上周关注度较高的产品安全漏洞(20240819-20240825)
上周关注度较高的产品安全漏洞(20240819-20240825) 国家互联网应急中心CNCERT 2024-08-27 14:41 一、境外厂商产品漏洞 1、Google Android权限提升漏洞（CNVD-2024-36096）**** Google Android是美国谷歌（Google）公司的一套以Linux为基础的开源操作系统。Google Android存在权限提升漏洞，攻击者可利用
继续阅读标签： 行业
Operation DevilTiger：APT-Q-12 使用 0day 漏洞技战术披露
Operation DevilTiger：APT-Q-12 使用 0day 漏洞技战术披露 红雨滴团队 奇安信威胁情报中心 2024-08-26 09:15 概述 APT-Q-12，中文名伪猎者，具有东北亚背景，奇安信威胁情报中心最早于 2021 年发布相关技术报告[1]，主要目标包含中国、朝鲜、日本、韩国等东亚地区的国家和实体。实际上该攻击集合最早由境外友商 blackberry 于 2017
继续阅读再看云虚拟化安全.QEMU通用漏洞挖掘新思路
再看云虚拟化安全.QEMU通用漏洞挖掘新思路 GRCC IoVSecurity 2024-08-23 20:27 点击上方 蓝色字体，关注我们 / 技术交流群/ 添加微信15021948198，申请会员下载ppt & 加入汽车网络信息安全、测试评价、汽车电子、自动驾驶技术交流群、招聘求职群、 投融资 合作群… 相关文章 基于模糊测试的云原生软件供应链安全保障 基于云的车队安全监
继续阅读在野漏洞的应急响应流程
在野漏洞的应急响应流程 原创 裴伟伟 洞源实验室 2024-08-23 20:03 许多时候，对于负责安全工作又不太擅长安全漏洞技术的人员而言，如何应对突发漏洞是工作中主要的难点，这里的突发漏洞指的是两类：一类是通过新闻、咨询推送，被社会舆论所有关注的CVE漏洞，比如前段时间所谓的核弹级别Windows Server漏洞，一类是没有引起足够社会关注，但又在安全行业流传的0-day漏洞，但也仅限于传
继续阅读模糊测试平台SFUZZ V3.4惊喜升级 | 测试协议数突破200+，漏洞挖掘更全面
模糊测试平台SFUZZ V3.4惊喜升级 | 测试协议数突破200+，漏洞挖掘更全面 原创 小安君 开源网安 2024-08-23 17:52 近日，开源网安模糊测试工具SFUZZ迎来V3.4版本的更新， 加强了协议覆盖范围以及协议模糊测试监视器能力，可测试协议数量超过200+ ，并提升了测试管理精度，让SFUZZ持续高水准地帮助客户挖掘未知漏洞，更好地为车联网、工业互联网、通信等行业客户提升产品
继续阅读漏洞预警 点企来 客服系统 getwaitnum sql注入漏洞
漏洞预警 点企来 客服系统 getwaitnum sql注入漏洞 by 融云安全-sm 融云攻防实验室 2024-08-23 17:49 0x01 阅读须知 融云安全的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使
继续阅读钓客服、打漏洞……钓鱼攻击或进入最后的疯狂
钓客服、打漏洞……钓鱼攻击或进入最后的疯狂 原创 ThreatBook 微步在线 2024-08-23 14:46 随着外围打点变得越来越困难，社工钓鱼的比例变的越来越高。 微步对近一个月的大量钓鱼攻击和数千种木马样本做了数据分析，呈现出以下特点: 社工欺骗篇 钓鱼主题：通知、简历依旧领先，但针对性有所增强 通知、简历、招聘、薪酬等相关字眼，历来都是钓鱼攻击最常用的鱼饵。与此同时，为达到更强的欺
继续阅读山石网科：关于网传WAF漏洞说明
山石网科：关于网传WAF漏洞说明 原创 优质可靠的 山石网科新视界 2024-08-22 23:54 山石网科安全公告 尊敬的用户： 您好！ 近日，山石网科产品安全事件响应团队（PSIRT）接到了关于山石网科WAF产品潜在安全漏洞的报告。经过我司技术团队深入分析，确认此漏洞影响的版本范围为5.5R6-2.6.7至5.5R6-2.8.13。 该漏洞已在2022年8月发布的WAF 5.5R6-2.8.
