版 2022-09-08 12:05 ZecOps 对 AliExpress 平台购买的 Android 手机取证分析，发现该手机将系统 Android 6 伪造欺骗成 Android 10。我们会在本文介绍攻击者如何“伪造”iOS 上的关机屏幕以实现持久性，以及设备伪造者如何将旧的 An
继续阅读API NEWS | Bitbucket 服务器中的命令注入漏洞
API NEWS | Bitbucket 服务器中的命令注入漏洞 星阑科技 2022-09-08 10:43 欢迎大家围观小阑精心整理的API安全最新资讯，在这里你能看到最专业、最前沿的API安全技术和产业资讯，我们提供关于全球API安全资讯与信息安全深度观察。 本周，我们带来的分享如下： – 关于 Atlassian Bitbucket 服务器中的命令注入漏洞 关于每月发生的API安
继续阅读重磅发布 | 《2022上半年网络安全漏洞态势观察》（附下载）
重磅发布 | 《2022上半年网络安全漏洞态势观察》（附下载） 中国信息安全 2022-09-06 23:04 扫码订阅《中国信息安全》杂志 邮发代号 2-786 征订热线：010-82341063 2022年9月，由中国信息安全测评中心牵头编写的《2022上半年网络安全漏洞态势观察》报告（以下简称《报告》）正式发布。《报告》围绕漏洞危害、漏洞利用、漏洞管控等态势进行研究，把握总体趋势，分析现实威
继续阅读QNAP紧急修复已遭勒索团伙利用的0day
QNAP紧急修复已遭勒索团伙利用的0day Bill Toulas 代码卫士 2022-09-06 19:10 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 QNAP公司提醒客户称，始于上周六的正在进行的 DeadBolt勒索攻击利用的是位于 Photo Station 中的一个0day漏洞。QNAP公司已修复该漏洞但该勒索攻击仍在进行。 QNAP公司发布安全公告指出，“QNAP® Sys
继续阅读扩展物联网 (XIoT) 漏洞激增，安全压力倍增
扩展物联网 (XIoT) 漏洞激增，安全压力倍增 Robert Lemos 代码卫士 2022-09-06 19:10 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 网络安全专家表示，物联网设备中不断增多的漏洞数量意味着企业面临着新的补丁管理问题。 Claroty 公司最近发布报告指出，联网产品增多、研究员审计增强，加上漏洞披露的法规要求，导致披露漏洞的不断增长。例如，扩展物联网（XIoT
继续阅读抖音国际版安卓APP安全漏洞可劫持用户账户
抖音国际版安卓APP安全漏洞可劫持用户账户 ang010ela 嘶吼专业版 2022-09-06 12:05 抖音国际版安卓APP安全漏洞可实现用户账户劫持。 2022年2月，微软研究人员在TikTok（抖音国际版）安卓APP中发现了一个严重安全漏洞，漏洞CVE编号为CVE-2022-28799，CVSS评分8.3分。攻击者利用该漏洞可以诱使目标点击特定的恶意链接，只需一次点击就可以劫持账户。 触
继续阅读雷神众测漏洞周报2022.08.29-2022.09.04-4
雷神众测漏洞周报2022.08.29-2022.09.04-4 原创 雷神众测 雷神众测 2022-09-05 15:07 声明 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不
继续阅读Google Chrome 沙箱逃逸漏洞安全风险通告
Google Chrome 沙箱逃逸漏洞安全风险通告 原创 QAX CERT 奇安信 CERT 2022-09-04 20:17 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 近日，奇安信CERT监测到Google Chrome官方紧急发布安全更新，修复了Google Chrome沙箱逃逸漏洞(CVE-2022-3075)，由于Mojo中不恰当的
继续阅读CVSS评分机制会将企业漏洞管理引入歧途吗？
CVSS评分机制会将企业漏洞管理引入歧途吗？ 安全牛 2022-09-02 12:12 当我们在驾驶中使用道路导航系统时，首先需要一张准确的电子地图来作为参照。而在目前的IT系统漏洞管理工作中，很多企业组织和安全厂商都在将CVSS(国际通用漏洞评分系统）作为一张“参考地图”，来指导相关工作的计划与实施。网络威胁情报平台Flashpoint在其最新开展的《2022上半年网络安全漏洞威胁研究报告》（以
继续阅读谷歌推出开源软件漏洞奖励计划，提振软件供应链安全
