标签： 漏洞

对SugarCRM零日漏洞（CVE-2023-22952）的防御

发布于 作者:

对SugarCRM零日漏洞（CVE-2023-22952）的防御 xiaohui 嘶吼专业版 2023-08-22 12:00 SugarCRM 零日身份验证绕过和远程代码执行漏洞（CVE-2023-22952）像是一个典型的漏洞。因为它是一个web应用程序，如果没有正确配置或保护，幕后的基础设施可以允许攻击者增加其影响。当攻击者了解云服务提供商使用的底层技术时，如果他们能够获得对具有正确权限的凭

继续阅读

字节跳动IoT产品漏洞奖励计划V1.0

发布于 作者:

字节跳动IoT产品漏洞奖励计划V1.0 字节跳动安全中心 2023-08-22 11:34 字节跳动IoT产品漏洞奖励计划 正式上线啦！ 🎉 欢迎IoT大佬们多多关注！ 奖励计划范围 产品类型：VR设备 型号：PICO 4、PICO 4 Pro PICO非IoT类漏洞 按照《字节跳动安全响应中心安全报告处置规则V5.0》收取 漏洞评分标准 根据漏洞的危害程度将其等级分为【严重】、【高危】、【中危】

继续阅读

WinRAR解压缩软件存在漏洞，允许黑客执行任意代码

发布于 作者:

WinRAR解压缩软件存在漏洞，允许黑客执行任意代码 看雪学苑 看雪学苑 2023-08-21 17:59 WinRAR是最为流行的Windows解压缩软件之一，据称拥有数以亿计的用户。近日，趋势科技Zero Day Initiative在该软件中发现了一个高危漏洞——打开压缩文件时会允许黑客在计算机上执行任意代码。 据了解，该漏洞（CVE-2023-40477）存在于恢复卷的处理过程中，原因是缺

继续阅读

速修复！Juniper Junos OS 漏洞使设备易受攻击

发布于 作者:

速修复！Juniper Junos OS 漏洞使设备易受攻击 THN 代码卫士 2023-08-21 13:59 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 网络硬件公司 Juniper Networks 发布“周期外”安全更新，修复位于 Junos OS的 J-Web 组件中的多个漏洞。攻击者可组合利用这些漏洞在易受攻击设备上实现远程代码执行。 这四个漏洞的CVSS评分均为 9

继续阅读

CVE-2023-40477：WinRAR远程代码执行漏洞

发布于 作者:

CVE-2023-40477：WinRAR远程代码执行漏洞 ang010ela 嘶吼专业版 2023-08-21 12:00 研究人员在WinRAR中发现一个高危远程代码执行漏洞。 Winrar是一款官方免费的rar文件压缩解压软件，支持绝大部分压缩文件格式的解压，用户量超过百万。研究人员在WinRAR中软件解压缩过程中发现一个高危漏洞，漏洞CVE编号为CVE-2023-40477，CVSS 评分

继续阅读

【安全圈】请尽快升级 WinRAR 至 6.23 及更高版本，新漏洞可远程执行任意代码

发布于 作者:

【安全圈】请尽快升级 WinRAR 至 6.23 及更高版本，新漏洞可远程执行任意代码 安全圈 2023-08-20 19:00 关键词 安全漏洞 Zero Day Initiative（ZDI）网站今天发布安全公告，表示旗下安全研究专家 goodbyeselene 在 WinRAR 软件中发现高危漏洞， 追踪编号为 CVE-2023-40477，目前该漏洞已经修复。 goodbyeselene

继续阅读

CVE-2023-28252 CLFS 提权漏洞分析

发布于 作者:

CVE-2023-28252 CLFS 提权漏洞分析 i未若 看雪学苑 2023-08-20 17:59 红雨滴团队的《CVE-2023-28252在野提权漏洞样本分析》文章详细的分析了恶意文件并定位到漏洞触发点，但由于文章的主要目的是分析恶意文件而非讲解漏洞成因，因此漏洞成因方面的内容偏少。该文的主要内容是分析clfs.sys内的函数，以了解漏洞触发过程。由于笔者刚入门，如果文章出现错误，请多多

继续阅读

【干货】HW2023POC收集

发布于 作者:

【干货】HW2023POC收集 红蓝攻防实验室 暗影安全 2023-08-20 12:58 *> *免责声明 技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。本文所提供的工具仅用于学习，禁止用于其

继续阅读

满10人，9月1日开班！系统0day安全-Windows平台漏洞挖掘

发布于 作者:

满10人，9月1日开班！系统0day安全-Windows平台漏洞挖掘 釉子 看雪学苑 2023-08-19 18:20 漏洞挖掘技能是一项非常重要的技能，它可以帮助企业发现并修复系统中的漏洞，从而提高系统的安全性，保护企业的重要数据和资产。同时，它也能帮助企业降低安全风险，避免因为漏洞被攻击而导致的数据泄露、系统瘫痪等问题。 此外，漏洞挖掘技能的学习和实践可以帮助企业员工提高安全意识，增强对安全问

继续阅读

PowerShell 多个漏洞可引发供应链攻击，微软说修了但仍可复现？！

发布于 作者:

PowerShell 多个漏洞可引发供应链攻击，微软说修了但仍可复现？！ THN 代码卫士 2023-08-18 18:20 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 PowerShell Gallery 中存在多个漏洞，可触发针对注册表用户的供应链攻击。 Aqua 安全公司的研究员 Mor Weinberger、Yakir Kadkoda和 IIay Goldman 在报告中

继续阅读

【众测挑战赛】第5期-单个漏洞最高奖励可达20万！OPPO浏览器与快应用专场

发布于 作者:

【众测挑战赛】第5期-单个漏洞最高奖励可达20万！OPPO浏览器与快应用专场 OSRC OPPO安全中心 2023-08-18 17:43 2023年 OSRC众测挑战赛 第5期 – OPPO浏览器与快应用专场 来咯~ 2023年OSRC将举办持续全年的众测挑战赛。 从3月开始，不定期举办多期众测活动。每期有独立的众测范围及挖洞奖励，白帽师傅可自由选择参加的场次 （相关奖励方案见每期活

继续阅读

有史以来最严重的七个软件漏洞

发布于 作者:

有史以来最严重的七个软件漏洞 关键基础设施安全应急响应中心 2023-08-18 17:31 所有计算机程序都依赖代码来运行，但代码缺陷可能会带来软件漏洞。其中一些漏洞造成了广泛的恐慌和可怕的后果，让网络安全界为之震惊。 那么，哪些软件漏洞是最严重最危险的呢？ 1. Log4Shell Log4Shell软件漏洞存在于Apache Log4j中，这种流行的Java日志框架被全球数千万人使用。 20

继续阅读

全球各地的工业PLC受到CODESYS V3 RCE漏洞的影响

发布于 作者:

全球各地的工业PLC受到CODESYS V3 RCE漏洞的影响 布加迪 嘶吼专业版 2023-08-18 14:09 全球工业环境中使用的数百万PLC（可编程逻辑控制器）面临CODESYS V3软件开发工具包（SDK）中15个漏洞的风险，这些漏洞为远程代码执行（RCE）和拒绝服务（DoS）攻击提供了可趁之机。 如今全球500余家设备制造商使用CODESYS V3 SDK，根据IEC 61131-3

继续阅读

【安全圈】 MOVEit软件存在安全漏洞，致普华永道泄露8万名用户信息！

发布于 作者:

【安全圈】 MOVEit软件存在安全漏洞，致普华永道泄露8万名用户信息！ 安全圈 2023-08-17 19:00 关键词 数据泄露 8月14日，波多黎各自治区最大的银行——人民银行向缅因州司法部长提交了一份客户信息泄露报告。该报告指出，由于供应商普华永道使用的MOVEit软件存在安全漏洞，导致银行82217名储户的个人信息被泄露。 目前，波多黎各人民银行已经陆续通知了数千名银行用户，向其告知数据

继续阅读

Mac安全专家揭露苹果漏洞，其恶意软件检测工具可被绕过

发布于 作者:

Mac安全专家揭露苹果漏洞，其恶意软件检测工具可被绕过 看雪学苑 看雪学苑 2023-08-17 17:59 在美国拉斯维加斯举办的Defcon黑客大会上，长期研究Mac安全的专家Patrick Wardle展示了他对苹果macOS后台任务管理机制的漏洞研究成果——其发现的漏洞可以被利用来绕过苹果最近添加的恶意软件监控工具。 我们知道，如果某款软件突兀地持久化，则意味着可能存在恶意行为。基于这一点

继续阅读

URL重定向漏洞检测插件

发布于 作者:

URL重定向漏洞检测插件 Rookie Yak Project 2023-08-17 17:30 本文作者Rookie，预计阅读时间7分钟 URL重定向漏洞 漏洞信息 URL重定向漏洞是由于目标网站未对程序跳转的URL地址及参数做合法性判断，导致应用程序直接跳转到参数中指定的的URL地址。 攻击者可通过将跳转地址修改为指向恶意站点。 比较容易出现的地方是登录、注册、访问订单信息、以及一些需要回到上