继续阅读攻防过半：最能打的竟然不是0day？
攻防过半：最能打的竟然不是0day？ 原创 ThreatBook 微步在线 2024-08-22 20:04 攻防大战过半，赛博世界虽未火力全开，但依旧波诡云谲，充满刀光剑影。话不多 说，来看看过去一个月，有哪些新的攻击手段和趋势： 攻击木马 CS超90%，Linux新型特马增加 微步云沙箱S首月捕获CobaltStrike样本 6000+，红队工具样本1500+。 攻击木马仍以CobaltStr
继续阅读「漏洞复现」同享人力资源管理系统-TXEHR V15 SFZService.asmx SQL注入漏洞
「漏洞复现」同享人力资源管理系统-TXEHR V15 SFZService.asmx SQL注入漏洞 冷漠安全 冷漠安全 2024-08-22 19:17 0x01 免责声明 免责声明 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。本次测试仅供学习使
继续阅读零基础入门Android漏洞挖掘
零基础入门Android漏洞挖掘 釉子 看雪学苑 2024-08-22 17:59 Android漏洞挖掘是通过技术手段在Android系统或应用中寻找潜在安全漏洞的过程。这种挖掘方法涵盖了权限提升、信息泄露、远程代码执行等多种漏洞类型。采用静态代码分析、动态调试和模糊测试等技术手段，有助于发现并修复这些漏洞，从而提高系统安全性，保护用户隐私，促进软件质量提升。对于个人而言，掌握漏洞挖掘技能不仅有
继续阅读漏洞分析 | Apache Tomcat 信息泄露漏洞 (CVE-2024-21733)
漏洞分析 | Apache Tomcat 信息泄露漏洞 (CVE-2024-21733) 塞讯安全验证 2024-08-21 18:16 Apache Tomcat 信息泄露漏洞 (CVE-2024-21733)，影响范围包括 Tomcat 9.0.0-M11 至 9.0.43 版本及 8.5.7 至 8.5.63 版本。当受影响版本的 Tomcat 无法正确处理 POST 请求的 Content
继续阅读美团安全团队在第五期移动互联网APP产品安全漏洞技术沙龙中分享移动应用自动化安全实践历程
美团安全团队在第五期移动互联网APP产品安全漏洞技术沙龙中分享移动应用自动化安全实践历程 美团安全应急响应中心 2024-08-20 17:31 2024年8月8日，中国软件评测中心（工业和信息化部软件与集成电路促进中心）、工业和信息化部移动互联网App产品安全漏洞专业库、福州市电子信息集团有限公司、北京智游网安科技有限公司成功在重庆联合主办了第五期移动互联网App产品安全漏洞技术沙龙。 第五期移
继续阅读“源”聚创新力量，“洞”见安全未来：360漏洞云亮相GOGC，共促开源漏洞安全发展
“源”聚创新力量，“洞”见安全未来：360漏洞云亮相GOGC，共促开源漏洞安全发展 360漏洞云 2024-08-20 12:55 近日，“GOGC 2024全球开源极客嘉年华”在上海张江科学会堂盛大开幕。此次活动由上海市经信委和中国电子指导，浦东新区科经委、张江科建办、张江集团支持，上海浦东软件园与开源中国联合主办，汇集了来自世界各地的顶尖开发者、开源爱好者、企业家和技术领袖，共同探讨开源技术的
继续阅读安全热点周报：SolarWinds 和 Microsoft 漏洞被在野利用，立即应用补丁
安全热点周报：SolarWinds 和 Microsoft 漏洞被在野利用，立即应用补丁 奇安信 CERT 2024-08-19 17:30 安全资讯导视 • 美国NIST正式发布首批3项后量子加密标准 • 伊朗遭遇大规模网络攻击，银行系统瘫痪 • 巴黎奥运会期间共发生超140起网络攻击事件 PART01 漏洞情报 1.Windows TCP/IP IPv6远程拒绝服务/代码执行漏洞安全风险通告
