标签： 漏洞

1500万公开服务易受 CISA 已知已遭利用漏洞攻击

发布于 作者:

1500万公开服务易受 CISA 已知已遭利用漏洞攻击 Bill Toulas 代码卫士 2023-04-03 16:53 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Rezilion 公司发布报告称，超过1500万家公开服务至少易受CISA 已知已利用漏洞 (KEV) 分类清单（共896个）中一种漏洞的影响。 该公司开展大规模研究，识别暴露到攻击中的易受攻击系统的情况。这一发现结果令人

继续阅读

Windows漏洞十年未修复，3CX供应链攻击影响全球60多万家企业

发布于 作者:

Windows漏洞十年未修复，3CX供应链攻击影响全球60多万家企业 Lawrence Abrams 代码卫士 2023-04-03 16:53 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 已存在十年之久的Windows 漏洞 (CVE-2013-3900) 遭利用，导致可执行文件看似获得合法签名。这么多年来，微软发布的修复方案仍然是“opt-in”状态。更糟糕的是，升级至 Window

继续阅读

雷神众测漏洞周报2023.03.27-2023.04.02

发布于 作者:

雷神众测漏洞周报2023.03.27-2023.04.02 原创 雷神众测 雷神众测 2023-04-03 16:22 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改

继续阅读

【技术分享】shiro550漏洞复现与研究

发布于 作者:

【技术分享】shiro550漏洞复现与研究 pony686 安全客 2023-04-03 09:59 前言：就像雨总会停，雾总会散，同样地没有谁会一直失败。 1 漏洞描述 1.shiro概述 Apache Shiro是一个强大易用的Java安全框架，提供了认证、授权、加密和会话管理等功能。Shiro框架直观、易用，同时也能提供健壮的安全性。 2.漏洞原理 Apache Shiro框架提供了记住密码

继续阅读

【安全圈】WLAN协议曝重大设计漏洞，可劫持web流量

发布于 作者:

【安全圈】WLAN协议曝重大设计漏洞，可劫持web流量 安全圈 2023-04-02 19:01 关键词 漏洞 东北大学的网络安全研究人员在IEEE 802.11无线局域网协议标准中发现了一个设计漏洞，攻击者可欺骗接入点以明文形式泄漏网络帧。 WLAN帧是由标头、数据有效负载和尾部组成的数据容器，其中包括源和目标MAC地址、控制和管理数据等信息。这些帧按队列排序受控传输，以避免碰撞冲突，并通过监视

继续阅读

未修复漏洞可导致水泵控制器遭远程攻击

发布于 作者:

未修复漏洞可导致水泵控制器遭远程攻击 Eduard Kovacs 代码卫士 2023-03-31 18:37 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 ProPump and Controls 公司制造的一款水泵系统受多个漏洞影响，可导致黑客引发重大问题。 受影响产品是由该公司制造的 Osprey Pump Controller。该公司位于美国，专注于为大规模应用制造水泵系统和自动化控

继续阅读

通过配置不当的微软app劫持Bing 搜索结果，获得4万美元漏洞奖励

发布于 作者:

通过配置不当的微软app劫持Bing 搜索结果，获得4万美元漏洞奖励 Bill Toulas 代码卫士 2023-03-31 18:37 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 一款配置不当的微软应用可使任何人登录并实时修改 Bing.com 搜索结果以及注入 XSS 攻击，攻陷 Office 365 用户的账号。 Wiz公司的研究人员发现了该问题并将其描述为“BingBang”。该

继续阅读

Realtek Sdk CVE-2021-35392漏洞分析

发布于 作者:

Realtek Sdk CVE-2021-35392漏洞分析 原创 尖峰实验室 VLab安全实验室 2023-03-31 18:08 VLab-实验室 研究人员公开披露了Realtek公司的SDK中存在4个安全漏洞，攻击者可以未经身份验证远程利用这些漏洞，注入任意命令并以最高权限执行任意代码 或导致 设备崩溃。这些漏洞影响了至少65个不同供应商生产的近200种产品，并作为供应链漏洞，影响了数十万台

继续阅读

WLAN协议曝重大设计漏洞，可劫持web流量

发布于 作者:

WLAN协议曝重大设计漏洞，可劫持web流量 网络安全应急技术国家工程中心 2023-03-31 15:19 东北大学的网络安全研究人员在IEEE 802.11无线局域网协议标准中发现了一个设计漏洞，攻击者可欺骗接入点以明文形式泄漏网络帧。 WLAN帧是由标头、数据有效负载和尾部组成的数据容器，其中包括源和目标MAC地址、控制和管理数据等信息。这些帧按队列排序受控传输，以避免碰撞冲突，并通过监视接