继续阅读

潜伏二十多年漏洞曝光，几乎所有VPN都中招！

发布于 作者:

潜伏二十多年漏洞曝光，几乎所有VPN都中招！ 网络安全应急技术国家工程中心 2023-08-17 14:28 近日，纽约大学和鲁汶大学的研究人员发现大多数VPN产品中都存在长达二十多年的多个漏洞，攻击者可利用这些漏洞读取用户流量、窃取用户信息，甚至攻击用户设备。 “我们的攻击所需的计算资源并不昂贵，这意味着任何具有适当网络访问权限的人都可以实施这些攻击，且不受VPN安全协议限制。换而言之，无论VP

继续阅读

微软2023财年发放了超1亿元漏洞赏金：平均每个漏洞8.5万元

发布于 作者:

微软2023财年发放了超1亿元漏洞赏金：平均每个漏洞8.5万元 安全内参编译 安全内参 2023-08-17 11:13 关注我们 带你读懂网络安全 345名白帽子，近一年共提交1180个有效漏洞报告，斩获超亿元奖金，平均每人可领取超29万元。 前情回顾·漏洞奖励计划动态 – 微软2022财年发放了1亿元漏洞赏金：平均每个漏洞8.5万元 谷歌2022年发放了8200万元漏洞赏金，平均每

继续阅读

【漏洞预警】Ivanti Avalanche多个高危漏洞漏洞威胁通告

发布于 作者:

【漏洞预警】Ivanti Avalanche多个高危漏洞漏洞威胁通告 安识科技 SecPulse安全脉搏 2023-08-17 10:58 1. 通告信息 近日， 安识科技A-Team团队 监测到Ivanti Avalanche中修复了多个安全漏洞，这些漏洞可能导致身份验证绕过、文件上传、目录遍历和远程代码执行等。 对此，安识科技建议广大用户及时升级到安全版本 ,并做好资产自查以及预防工作，以免遭

继续阅读

【安全圈】几乎所有VPN都中招！这个漏洞潜伏了二十年终于被发现

发布于 作者:

【安全圈】几乎所有VPN都中招！这个漏洞潜伏了二十年终于被发现 安全圈 2023-08-16 19:01 关键词 安全漏洞 近日，纽约大学和鲁汶大学的研究人员发现大多数VPN产品中都存在长达二十多年的多个漏洞，攻击者可利用这些漏洞读取用户流量、窃取用户信息，甚至攻击用户设备。 “我们的攻击所需的计算资源并不昂贵，这意味着任何具有适当网络访问权限的人都可以实施这些攻击，且不受VPN安全协议限制。换而

继续阅读

单个漏洞4.5万元，特殊漏洞额外奖励最高20万元！

发布于 作者:

单个漏洞4.5万元，特殊漏洞额外奖励最高20万元！ 来挖洞的ByteSRC 字节跳动安全中心 2023-08-16 17:06 好消息！好消息！ ByteSRC奖励已全新升级 漏洞奖励规则5.0上线一段时间后 获得白帽师傅们的一致好评 敲重点了！看下方！！！ 01 漏洞单价均翻4-8倍 每天都是活动日！提交漏洞无须等待！ 02 伯乐有礼-独乐乐不如众乐乐 呼朋引伴来挖洞，伯乐有礼加鸡腿 提交有效漏

继续阅读

潜伏于数据中心的威胁-电源管理软件漏洞可导致关机、恶意软件横行和隐蔽数字间谍活动

发布于 作者:

潜伏于数据中心的威胁-电源管理软件漏洞可导致关机、恶意软件横行和隐蔽数字间谍活动 网络安全应急技术国家工程中心 2023-08-16 14:58 数据中心是为现代生活各个方面提供动力的最关键组件之一，但这些大型设施也很容易受到黑客的攻击，黑客可能会通过电源管理系统的缺陷来破坏它们。在DEF CON 2023安全会议期间，网络安全公司Trellix的研究人员披露了数据中心常用应用程序中的漏洞，这些漏

继续阅读

关于企业移动办公场景下如何管控数据安全的杂谈暨近期漏洞情报共享｜总第202周

发布于 作者:

关于企业移动办公场景下如何管控数据安全的杂谈暨近期漏洞情报共享｜总第202周 群秘 君哥的体历 2023-08-16 11:01 ‍‍ 0x1本周话题TOP1 话题：有了移动办公、im办公，信息安全人员真的能管理控制企业的数据安全吗？监守自盗、违规操作，信息安全能防住吗？要为此承担责任吗？ A1：安全只能提高操作门槛，避免批量泄露机会，不能彻底防止。手机上都能看到了，回家慢慢抄也可以。 安全不是风

继续阅读