Linux NetFilter内核新漏洞可导致攻击者获得 root 权限
Linux NetFilter内核新漏洞可导致攻击者获得 root 权限 Bill Toulas 代码卫士 2023-05-10 15:51 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Linux NetFilter 内核中出现一个新漏洞 (CVE-2023-32233)，可导致低权限本地用户提权至 root 级别，从而完全控制系统。该漏洞的严重程度尚未得到评估。 该漏洞产生的原因在于，
继续阅读标签： 复现
【安全更新】微软5月安全更新多个产品高危漏洞通告
【安全更新】微软5月安全更新多个产品高危漏洞通告 原创 NS-CERT 绿盟科技CERT 2023-05-10 14:35 通告编号:NS-2023-0022 2023-05-10 TAG： 安全更新、Win32k、Windows OLE、Microsoft SharePoint Server、Windows Pragmatic General Multicast （PGM） 漏洞危害： 攻击者利
继续阅读【安全头条】 Linux被曝内核漏洞，攻击者可借此完全控制系统
【安全头条】 Linux被曝内核漏洞，攻击者可借此完全控制系统 安全客 2023-05-10 11:52 第506期 你好呀~欢迎来到“安全头条”！如果你是第一次光顾，可以先阅读站内公告了解我们哦。欢迎各位新老顾客前来拜访，在文章底部时常交流、疯狂讨论，都是小安欢迎哒~如果对本小站的内容还有更多建议，也欢迎底部提出建议哦！ Linux被曝内核漏洞，攻击者可借此完全控制系统 9日，Linux系统Ne
继续阅读微软2023年5月补丁日多个产品安全漏洞风险通告
微软2023年5月补丁日多个产品安全漏洞风险通告 奇安信 CERT 2023-05-10 10:19 奇安信CERT 致力于 第一时间为企业级用户提供安 权威 漏洞情报和 有效 解决方案。 风险通告 本月，微软共发布了40个漏洞的补丁程序，修复了Windows Kernel、Microsoft Office、Visual Studio Code等产品中的漏洞，其中包含2个已被用于在野攻击的0 Da
继续阅读云安全案例11: 溯源分析黑客如何利用Oracle云基础设施Attachme漏洞无需授权访问和篡改任意租户的存储卷
云安全案例11: 溯源分析黑客如何利用Oracle云基础设施Attachme漏洞无需授权访问和篡改任意租户的存储卷 原创 debugeeker 奶牛安全 2023-05-10 08:05 2022年6 月，wiz 工程师发现并报告了Oracle云基础设施(OCI) 中的一个主要云隔离漏洞#AttachMe，促使 Oracle 在数小时内修补该漏洞，而无需客户采取行动。 – 潜在影响：在
继续阅读CVE-2023-2478：GitLab代码执行漏洞通告
CVE-2023-2478：GitLab代码执行漏洞通告 原创 360CERT 三六零CERT 2023-05-09 18:23 赶紧点击上方话题进行订阅吧！ 报告编号：CERT-R-2023-144 报告来源：360CERT 报告作者：360CERT 更新日期：2023-05-08 1 漏洞简述 2023年05月08日，360CERT监测发现GitLab发布了CE/EE的风险通告，漏洞编号为CV
继续阅读深度解析DARPA网络安全漏洞发现计划HARDEN
深度解析DARPA网络安全漏洞发现计划HARDEN 网络安全应急技术国家工程中心 2023-05-09 14:28 2023年2月，英特尔（Inter）公司官方宣布称，英特尔和加州大学圣地亚哥分校（UC San Diego）已被选中加入美国国防高级研究计划局（DARPA）的“强化开发工具链防御紧急执行引擎”，（Hardening Development Toolchains Against Eme
继续阅读乔治梅森大学｜隐匿在commit中的安全漏洞（DSN 2019）
乔治梅森大学｜隐匿在commit中的安全漏洞（DSN 2019） 原创 童话 安全学术圈 2023-05-08 23:31 原文作者：Xinda Wang, Kun Sun, Archer Batcheller, Sushil Jajodia原文连接：https://csis.gmu.edu/ksun/publications/secretpatch-dsn19.pdf发表会议：2019 49th
继续阅读阿里云数据库漏洞分析与思考
阿里云数据库漏洞分析与思考 黑伞安全 2023-05-07 19:29 一. 概述 近日，云安全公司Wiz披露了阿里云数据库服务ApsaraDB RDS for PostgreSQL和AnalyticDB for PostgreSQL的一连串严重漏洞。这些漏洞被Wiz命名为“BrokenSesame”，允许攻击者突破租户的隔离保护机制，从而未授权访问其他阿里云客户的PostgreSQL数据库，并
继续阅读【漏洞通告】Linux OverlayFS权限提升漏洞（CVE-2023-0386）
【漏洞通告】Linux OverlayFS权限提升漏洞（CVE-2023-0386） 原创 NS-CERT 绿盟科技CERT 2023-05-06 17:17 通告编号:NS-2023-0021 2023-05-06 TAG： Linux、OverlayFS、权限提升、CVE-2023-0386 漏洞危害： 攻击者利用漏洞可实现权限提升 版本： 1.0 1 漏洞概述 近日，绿盟科技CERT监测发现