谷歌推出开源软件漏洞奖励计划，提振软件供应链安全 Ionut Arghire 代码卫士 2022-08-31 19:26 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 专栏·供应链安全 数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。 随着软件产业的快速发展，软件供应链也越发复杂
继续阅读【风险提示】天融信关于GitLab存在CVE-2022-2992 RCE漏洞的风险提示
【风险提示】天融信关于GitLab存在CVE-2022-2992 RCE漏洞的风险提示 原创 天融信应急响应 天融信阿尔法实验室 2022-08-31 17:37 0x00背景介绍 8月31日，天融信阿尔法实验室监测到GitLab存在RCE漏洞的相关信息，目前官方已经发布修复版本。 0x01漏洞简述 GitLab是一个利用 Ruby on Rails 开发的开源应用程序，实现一个自托管的Git项目
继续阅读越来越多的黑客利用defi漏洞窃取加密货币
越来越多的黑客利用defi漏洞窃取加密货币 ang010ela 嘶吼专业版 2022-08-31 12:05 根据Chainalysis数据，2022年第1季度，DeFi加密货币平台频繁成为黑客攻击的目标。2021年，约有25%从DeFi平台窃取的加密货币之后返回给了受害者，而今年没有一起从DeFi窃取的资金返回的案例。 图 加密货币窃取总体情况 根据CertiK的数据，从今年以来，5大跨链平台受
继续阅读关于畅捷通T+软件存在任意文件上传漏洞的安全公告
关于畅捷通T+软件存在任意文件上传漏洞的安全公告 原创 CNVD CNVD漏洞平台 2022-08-30 22:30 2022年8月30日，国家信息安全漏洞共享平台（CNVD）收录了畅捷通T+软件任意文件上传漏洞（CNVD-2022-60632）。未经身份认证的攻击者可利用漏洞远程上传任意文件，获取服务器控制权限。目前，已出现用户被不法分子利用该漏洞进行勒索病毒攻击的情况，厂商已发布安全更新完成修
继续阅读漏洞风险提示 | 畅捷通T+远程代码执行漏洞
漏洞风险提示 | 畅捷通T+远程代码执行漏洞 长亭安全应急响应中心 2022-08-30 13:44 长亭漏洞风险提示 畅捷通T+远程代码执行漏洞 畅捷通T+是一款互联网管理软件，主要针对中小型工贸和商贸企业的财务业务一体化应用，融入了社交化、移动化、物联网、电子商务、互联网信息订阅等元素。适用于异地多组织、多机构对企业财务汇总的管理需求；全面支持企业对远程仓库、异地办事处的管理需求
继续阅读【技术干货】VMware 系列产品之身份验证绕过和JDBC注入漏洞分析
【技术干货】VMware 系列产品之身份验证绕过和JDBC注入漏洞分析 星阑科技 2022-08-29 16:09 xxhzz @PortalLab实验室 前言 在此前分析了CVE-2022-22972 VMware Workspace ONE Access和CVE-2022-22954 VMware Workspace ONE Access SSTI RCE之后，发现当时的安全公告中同时披露了
继续阅读DirtyCred：存在8年的Linux kernel漏洞
DirtyCred：存在8年的Linux kernel漏洞 关键基础设施安全应急响应中心 2022-08-29 14:59 研究人员发现存在8年的Linux kernel漏洞——DirtyCred。 美国西北大学研究人员在Linux kernel中发现了一个存在长达8年之久的安全漏洞——DirtyCred，CVE编号为CVE-2022-2588，攻击者利用该漏洞可以将权限提升到最高级别。 Dirt
继续阅读安全头条 |2022年中国网络文明大会主论坛在天津举行；CNNVD通报关于苹果的多个安全漏洞情况
安全头条 |2022年中国网络文明大会主论坛在天津举行；CNNVD通报关于苹果的多个安全漏洞情况 安全牛 2022-08-29 12:13 点击蓝字·关注我们 AQNIU 上周安全热点回顾 • 2022年中国网络文明大会主论坛在天津举行 • 工信部等七部门印发《信息通信行业绿色低碳发展行动计划（2022-2025年）》 • 《公路水路关键信息基础设施安全保护管理办法》公开征求意见 • 广东省邮政管
继续阅读原创Paper | Cisco RV340 wfapp 命令注入漏洞（CVE-2022-20827）分析
原创Paper | Cisco RV340 wfapp 命令注入漏洞（CVE-2022-20827）分析 原创 404实验室 知道创宇404实验室 2022-08-29 09:50 作者：Rivaille@知道创宇404实验室日期：2022年8月29日 漏洞原理 这个漏洞是cisco RV340 和cisco RV160 系列中存在的一个命令注入漏洞，命令注入发生在wfapp 中，漏洞原理如下。
继续阅读