继续阅读

谷歌：黑客利用零日漏洞监控 iPhone、Android 用户

发布于 作者:

谷歌：黑客利用零日漏洞监控 iPhone、Android 用户 网络安全应急技术国家工程中心 2023-03-31 15:19 近日，谷歌的威胁分析小组 (TAG) 发现了两个具有高度针对性的移动间谍软件活动，它们使用零日漏洞针对 iPhone 和 Android 智能手机用户部署监控软件。 Google TAG 发现了两个针对移动设备上的 Android、iOS 和 Chrome 用户的“不同的

继续阅读

3CXDesktop App 代码执行漏洞安全风险通告

发布于 作者:

3CXDesktop App 代码执行漏洞安全风险通告 奇安信 CERT 2023-03-31 14:08 奇安信CERT 致力于 第一时间 为企业级用户提供 权威 漏洞情报和 有效 解决方案。 安全通告 3CXDesktop App 是一款跨平台桌面电话应用程序，适用于Linux、MacOS 和 Windows。 3CXDesktop 允许用户通过聊天、消息、视频和语音进行交互。 3CX在全球1

继续阅读

紧急！问脉开源工具支持扫描 MinIO 敏感信息泄露漏洞

发布于 作者:

紧急！问脉开源工具支持扫描 MinIO 敏感信息泄露漏洞 CT Stack 安全社区 2023-03-31 12:45 「问脉独家」支持扫描 MinIO 敏感信息泄露漏洞（CVE-2023-28432） 漏洞风险 漏洞描述：在集群模式的配置下，MinIO 部分接口由于信息处理不当返回了所有的环境变量信息（包括 MINIO_SECRET_KEY 和 MINIO_ROOT_PASSWORD），从而导致

继续阅读

WiFi协议曝出漏洞，攻击者可以轻松劫持网络流量

发布于 作者:

WiFi协议曝出漏洞，攻击者可以轻松劫持网络流量 布加迪 嘶吼专业版 2023-03-31 12:01 网络安全研究人员近日在IEEE 802.11 WiFi协议标准的设计中发现了一个基本的安全漏洞，这个漏洞让攻击者可以诱骗接入点泄露明文格式的网络帧。 WiFi网络帧如同数据容器，由报头、数据载荷和报尾组成，含有源和目的地MAC地址、控制和管理数据之类的信息。 这些帧在队列中排序，在受控制的材料中

继续阅读

【恶意文件】Magniber勒索软件借助微软的漏洞实施攻击

发布于 作者:

【恶意文件】Magniber勒索软件借助微软的漏洞实施攻击 深盾研究实验室 深信服千里目安全技术中心 2023-03-30 19:33 恶意家族名称： Magniber 威胁类型： 勒索软件 简单描述： Magniber勒索家族的前身是Cerber，至少从2021年10月已经开始活跃，最初主要针对韩国，从今年年初开始，该组织日益活跃，攻击范围开始遍布全球，包括中国大陆、中国台湾、中国香港、马来西亚

继续阅读

QNAP 提醒用户修复 NAS 设备中的高危 Linux Sudo 漏洞

发布于 作者:

QNAP 提醒用户修复 NAS 设备中的高危 Linux Sudo 漏洞 Sergiu Gatlan 代码卫士 2023-03-30 18:16 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 QNAP 公司提醒客户修复位于 NAS 设备中的一个高危 Sudo 提权漏洞 (CVE-2023-22809)。 该漏洞是由 Synacktiv 安全研究员发现的，被描述为“sudo 用户在使用 su

继续阅读

商业监控软件厂商利用多个0day 攻击安卓和 iOS 设备

发布于 作者:

商业监控软件厂商利用多个0day 攻击安卓和 iOS 设备 Ravie Lakshmanan 代码卫士 2023-03-30 18:16 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 谷歌威胁分析团队 (TAG) 披露称，商业监控软件厂商利用去年修复的多个0day 漏洞攻击安卓和 iOS 设备。 研究人员表示，这两起攻击活动影响范围有限且针对性强，利用补丁发布和部署之间的时间差发动攻击。报

继续阅读

全新Pwn系列课程上线！解锁二进制漏洞挖掘技巧

发布于 作者:

全新Pwn系列课程上线！解锁二进制漏洞挖掘技巧 看雪课程 看雪学苑 2023-03-30 18:02 你是否曾在参加CTF比赛时被二进制漏洞难倒？ 你是否曾在挖掘二进制漏洞时手足无措？ 现在，《二进制系列之Pwn篇》课程全新上线，入门到进阶带你全方位学习，掌握二进制漏洞挖掘的技能。 无论你是初学者还是已经有一定基础的学生，该课程都能够帮助你提升二进制漏洞挖掘和CTF比赛能力，让你在比赛中游刃有余，

继续阅读

商业间谍软件猖獗！去年底至少使用5个零日漏洞，安卓苹果设备通杀

发布于 作者:

商业间谍软件猖獗！去年底至少使用5个零日漏洞，安卓苹果设备通杀 安全内参编译 安全内参 2023-03-30 15:01 关注我们 带你读懂网络安全 图：GERALT/PIXABAY 商业间谍软件仍在蓬勃发展。 前情回顾·间谍软件挑战国家安全 – 2021年至少7个零日漏洞被商业化！间谍软件行业正蓬勃发展 多名欧盟高官遭以色列间谍软件监控，国际政要安全风险凸显 “飞马”只是冰山一角，5

继续阅读

【漏洞预警】Apache Fineract SQL注入漏洞

发布于 作者:

【漏洞预警】Apache Fineract SQL注入漏洞 安识科技 SecPulse安全脉搏 2023-03-30 11:58 1. 通告信息 近日， 安识科技 A-Team团队 监测到一则 Apache Fineract SQL注入漏洞的信息，漏洞编号：CVE-2023-25196，漏洞威胁等级：高危。 Apache Fineract是用于金融服务的开源软件，旨在实现金融机构强大、可扩展和安全

继续阅读

WiFi 协议漏洞可用于劫持网络流量

发布于 作者:

WiFi 协议漏洞可用于劫持网络流量 Bill Toulas 代码卫士 2023-03-29 18:06 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 网络安全公司的研究员在 IEEE 802.11 WiFi 协议标准中发现一个根本性漏洞，可导致攻击者诱骗访问点以明文形式泄漏网络框架。 WiFi 框架是由表头、数据payload 和封装尾组成的数据容器，包括的信息有源和目的MAC地址、控制

继续阅读

多家大企业受GoAnywhere 0day 漏洞攻击影响

发布于 作者:

多家大企业受GoAnywhere 0day 漏洞攻击影响 Ionut Arghire 代码卫士 2023-03-28 19:05 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 越来越多的企业开始证实遭 Fortra 公司 GoAnywhere 文件转移管理 (MFT) 软件0day 漏洞 (CVE-2023-0669) 的攻击。 该漏洞在今年2月初被公开披露，一周后该漏洞的利用和补丁也发布

继续阅读

苹果修复老旧设备中的已遭利用 WebKit 0day

发布于 作者:

苹果修复老旧设备中的已遭利用 WebKit 0day Sergiu Gatlan 代码卫士 2023-03-28 19:05 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 苹果发布安全更新，向后兼容上周发布的补丁，修复老旧 iPhone 和 iPad 中的已遭利用的0day 漏洞CVE-2023-23529。 该漏洞是位于 WebKit 中的类型混淆漏洞，苹果已于今年2月13日在更新版本

继续阅读

JNDI注入- JNDIExploit 改写内存马适配冰蝎3.0以及魔改

发布于 作者:

JNDI注入- JNDIExploit 改写内存马适配冰蝎3.0以及魔改 taamr 火线Zone 2023-03-28 18:04 序 最近复现学习Fastjson反序列化漏洞利用的时候，用JNDIExploit注入内存马发现连接不上，得魔改冰蝎，再仔细搜索了几篇文档发现新版的冰蝎已经不用魔改也可以连接了，但是目前开源的JNDIExploit的内存马逻辑得改一改。 后面一想，魔改冰蝎还不如改一改

继续阅读

Ronin 黑客计中计，你听说过扭曲攻击漏洞吗？

发布于 作者:

Ronin 黑客计中计，你听说过扭曲攻击漏洞吗？ 原创 慢雾安全团队 慢雾科技 2023-03-28 17:59 By: Johan 据慢雾安全团队情报，2023 年 3 月 13 日，Ethereum 链上的借贷项目 Euler Finance 遭到攻击，攻击者获利约 2 亿美元。 黑客在攻击完 Euler 后，为了混淆视听逃避追查，转了 100 ETH 给盗取了 Ronin 6.25 亿多美金

继续阅读