继续阅读CVE-2023-0386：Linux Kernel 权限提升漏洞通告
CVE-2023-0386：Linux Kernel 权限提升漏洞通告 原创 360CERT 三六零CERT 2023-05-06 17:14 赶紧点击上方话题进行订阅吧！ 报告编号：CERT-R-2023-139 报告来源：360CERT 报告作者：360CERT 更新日期：2023-05-06 1 漏洞简述 2023年05月06日，360CERT监测发现Linux发布了Kernel的风险通告，
继续阅读OpenAI 账户验证流程存在漏洞，可导致用户无限薅羊毛
OpenAI 账户验证流程存在漏洞，可导致用户无限薅羊毛 Ionut Arghire 代码卫士 2023-05-06 16:43 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Checkmarx 公司指出，OpenAI 的账户验证流程中存在一个漏洞，可导致任何人使用同一个电话号码注册新账户后，获得无限制的服务额度。 作为人工智能公司，OpenAI 已在几个月来成为媒体焦点，而 ChatGP
继续阅读【已复现】Linux Kernel 权限提升漏洞安全风险通告
【已复现】Linux Kernel 权限提升漏洞安全风险通告 原创 QAX CERT 奇安信 CERT 2023-05-06 15:40 奇安信CERT 致力于 第一时间 为企业级用户提供 权威 漏洞情报和 有效 解决方案。 （注：奇安信CERT的漏洞深度分析报告包含此漏洞的POC及技术细节，订阅方式见文末。） 安全通告 近日，奇安信CERT监测到Linux Kernel 权限提升漏洞(CVE-2
继续阅读针对ChatGPT的隐私提取攻击：多步骤越狱漏洞
针对ChatGPT的隐私提取攻击：多步骤越狱漏洞 网络安全应急技术国家工程中心 2023-05-06 14:48 摘要 随着大型语言模型（LLM）的快速发展，许多下游的 NLP 任务都可以在友善的提示（即Prompt，是用户或程序向LLM AI 提供的输入或查询）下得到很好的解决。尽管模型开发人员和研究人员在对话安全性方面做了大量工作以避免从语言模型生成有害文字，但要引导 AI 生成内容 (AIG
继续阅读【安全圈】OpenAI 曝新漏洞，允许新用户“无限试用”
【安全圈】OpenAI 曝新漏洞，允许新用户“无限试用” 安全圈 2023-05-05 18:48 关键词 漏洞 通过该漏洞，用户可以免费获得无限的信用额度来测试不同的OpenAI项目，包括ChatGPT。 不久前，OpenAI 为了让用户尝试其他开放的人工智能项目，特意为新用户提供了免费的信用积分额度（约7美元）。随后网络安全公司Checkmarx表示，目前发现了一个漏洞，允许用户滥用试用，并在
继续阅读研究员在微软 Azure API 管理服务中发现3个漏洞
研究员在微软 Azure API 管理服务中发现3个漏洞 Ravie Lakshmanan 代码卫士 2023-05-05 17:32 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 微软 Azure API 管理服务中存在三个新漏洞，可用于获得敏感信息或后端服务的访问权限。 以色列安全公司 Ermetic 提到，在这三个漏洞中，两个是服务器端伪造 (SSRF) 漏洞，一个是位于 API 管
继续阅读热门的开源互联网路由协议软件中含多个漏洞，存在供应链风险
热门的开源互联网路由协议软件中含多个漏洞，存在供应链风险 Ravie Lakshmanan 代码卫士 2023-05-04 17:35 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 网络安全研究员在 BGP 的一个软件实现中发现了三个漏洞，可被用于在易受攻击的 BGP 对等体上实现拒绝服务条件。 这三个漏洞位于适用于 Linux 和 Unix 平台的热门开源互联网路由协议套件 FRRout
继续阅读BrokenSesame 阿里云PostgreSQL 漏洞思考 –详情见原文
BrokenSesame 阿里云PostgreSQL 漏洞思考 –详情见原文 Wiz Research 黑伞安全 2023-05-04 08:24 原文链接 ：https://www.wiz.io/blog/brokensesame-accidental-write-permissions-to-private-registry-allowed-potential-r#tldr 
继续阅读PaperCut MF SetupCompleted 远程命令执行漏洞 CVE-2023-27350
PaperCut MF SetupCompleted 远程命令执行漏洞 CVE-2023-27350 原创 PeiQi文库 PeiQi文库 2023-05-02 13:50 漏洞描述 PaperCut MF NG 中 SetupCompleted接口中存在未授权访问漏洞，攻击者通过漏洞可以获取后台管理员权限，通过配置脚本JAVA扩展类，可以达到远程命令执行控制服务器 漏洞影响 PaperCut M
继续阅读VulRepair: 基于T5的自动软件漏洞修复
VulRepair: 基于T5的自动软件漏洞修复 原创 senu11 安全学术圈 2023-04-28 18:28 原文标题：VulRepair: A T5-Based Automated Software Vulnerability Repair原文作者：Michael Fu, Chakkrit Tantithamthavorn, Trung Le, Van Nguyen, Dinh Phung
