漏洞奖励计划升级第二弹：首胜奖励+周周有奖！
漏洞奖励计划升级第二弹：首胜奖励+周周有奖！ X社区 微步在线 2023-01-05 17:41 “ 各位白帽子师傅： 半月前，我们开启了“X漏洞奖励计划 · 年终尾牙”活动的第一弹【全网最早年终奖】，得到师傅们的鼎力支持，我们也发放出一大波奖励。 现开启活动第二弹【不止漏洞奖励】 ，提供更多获得报酬的玩法~ 首日漏洞 额外奖励 自2023年1月1日起，各位师傅首条提交且通过审核的漏洞，除获得该漏
继续阅读标签： 命令执行
Synology 修复严重的VPN路由器漏洞，CVSS评分10分
Synology 修复严重的VPN路由器漏洞，CVSS评分10分 Sergiu Gatlan 代码卫士 2023-01-04 17:38 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 台湾NAS厂商Synology 修复了一个CVSS评分为10分的严重漏洞，影响配置为VPN服务器运行的路由器。 VPN Plus Server 是一款虚拟的私有网络服务器，可使管理员将Synology路由器设
继续阅读Apache Kylin多个命令注入漏洞安全风险通告
Apache Kylin多个命令注入漏洞安全风险通告 原创 QAX CERT 奇安信 CERT 2023-01-03 18:53 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 Apache Kylin 是一个开源的、分布式的分析型数据仓库，提供Hadoop或Spark之上的 SQL 查询接口及多维分析（OLAP）能力以支持超大规模数据，最初由 e
继续阅读《58集团漏洞标准V4.2》
《58集团漏洞标准V4.2》 58安全应急响应中心 2023-01-03 18:14 本标准将于2023年1月4日0：00起生效 基本原则 58集团非常重视自身产品和业务的安全，我们承诺对每一份报告都有专人及时跟进处理，给出漏洞评定结果以及原因，并给予白帽子与之匹配的利益。 58SRC非常希望您在提交漏洞前认真阅读平台《58SRC漏洞评分标准》、《58SRC漏洞审核策略》以及《白帽子常见FAQ》，
继续阅读【处置手册】Exchange Server OWASSRF漏洞（CVE-2022-41080/CVE-2022-41082）
【处置手册】Exchange Server OWASSRF漏洞（CVE-2022-41080/CVE-2022-41082） 原创 NS-CERT 绿盟科技CERT 2022-12-29 19:43 通告编号:NS-2022-0034 2022-12-29 TAG： Exchange Server、OWA、任意代码执行、SSRF 漏洞危害： 攻击者利用此漏洞可实现任意命令执行 版本： 1.0 1
继续阅读重磅福利 | X情报社区全面开放漏洞情报能力！
重磅福利 | X情报社区全面开放漏洞情报能力！ 微步在线 2022-12-28 19:21 漏洞，是入侵目标最有效的方法之一。 因此，在如今漏洞满天飞的攻防形势下，只有及时掌握最关键/活跃的漏洞情报信息，才能不陷于被动 。 最近流行的漏洞是什么？ 这些漏洞利用有什么特征？ 谁在用这些漏洞搞事情？ 这些漏洞的解决方案是什么？ …… …… 你都知道吗？ 为了帮助大家快速找到答案，快速应对漏洞威胁，
继续阅读ThinkPHP开发框架曝高危漏洞，需紧急修复！
ThinkPHP开发框架曝高危漏洞，需紧急修复！ 原创 微步情报局 微步在线研究响应中心 2022-12-09 16:40 01 漏洞概况 微步在线通过“X漏洞奖励计划”获取到ThinkPHP开发框架命令执行漏洞的0day相关漏洞情报，攻击者可以通过此漏洞实现任意命令执行，导致系统被攻击与控制。该漏洞已在9月25日的V6.0.14被修复。ThinkPHP 是一个免费开源的，快速、简单的面向对象的
继续阅读上周关注度较高的产品安全漏洞(20221128-20221204)
上周关注度较高的产品安全漏洞(20221128-20221204) 国家互联网应急中心CNCERT 2022-12-07 17:16 一、境外厂商产品漏洞 1、QEMU拒绝服务漏洞（CNVD-2022-84162） QEMU 是法国法布里斯-贝拉（Fabrice Bellard）个人开发者的一套模拟处理器软件。该软件具有速度快、跨平台等特点。QEMU 存在拒绝服务漏洞，该漏洞源于QEMU网卡模拟器
继续阅读CVE-2022-46169：Cacti命令注入漏洞
CVE-2022-46169：Cacti命令注入漏洞 360CERT 三六零CERT 2022-12-07 16:05 赶紧点击上方话题进行订阅吧！ 报告编号：B6-2022-120701 报告来源：360CERT 报告作者：360CERT 更新日期：2022-12-07 1 漏洞简述 2022年12月07日，360CERT监测发现Cacti的漏洞细节在互联网公开，漏洞编号为CVE-2022-46
继续阅读Cacti命令执行漏洞 (CVE-2022-46169) 安全通告
Cacti命令执行漏洞 (CVE-2022-46169) 安全通告 安全内参 2022-12-06 20:25 Cacti项目是一个开源平台，可为用户提供强大且可扩展的操作监控和故障管理框架。 近日，奇安信CERT监测到Cacti存在命令执行漏洞(CVE-2022-46169)，攻击者可通过构造恶意请求在无需登录的情况下向函数中注入命令，达到命令执行的目的。鉴于此漏洞影响范围较大，建议客户尽快做好