继续阅读上周关注度较高的产品安全漏洞(20240812-20240818)
上周关注度较高的产品安全漏洞(20240812-20240818) 原创 CNVD CNVD漏洞平台 2024-08-19 17:17 一、境外厂商产品漏洞 1、DerbyNet racerid参数跨站脚本漏洞 DerbyNet是一个简易的比赛转播项目代码。DerbyNet racerid参数存在跨站脚本漏洞，该漏洞是由于photo-thumbs.php脚本对用户提供的输入验证不当造成的。攻击者可
继续阅读人工智能可以发现基础设施软件中的漏洞吗？
人工智能可以发现基础设施软件中的漏洞吗？ 原创 网络研究观 网络研究观 2024-08-18 23:59 未来一年，七支团队将完善人工智能系统，旨在强化关键基础设施所依赖的开源软件。 获胜者将在明年的 DEF CON 黑客大会上宣布。 这些团队都是人工智能网络挑战赛（AIxCC）上一轮得分最高的团队，每人获得 200 万美元奖金 以继续他们的工作。 美国大部分基础设施都运行在开源工具上，这些工具可
继续阅读自行车无线变速器曝出漏洞，黑客可操纵比赛结果
自行车无线变速器曝出漏洞，黑客可操纵比赛结果 黑白之道 2024-08-18 08:25 除了药物兴奋剂以外，职业自行车比赛近年来作弊手段不断“创新”，从赛道上的钉子陷阱，到隐蔽在轮毂中的电机等“电子兴奋剂”。 如今，随着自行车变速系统的电子化演变，黑客开始将注意力转向高端自行车的热门组件——无线变速器。 本周，在美国的Usenix安全研讨会上，加州大学圣地亚哥分校和东北大学的研究人员展示了一种黑
继续阅读Project Zero：我们需要所有人共同努力来终结0day时代
Project Zero：我们需要所有人共同努力来终结0day时代 flyme 独眼情报 2024-08-17 14:18 拉斯维加斯 – Google的Project Zero安全研究团队成立已有10年，在实现其”提高零日漏洞攻击难度”的目标方面取得了一定进展。然而，实际环境中仍然存在可被利用的漏洞，这表明网络安全行业还有很长的路要走。 2014年影响零日漏洞
继续阅读喜讯｜安恒信息成为国家信息安全漏洞库漏洞技术研究联盟创始成员单位
喜讯｜安恒信息成为国家信息安全漏洞库漏洞技术研究联盟创始成员单位 安恒信息 2024-08-17 10:32 为深入学习贯彻习近平总书记关于网络强国的重要思想，落细落实国家漏洞治理工作整体部署，进一步强化漏洞治理生态，国家信息安全漏洞库漏洞技术研究联盟（以下简称“联盟”）成立仪式于8月15日在广州成功举办。中国信息安全测评中心处长任望、共青团广东省委学校部副部长陈宇鹏等领导以及安恒信息等多家网络安
继续阅读漏洞预警 | 福建科立讯指挥调度管理平台任意文件上传漏洞
漏洞预警 | 福建科立讯指挥调度管理平台任意文件上传漏洞 浅安 浅安安全 2024-08-17 08:00 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 科立讯指挥调度管理平台是一个专业针对通信行业的管理平台。 0x03 漏洞详情 漏洞类型： 任意 文件 上传 影响： 接管服务器 简述： 科立讯指挥调度管理平台的event/upload
继续阅读【漏洞复现】某时空社会化商业ERP系统 user/online 身份认证绕过漏洞
【漏洞复现】某时空社会化商业ERP系统 user/online 身份认证绕过漏洞 Superhero Nday Poc 2024-08-16 10:10 0x00 免责声明 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号nday poc及作者不为此承担任何责任，一旦造成后果请自行承担！如文章
继续阅读Hvv 日记 威胁情报 8.15 Windows TCPIP 远程执行代码漏洞(CVE-2024-38063)