继续阅读【已复现】Windows HTTP.sys 权限提升漏洞(CVE-2023-23410)安全风险通告
【已复现】Windows HTTP.sys 权限提升漏洞(CVE-2023-23410)安全风险通告 原创 QAX CERT 奇安信 CERT 2023-04-27 19:29 奇安信CERT 致力于 第一时间 为企业级用户提供 权威 漏洞情报和 有效 解决方案。 （注：奇安信CERT的漏洞深度分析报告包含此漏洞的POC及技术细节，订阅方式见文末。） 安全通告 Microsoft Windows
继续阅读思科服务器管理工具中存在 XSS 0day
思科服务器管理工具中存在 XSS 0day Sergiu Gatlan 代码卫士 2023-04-27 17:51 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 今天，思科披露称其 PCD 软件中存在一个 0day 漏洞（CVE-2023-20060），可用于XSS 攻击活动中。 该服务器管理工具可使管理员在服务器上执行缓解或升级任务。该漏洞位于思科 PCD 14 的web 管理接口中，是
继续阅读CVE-2023-20869/20870：VMware Workstation/Fusion 漏洞通告
CVE-2023-20869/20870：VMware Workstation/Fusion 漏洞通告 原创 360CERT 三六零CERT 2023-04-27 15:53 赶紧点击上方话题进行订阅吧！ 报告编号：CERT-R-2023-129 报告来源：360CERT 报告作者：360CERT 更新日期：2023-04-27 1 漏洞简述 2023年04月27日，360CERT监测发现VMwa
继续阅读CVE-2023-27524：Apache Superset身份认证绕过漏洞通告
CVE-2023-27524：Apache Superset身份认证绕过漏洞通告 原创 360CERT 三六零CERT 2023-04-26 18:29 赶紧点击上方话题进行订阅吧！ 报告编号：CERT-R-2023-126 报告来源：360CERT 报告作者：360CERT 更新日期：2023-04-26 1 漏洞简述 2023年04月26日，360CERT监测发现Apache发布了Supers
继续阅读Apache Superset 会话验证漏洞可导致攻击者访问未授权资源
Apache Superset 会话验证漏洞可导致攻击者访问未授权资源 Thomas Claburn 代码卫士 2023-04-26 17:43 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 今年年初早些时候，Apache Superset 中设置了不安全的默认配置，攻击者可借此登录并接管该数据可视化应用、窃取数据并执行恶意代码。该漏洞编号是CVE-2023-27524。 Apache S
继续阅读【已复现】Apache Superset身份认证绕过漏洞安全风险通告
【已复现】Apache Superset身份认证绕过漏洞安全风险通告 原创 QAX CERT 奇安信 CERT 2023-04-26 16:52 奇安信CERT 致力于 第一时间 为企业级用户提供 权威 漏洞情报和 有效 解决方案。 （注：奇安信CERT的漏洞深度分析报告包含此漏洞的POC及技术细节，订阅方式见文末。） 安全通告 A pache Superset是 一种用于数据探索和数据可视化的开
继续阅读Netty和Tomcat环境下给Spring Cloud Function Spel RCE注入冰蝎内存马
Netty和Tomcat环境下给Spring Cloud Function Spel RCE注入冰蝎内存马 黑伞安全 2023-04-25 18:34 在Spring Cloud Function SpEL RCE细节公布后，分析的文章很多，这里不再对漏洞进行分析，一直以来的习惯就是对漏洞进行包装，Java中能RCE的漏洞尽量都注入冰蝎/哥斯拉/蚁剑内存马，而不是满足于简单的回显或一句话内存马，这
继续阅读CVE复现漏洞精讲-从基础到入门：现在报名立得20元优惠券
CVE复现漏洞精讲-从基础到入门：现在报名立得20元优惠券 看雪课程 看雪学苑 2023-04-25 18:06 想要成为一名优秀的漏洞挖掘工程师吗？ 想要掌握CVE复现能力，提升自己的实战能力吗？ 想要深入了解IoT、v8、Windows等多类型漏洞挖掘基础知识和实操吗？ 《CVE复现漏洞精讲-从基础到入门》带你走进漏洞挖掘的世界。 如果你想要提升自己的漏洞挖掘能力，买它！ 课程简介 本课程属于
继续阅读雷神众测漏洞周报2023.04.17-2023.04.23
雷神众测漏洞周报2023.04.17-2023.04.23 原创 雷神众测 雷神众测 2023-04-25 15:01 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改
继续阅读【已复现】Strapi 多个高危漏洞安全风险通告第二次更新
【已复现】Strapi 多个高危漏洞安全风险通告第二次更新 原创 QAX CERT 奇安信 CERT 2023-04-24 20:08 奇安信CERT 致力于 第一时间 为企业级用户提供 权威 漏洞情报和 有效 解决方案。 （注：奇安信CERT的漏洞深度分析报告包含此漏洞的POC及技术细节，订阅方式见文末。） 安全通告 Strapi 是下一代 headless CMS、开源、javascript，
继续阅读