继续阅读Cacti命令执行漏洞(CVE-2022-46169)安全风险通告
Cacti命令执行漏洞(CVE-2022-46169)安全风险通告 原创 QAX CERT 奇安信 CERT 2022-12-06 19:37 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 Cacti项目是一个开源平台，可为用户提供强大且可扩展的操作监控和故障管理框架。 近日，奇安信CERT监测到Cacti存在命令执行漏洞(CVE-2022-46
继续阅读多个BMC供应链漏洞现身，数十家厂商生产的服务器受影响
多个BMC供应链漏洞现身，数十家厂商生产的服务器受影响 Ravie Lakshmanan 代码卫士 2022-12-06 17:43 聚焦源代码安全，网罗国内外最新资讯！**** 专栏·供应链安全 数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。 随着软件产业的快速发展，软件供应链也越发复杂多元
继续阅读热门Java 框架Quarkus中存在严重的RCE漏洞
热门Java 框架Quarkus中存在严重的RCE漏洞 Ionut Arghire 代码卫士 2022-12-01 18:12 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Contrast Security 公司的安全研究员 Joseph Beeton 提醒称，热门 Quarkus 框架受严重漏洞（CVE-2022-4116，CVSS评分9.8）影响，可导致远程代码执行后果。 Quark
继续阅读德企Festo 和 CODESYS 的OT产品受3个漏洞影响，可导致供应链攻击
德企Festo 和 CODESYS 的OT产品受3个漏洞影响，可导致供应链攻击 Ravie Lakshmanan 代码卫士 2022-12-01 18:12 聚焦源代码安全，网罗国内外最新资讯！**** 专栏·供应链安全 数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。 随着软件产业的快速发展，
继续阅读利用solidity与EVM本身的漏洞进行攻击（上）
利用solidity与EVM本身的漏洞进行攻击（上） 原创 核心基础实验室 山石网科安全技术研究院 2022-11-30 11:01 编译与执行 solidity是一种高级语言，由人类来编写，语法上类似JavaSrcipt。solidity的源代码可以由编译器编译成以太坊虚拟机(EVM)的字节码，字节码可以在EVM上运行。EVM有许多种版本的实现，但这里我们主要考虑go-ethereum的实现。
继续阅读谷歌紧急修复已遭利用的Chrome 0day
谷歌紧急修复已遭利用的Chrome 0day Bill Toulas 代码卫士 2022-11-28 17:02 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 谷歌紧急修复2022年以来的第8个Chrome 0day (CVE-2022-4135)。 该漏洞是位于GPU中的一个堆缓冲溢出漏洞，是由谷歌威胁分析团队研究员Clement Lecigne在2022年11月22日发现的。谷歌更新指
继续阅读【技术干货】CVE-2022-42889 Apache Commons Text RCE漏洞分析
【技术干货】CVE-2022-42889 Apache Commons Text RCE漏洞分析 星阑科技 2022-11-25 10:32 xxhzz @PortalLab实验室 前言 最近一直在对刚研发出来的自动化Web/API漏洞Fuzz的命令行扫描工具进行维护更新（工具地址：https://github.com/StarCrossPortal/scalpel），目前扫描工具已更新至第三个版
继续阅读速修！Smartbi软件高危命令执行漏洞，影响超4000家企业
速修！Smartbi软件高危命令执行漏洞，影响超4000家企业 原创 微步情报局 微步在线 2022-11-23 20:29 漏洞概况 近日，微步在线通过“X漏洞奖励计划”获取到Smartbi商业智能软件命令执行漏洞的相关漏洞情报， 微步TDP已经于2022年9月起支持对该0day漏洞的检测 。 据微步X企业版资产测绘信息来看，目前至少有超过100个IP地址（企业）受此漏洞影响，据Smartbi官
继续阅读【漏洞通告】Atlassian Bitbucket Server and Data Center 远程命令执行漏洞
【漏洞通告】Atlassian Bitbucket Server and Data Center 远程命令执行漏洞 深瞳漏洞实验室 深信服千里目安全技术中心 2022-11-23 19:11 漏洞名称： Atlassian Bitbucket Server and Data Center 远程命令执行漏洞 组件名称： Atlassian Bitbucket Server and Data Cent
继续阅读0Click RCE：攻击VMWare Workspace ONE Access
0Click RCE：攻击VMWare Workspace ONE Access 原创 应用安全实验室 山石网科安全技术研究院 2022-11-22 11:32 IAM 介绍 00 身份和访问管理（IAM）全称Identity and Access Management，IAM 是提供用户用来管理用户对 AWS 资源的访问权限及其身份验证的服务。基本上的特性有： IAM账户使用者可以分为根使用者