Hvv 日记 威胁情报 8.15 Windows TCPIP 远程执行代码漏洞(CVE-2024-38063) Khan安全团队 2024-08-16 08:24 Windows TCPIP 远程执行代码漏洞(CVE-2024-38063) 漏洞描述 WindowsTCP/P 远程代码执行漏洞，攻击者能够通过向目标主机发送特制的IP6 数据包来远程执行任意代码。由于该漏洞不需要用户交互，并且可以
继续阅读【漏洞复现】Web user login存在RCE漏洞
【漏洞复现】Web user login存在RCE漏洞 原创 pitaya Sec探索者 2024-08-16 08:03 点击蓝字，关注Sec探索者，一起探索网络安全技术 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。如有侵权烦请告知，我们会立即删除并致歉。谢谢！ 01**** 漏洞描述 We
继续阅读【风险通告】Windows TCP/IP 存在远程代码执行漏洞（CVE-2024-38063）
【风险通告】Windows TCP/IP 存在远程代码执行漏洞（CVE-2024-38063） 安恒研究院 安恒信息CERT 2024-08-15 18:57 漏洞概述 漏洞名称 Windows TCP/IP存在远程代码执行漏洞(CVE-2024-38063) 安恒CERT评级 1级 CVSS3.1评分 9.8 CVE编号 CVE-2024-38063 CNVD编号 未分配 CNNVD编号 CNN
继续阅读聚焦 | 国家信息安全漏洞库漏洞技术研究联盟正式成立——强化漏洞治理生态，共筑网络安全防线
聚焦 | 国家信息安全漏洞库漏洞技术研究联盟正式成立——强化漏洞治理生态，共筑网络安全防线 中国信息安全 2024-08-15 18:53 扫码订阅《中国信息安全》 邮发代号 2-786 征订热线：010-82341063 为深入学习贯彻习近平总书记关于网络强国的重要思想，落细落实国家漏洞治理工作整体部署，进一步强化漏洞治理生态，由中国信息安全测评中心指导、广东省网络空间安全产业创新联合会主办、广
继续阅读Vigor3900 CVE-2021-43118 命令注入漏洞分析
Vigor3900 CVE-2021-43118 命令注入漏洞分析 N1nE 看雪学苑 2024-08-15 18:00 此固件是2024中国工业互联网安全大赛智能家电行业赛道选拔赛决赛的一道题目，其中就可以直接用CVE直接命令执行。本人对IoT一直在尝试学习，这次的比赛见到了很多师傅非常厉害，这也是一个非常好的让我深入IoT漏洞挖掘和利用世界的契机。所以我打算完整分析一次这个赛题/固件，希望大家
继续阅读创宇安全智脑 | Windows 远程桌面授权服务远程代码执行（CVE-2024-38077）等66个漏洞可检测
创宇安全智脑 | Windows 远程桌面授权服务远程代码执行（CVE-2024-38077）等66个漏洞可检测 原创 创宇安全智脑 创宇安全智脑 2024-08-15 17:28 创宇安全智脑是基于知道创宇16年来AI+安全大数据在真实攻防场景中的经验积累构建的下一代全场景安全智能算力平台。平台拥有海量真实攻防数据和安全大数据持续生产能力；结合面向多个实战场景的AI智能模型，持续汇聚、萃取和分析
继续阅读荷兰黑客挖出了太阳能系统中的关键漏洞，成功利用可危及欧洲电网
荷兰黑客挖出了太阳能系统中的关键漏洞，成功利用可危及欧洲电网 网络安全应急技术国家工程中心 2024-08-15 16:13 SecurityLabs8月14日援引荷兰媒体报道，随着“智能”技术的脆弱性日益严重，荷兰黑客维特斯·布恩斯特拉（Willem Westerhof）最近发现，单击一个按钮就能让150个国家的400万太阳能系统停机。这一发现证实了赫普波宁定律：“如果某物是智能的，它就存在漏洞
继续阅读