标签： 漏洞

【漏洞分析】CNVD-2022-10270分析

发布于 作者:

【漏洞分析】CNVD-2022-10270分析 原创 吾爱pojie 吾爱破解论坛 2022-09-06 15:41 作者论坛账号：Sp4ce 0x00 前序 本文主体完成于2022年2月，在内部分享传阅中被意外泄漏导致被大量转发，如今贝锐官方和CNVD均已有响应，因此决定公开分析细节。 CNVD：https://www.cnvd.org.cn/flaw/show/CNVD-2022-10270向

继续阅读

API漏洞自动化测试、安全工作流编排-星阑科技在Kcon黑客大会进行精彩分享

发布于 作者:

API漏洞自动化测试、安全工作流编排-星阑科技在Kcon黑客大会进行精彩分享 星阑科技 2022-09-06 13:54 近日，由知道创宇出品的第11届KCon 黑客大会（以下简称 KCon 2022）正式在云端拉开帷幕，为线上观众呈现一场火热的网络安全攻防技术盛宴。星阑科技安全研发工程师周阳、安全工程师吕竭以“自动化API漏洞Fuzz实战”为主题，带来了一场API漏洞挖掘实战技巧分享。星阑科技安

继续阅读

如何在当今不断变化的威胁环境中，实现漏洞管理的现代化

发布于 作者:

如何在当今不断变化的威胁环境中，实现漏洞管理的现代化 lucywang 嘶吼专业版 2022-09-06 12:05 目前许多组织继续依赖于传统的漏洞管理解决方案、风险评估，以及必须手动应用的一长串补丁和安全控制更改。统计数据表明，这是行不通的，近70%的组织仍然容易受到WannaCry攻击，超过 80% 的组织认为他们容易因配置错误而受到攻击。 这篇文章介绍了当今的威胁格局是如何演变的，它给努力

继续阅读

抖音国际版安卓APP安全漏洞可劫持用户账户

发布于 作者:

抖音国际版安卓APP安全漏洞可劫持用户账户 ang010ela 嘶吼专业版 2022-09-06 12:05 抖音国际版安卓APP安全漏洞可实现用户账户劫持。 2022年2月，微软研究人员在TikTok（抖音国际版）安卓APP中发现了一个严重安全漏洞，漏洞CVE编号为CVE-2022-28799，CVSS评分8.3分。攻击者利用该漏洞可以诱使目标点击特定的恶意链接，只需一次点击就可以劫持账户。 触

继续阅读

雷神众测漏洞周报2022.08.29-2022.09.04-4

发布于 作者:

雷神众测漏洞周报2022.08.29-2022.09.04-4 原创 雷神众测 雷神众测 2022-09-05 15:07 声明 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不

继续阅读

Google Chrome 沙箱逃逸漏洞安全风险通告

发布于 作者:

Google Chrome 沙箱逃逸漏洞安全风险通告 原创 QAX CERT 奇安信 CERT 2022-09-04 20:17 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 近日，奇安信CERT监测到Google Chrome官方紧急发布安全更新，修复了Google Chrome沙箱逃逸漏洞(CVE-2022-3075)，由于Mojo中不恰当的

继续阅读

CVSS评分机制会将企业漏洞管理引入歧途吗？

发布于 作者:

CVSS评分机制会将企业漏洞管理引入歧途吗？ 安全牛 2022-09-02 12:12 当我们在驾驶中使用道路导航系统时，首先需要一张准确的电子地图来作为参照。而在目前的IT系统漏洞管理工作中，很多企业组织和安全厂商都在将CVSS(国际通用漏洞评分系统）作为一张“参考地图”，来指导相关工作的计划与实施。网络威胁情报平台Flashpoint在其最新开展的《2022上半年网络安全漏洞威胁研究报告》（以

继续阅读

KCon 2022议题分享：自动化API漏洞挖掘

发布于 作者:

KCon 2022议题分享：自动化API漏洞挖掘 星阑科技 2022-09-02 11:47 演讲者介绍 周阳 星阑科技安全研发工程师。具有丰富的漏洞研究及红队武器化经验，历经主机漏洞扫描、应用漏洞扫描、开源软件供应链安全跟踪以及漏洞情报管理平台等多款产品建设，曾参与发现多个linux系统安全漏洞并收到工信部及其他部委致谢。目前专注于API安全研究以及自动化应用漏洞扫描方向。 吕竭 星阑科技安全服

继续阅读

谷歌推出开源软件漏洞奖励计划，提振软件供应链安全

发布于 作者:

谷歌推出开源软件漏洞奖励计划，提振软件供应链安全 Ionut Arghire 代码卫士 2022-08-31 19:26 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 专栏·供应链安全 数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。 随着软件产业的快速发展，软件供应链也越发复杂

继续阅读

【风险提示】天融信关于GitLab存在CVE-2022-2992 RCE漏洞的风险提示

发布于 作者:

【风险提示】天融信关于GitLab存在CVE-2022-2992 RCE漏洞的风险提示 原创 天融信应急响应 天融信阿尔法实验室 2022-08-31 17:37 0x00背景介绍 8月31日，天融信阿尔法实验室监测到GitLab存在RCE漏洞的相关信息，目前官方已经发布修复版本。 0x01漏洞简述 GitLab是一个利用 Ruby on Rails 开发的开源应用程序，实现一个自托管的Git项目

继续阅读

越来越多的黑客利用defi漏洞窃取加密货币

发布于 作者:

越来越多的黑客利用defi漏洞窃取加密货币 ang010ela 嘶吼专业版 2022-08-31 12:05 根据Chainalysis数据，2022年第1季度，DeFi加密货币平台频繁成为黑客攻击的目标。2021年，约有25%从DeFi平台窃取的加密货币之后返回给了受害者，而今年没有一起从DeFi窃取的资金返回的案例。 图 加密货币窃取总体情况 根据CertiK的数据，从今年以来，5大跨链平台受

继续阅读

关于畅捷通T+软件存在任意文件上传漏洞的安全公告

发布于 作者:

关于畅捷通T+软件存在任意文件上传漏洞的安全公告 原创 CNVD CNVD漏洞平台 2022-08-30 22:30 2022年8月30日，国家信息安全漏洞共享平台（CNVD）收录了畅捷通T+软件任意文件上传漏洞（CNVD-2022-60632）。未经身份认证的攻击者可利用漏洞远程上传任意文件，获取服务器控制权限。目前，已出现用户被不法分子利用该漏洞进行勒索病毒攻击的情况，厂商已发布安全更新完成修

继续阅读

漏洞风险提示 | 畅捷通T+远程代码执行漏洞

发布于 作者:

漏洞风险提示 | 畅捷通T+远程代码执行漏洞 长亭安全应急响应中心 2022-08-30 13:44 长亭漏洞风险提示        畅捷通T+远程代码执行漏洞 畅捷通T+是一款互联网管理软件，主要针对中小型工贸和商贸企业的财务业务一体化应用，融入了社交化、移动化、物联网、电子商务、互联网信息订阅等元素。适用于异地多组织、多机构对企业财务汇总的管理需求；全面支持企业对远程仓库、异地办事处的管理需求

继续阅读

DirtyCred：存在8年的Linux kernel漏洞

发布于 作者:

DirtyCred：存在8年的Linux kernel漏洞 关键基础设施安全应急响应中心 2022-08-29 14:59 研究人员发现存在8年的Linux kernel漏洞——DirtyCred。 美国西北大学研究人员在Linux kernel中发现了一个存在长达8年之久的安全漏洞——DirtyCred，CVE编号为CVE-2022-2588，攻击者利用该漏洞可以将权限提升到最高级别。 Dirt

继续阅读

安全头条 |2022年中国网络文明大会主论坛在天津举行；CNNVD通报关于苹果的多个安全漏洞情况

发布于 作者:

安全头条 |2022年中国网络文明大会主论坛在天津举行；CNNVD通报关于苹果的多个安全漏洞情况 安全牛 2022-08-29 12:13 点击蓝字·关注我们 AQNIU 上周安全热点回顾 • 2022年中国网络文明大会主论坛在天津举行 • 工信部等七部门印发《信息通信行业绿色低碳发展行动计划（2022-2025年）》 • 《公路水路关键信息基础设施安全保护管理办法》公开征求意见 • 广东省邮政管

继续阅读

原创Paper | Cisco RV340 wfapp 命令注入漏洞（CVE-2022-20827）分析

发布于 作者:

原创Paper | Cisco RV340 wfapp 命令注入漏洞（CVE-2022-20827）分析 原创 404实验室 知道创宇404实验室 2022-08-29 09:50 作者：Rivaille@知道创宇404实验室日期：2022年8月29日 漏洞原理 这个漏洞是cisco RV340 和cisco RV160 系列中存在的一个命令注入漏洞，命令注入发生在wfapp 中，漏洞原理如下。

继续阅读

Java安全学习04-反序列化漏洞-动态代理-CC1链-入门

发布于 作者:

Java安全学习04-反序列化漏洞-动态代理-CC1链-入门 原创 五流应用安全技师 NOVASEC 2022-08-27 16:32 真的 单单你的名字就够我爱一生了 –王小波 △△△点击上方“蓝字”关注我们了解更多精彩 0x00 免责声明 在学习本文技术或工具使用前，请您务必审慎阅读、充分理解各条款内容。 1、本团队分享的任何类型技术、工具文章等文章仅面向合法授权的企业安全建设行为

继续阅读

以太坊基金会设立最高100万美元的短期漏洞奖励计划

发布于 作者:

以太坊基金会设立最高100万美元的短期漏洞奖励计划 Adam Bannister 代码卫士 2022-08-26 18:32 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 以太坊基金会宣布称，因以太坊网络的共识机制将从 “工作量证明 (proof-of-work)” 转向 ”权益证明 (proof-of-stake)”，从即日（当地时间8月24日）起至9月8日期间，如研究员能找到严重漏洞，

继续阅读

GitLab修复了CE、EE版本中一个远程代码执行漏洞

发布于 作者:

GitLab修复了CE、EE版本中一个远程代码执行漏洞 网络安全应急技术国家工程中心 2022-08-26 15:01 近期，Security Affairs 网站披露，DevOps 平台 GitLab 修复了其社区版(CE)和企业版(EE)中出现的一个关键远程代码执行漏洞，该漏洞被追踪为 CVE-2022-2884(CVSS 评分 9.9)。 据悉，攻击者经过“身份验证”后，可以通过 GitHu

继续阅读

GitLab存在严重漏洞，允许通过Github导入实现远程命令执行

发布于 作者:

GitLab存在严重漏洞，允许通过Github导入实现远程命令执行 看雪学苑 看雪学苑 2022-08-25 18:02 本周一，GitLab发布了其社区版（CE）和企业版（EE）的15.3.1、15.2.3、15.1.5版本，其中包含重要的安全修复程序。 在公告中，GitLab强烈建议用户立即将其GitLab升级到这些版本之一，因GitLab CE/EE中存在一个高危漏洞。 GitLab是一个使

继续阅读

微软公开披露关键 ChromeOS 漏洞的细节

发布于 作者:

微软公开披露关键 ChromeOS 漏洞的细节 网络安全应急技术国家工程中心 2022-08-25 15:43 微软分享了一个关键的 ChromeOS 漏洞的技术细节，该漏洞可被利用来触发 DoS 条件或远程代码执行。被跟踪为 CVE-2022-2587(CVSS 得分为 9.8)的关键 ChromeOS 漏洞的详细信息。该漏洞是 OS Audio Server 中的一个越界写入问题，可被利用来触

继续阅读

推特前安全主管控诉存在“令人震惊”的安全漏洞

发布于 作者:

推特前安全主管控诉存在“令人震惊”的安全漏洞 关键基础设施安全应急响应中心 2022-08-25 15:43 据《华盛顿邮报》 8月23日报道，推特前安全主管Peiter Zatko向美国证券交易委员会(SEC)、联邦贸易委员会(FTC)和司法部提交了一封举报文件。在文件中，Zatko控诉推特在安全实践中存在“令人震惊的”漏洞，在安全、隐私和内容审核方面存在“严重缺陷”。他还认为，推特高管在联邦监

继续阅读

超过8万台海康威视摄像头受漏洞影响

发布于 作者:

超过8万台海康威视摄像头受漏洞影响 网络安全应急技术国家工程中心 2022-08-25 15:43 概述 安全研究人员发现有超过8万台海康威视摄像头受到CVE-2021-36260漏洞的影响。CVE-2021-36260漏洞是一个命令注入漏洞，攻击者利用该漏洞可以发送伪造的消息给有漏洞的web服务器以实现命令注入。海康威视已于2021年9月通过固件更新修复了该漏洞。 但CYFIRMA研究人员发现分

继续阅读

2022上半年XIoT安全态势-XIoT环境下信息物理系统的漏洞披露和补救措施

发布于 作者:

2022上半年XIoT安全态势-XIoT环境下信息物理系统的漏洞披露和补救措施 关键基础设施安全应急响应中心 2022-08-25 15:43 工业网络安全公司Claroty当地时间24日透露，物联网漏洞、供应商自我披露以及完全或部分修复的固件漏洞有所增加。该公司分析了今年前六个月影响扩展物联网(XIoT)环境的漏洞披露和补救措施。它指出，要评估这些关键部门的风险，决策者必须对脆弱性环境有一个完整

继续阅读

GitLab远程代码执行漏洞 (CVE-2022-2884) 安全风险通告

发布于 作者:

GitLab远程代码执行漏洞 (CVE-2022-2884) 安全风险通告 安全内参 2022-08-24 19:07 近日，奇安信CERT监测到GitLab官方发布GitLab远程代码执行漏洞(CVE-2022-2884)通告，经过身份认证的远程攻击者可通过GitHub导入功能实现远程代码执行。鉴于此漏洞影响范围较大，建议客户尽快做好自查及防护。 漏洞名称 GitLab 远程代码执行漏洞 公开时

继续阅读

2022最危险的五个API安全漏洞

发布于 作者:

2022最危险的五个API安全漏洞 关键基础设施安全应急响应中心 2022-08-24 14:56 API安全漏洞仍然是企业的眼中钉，访问控制漏洞几乎成了高危漏洞的代名词。 API作为系统功能之间的关键通信方法，在网络服务中扮演着关键作用，已经成为网络攻击的热门目标。 根据API安全公司Wallarm最新发布的“2022年一季度API漏洞”报告，第一季度共发现并报告了48个与API相关的漏洞(下图

继续阅读

黑客利用零日漏洞窃取General Bytes ATM 机上的加密货币

发布于 作者:

黑客利用零日漏洞窃取General Bytes ATM 机上的加密货币 关键基础设施安全应急响应中心 2022-08-24 14:56 The Hacker News 网站披露，比特币 ATM 机制造商 General Bytes 证实其遭到了网络攻击。攻击者利用服务器中的零日漏洞，从用户处掠夺加密货币。 攻击事件发生不久后，General Bytes 在一份公告中表示，自 2020-12-08

继续阅读