继续阅读腾讯安全威胁情报中心推出2022年10月必修安全漏洞清单
腾讯安全威胁情报中心推出2022年10月必修安全漏洞清单 腾讯威胁情报中心 腾讯安全威胁情报中心 2022-11-17 19:24 欢迎关注 腾讯安全威胁情报中心 腾讯安全攻防团队 A&D Team 腾讯安全 威胁情报团队 腾讯安全威胁情报中心推出2022年10月份必修安全漏洞清单，所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，不修复就意味着黑客攻击入侵后会造成十分严重
继续阅读F5 多款产品中存在多个RCE漏洞
F5 多款产品中存在多个RCE漏洞 Eduard Kovacs 代码卫士 2022-11-17 18:21 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 安全公司Rapid7表示，F5产品受多个漏洞和其它安全问题影响。 Rapid7公司在8月中旬将研究成果告知F5，并在F5发布安全公告通知用户并推出工程热补丁之时，发布了相关漏洞详情。 研究人员指出，其中两个漏洞是高危漏洞并已获得CVE编号
继续阅读精品好课！《Windows内核漏洞分析与EXP编写技巧》
精品好课！《Windows内核漏洞分析与EXP编写技巧》 看雪课程 看雪学苑 2022-11-14 17:59 内核，是一个操作系统的核心。 是基于硬件的第一层软件扩充，提供操作系统的最基本的功能，是操作系统工作的基础，它负责管理系统的进程、内存、设备驱动程序、文件和网络系统，决定着系统的性能和稳定性。 作为讲师，一直以来都想找寻一个比较简单、通俗易懂的方法将很难的东西传授给学员，但是“内核“这个
继续阅读YApi命令执行漏洞安全风险通告
YApi命令执行漏洞安全风险通告 原创 QAX CERT 奇安信 CERT 2022-11-11 20:24 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 YApi 是高效、易用、功能强大的 API管理平台，旨在为开发、产品、测试人员提供更优雅的接口管理服务。可以帮助开发者轻松创建、发布、维护API。 近日，奇安信CERT监测到YApi命令执行漏
继续阅读赠书福利 | 《物联网安全漏洞挖掘实战》
赠书福利 | 《物联网安全漏洞挖掘实战》 SecIN技术平台 2022-11-11 18:01 物联网的快速发展在给我们的生活带来便利的同时，其存在的安全问题也越来越严重——频发的摄像头偷窥事件、智能门锁远程开锁事件、儿童玩具窃取个人隐私事件……物联网安全问题浮出水面。 如何应对针对物联网发起的攻击，成为业内从业人员的重点研究领域。当前，国家在行业层面指定了与物联网的发展现骨干的规范与标准，企业在
继续阅读速修！开源API接口管理平台YApi爆高危漏洞（附补丁链接）
速修！开源API接口管理平台YApi爆高危漏洞（附补丁链接） 原创 ThreatBook 微步在线 2022-11-11 16:52 经“X漏洞奖励计划”，微步获取到一个YApi高危漏洞信息，无需点击（0-click），无任何权限要求，即可利用。YApi在GitHub上获得超过25000颗星，包括阿里、腾讯、百度、美团等中国一大批互联网公司都在用，可谓影响广泛。目前微步TDP支持对该漏洞的检出。
继续阅读2022-11微软漏洞通告
2022-11微软漏洞通告 火绒安全实验室 火绒安全 2022-11-09 16:06 点击蓝字 关注我们 微软官方发布了2022年11月的安全更新。本月更新公布了68个漏洞，包含26个特权提升漏洞、16个远程执行代码漏洞、10个信息泄露漏洞、6个拒绝服务漏洞、4个安全功能绕过漏洞、3个身份假冒漏洞以及1个深度防御漏洞，其中10个漏洞级别为“Critical”（高危），56个为“Important
继续阅读【漏洞通告】微软补丁日安全通告|11月份
【漏洞通告】微软补丁日安全通告|11月份 深益研究实验室 深信服千里目安全技术中心 2022-11-09 15:38 2022年11月9日（北京时间），微软发布了安全更新，共发布了69个CVE的补丁程序，同比上月减少了14个。 在漏洞安全等级方面，存在12个标记等级为 “Critical” 的漏洞，57个漏洞被标记为 “Important/High” ；在漏洞类型方面，主要有18个远程代码执行漏洞
继续阅读Microsoft Exchange Server多个0Day漏洞安全风险通告第六次更新
Microsoft Exchange Server多个0Day漏洞安全风险通告第六次更新 原创 QAX CERT 奇安信 CERT 2022-11-09 14:35 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 近日，奇安信CERT监测到GTSC SOC 团队发布博客，披露了Microsoft Exchange Server中的两个0Day漏洞，
继续阅读Azure Cosmos DB Notebook 远程代码执行漏洞
Azure Cosmos DB Notebook 远程代码执行漏洞 M1n0s 火线Zone 2022-11-09 12:15 我们最近在 Azure Cosmos DB 上发现了一个非常重要的漏洞，其中 Cosmos DB Notebooks 中缺少身份验证检查。我们将其命名为“CosMiss”。简而言之，如果攻击者知道 Notebook 的“forwardingId”，即 Notebook W
继续阅读