安全通告丨网络安全漏洞通告（2024年4月）
安全通告丨网络安全漏洞通告（2024年4月） 创信华通 2024-04-26 18:18 作为国内权威的安全漏洞通告组织，创信华通基于自身的威胁情报和漏洞挖掘能力，对全球最新的安全漏洞及安全事件进行跟踪研究，在第一时间向用户提供高危漏洞、威胁攻击的解决办法及情报资讯，以帮助用户提升网络安全的预警和响应能力。 一、 漏洞态势 / 2024.4 高危漏洞预警 在第一时间内向用户发布高危漏洞预警，通告漏
继续阅读标签： 行业
漏洞预警 hi-bridge 网关 download文件读取漏洞
漏洞预警 hi-bridge 网关 download文件读取漏洞 by 融云安全-sm 融云攻防实验室 2024-04-26 10:17 0x01 阅读须知 融云安全的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使
继续阅读微软：APT28 利用由NSA报送的 Windows 漏洞
微软：APT28 利用由NSA报送的 Windows 漏洞 Sergiu Gatlan 代码卫士 2024-04-24 17:33 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 微软提醒称，俄罗斯 APT28 威胁组织利用 Windows Print Spooler 漏洞 (CVE-2022-38028)，通过此前未知的黑客工具 GooseEgg提升权限，窃取凭据和数据。 APT 28 黑
继续阅读斗象“世界五百强”客户案例巡礼之「漏洞运营管理」
斗象“世界五百强”客户案例巡礼之「漏洞运营管理」 诸葛象 斗象智能安全 2024-04-23 15:14 你已选中了添加链接的内容 “ 我们不仅仅是传统认知的一家通信设备制造企业，而且已经扩展出很多的业态，并于近些年开始布局物联网。这意味着我们的信息系统和数据开放性更强，暴露面更广，面临的安全漏洞威胁也更大。 “ Part 1 深入剖析： 百年科技巨头遭遇漏洞管理新挑战 这家具有百年历史、员工规模
继续阅读【漏洞通告】Jumpserver Jinja2 模板注入漏洞
【漏洞通告】Jumpserver Jinja2 模板注入漏洞 安迈信科应急响应中心 2024-04-22 17:16 01 漏洞概况 JumpServer 存在Jinja2 模板注入漏洞，攻击者可以利用 JumpServer 的 Ansible 中的 Jinja2 模板注入漏洞，在 Celery 容器中执行任意代码。由于 Celery 容器以 root 权限运行并具有数据库访问权限，攻
继续阅读【漏洞通告】大华智慧园区 /portal/services/clientServer SQL注入漏洞
【漏洞通告】大华智慧园区 /portal/services/clientServer SQL注入漏洞 安迈信科应急响应中心 2024-04-22 17:16 01 漏洞概况 大华智慧园区 /portal/services/clientServer 接口存在SQL注入漏洞，攻击者利用此漏洞可以获取数据库敏感数据。02 漏洞处置综合处置优先级：高漏洞信息漏洞名称大华智慧园区SQL注入漏洞漏
继续阅读上周关注度较高的产品安全漏洞(20240415-20240421)
上周关注度较高的产品安全漏洞(20240415-20240421) 原创 CNVD CNVD漏洞平台 2024-04-22 17:16 一、境外厂商产品漏洞 1 、Apache Zeppelin输入验证错误漏洞（CNVD-2024-17934） Apache Zeppelin是美国阿帕奇（Apache）基金会的一款基于Web的开源笔记本应用程序。该程序支持交互式数据分析和协作文档。Apache Z
继续阅读【漏洞通告】IP-guard WebServer权限绕过漏洞
【漏洞通告】IP-guard WebServer权限绕过漏洞 安迈信科应急响应中心 2024-04-22 17:16 01 漏洞概况 IP-guard WebServer存在权限绕过漏洞，该漏洞是由于IP-guard访问控制不当导致，攻击者可利用该漏洞在未授权的情况下，构造恶意数据绕过权限校验，进而访问后台接口执行任意文件读取等操作，最终造成服务器敏感性信息泄露。02 漏洞处置综合处置
继续阅读【漏洞通告】Jumpserver Ansible Playbook远程代码执行漏洞
【漏洞通告】Jumpserver Ansible Playbook远程代码执行漏洞 安迈信科应急响应中心 2024-04-22 17:16 01 漏洞概况 Jumpserver Ansible Playbook存在远程代码执行漏洞，攻击者可以绕过JumpServer的Ansible中的输入验证机制，在Celery容器中执行任意代码。由于Celery容器以root权限运行并具有数据库访问
继续阅读Secx专访丨擅长入侵类漏洞挖掘，成功获得百万赏金！
Secx专访丨擅长入侵类漏洞挖掘，成功获得百万赏金！ Timeline Sec 2024-04-21 18:30 大家好，我是Secx，深耕网络安全领域多年，目前在某互联网大厂从事安全研究工作。同时，我也是知名安全团队Timeline Sec SRC组技术负责人，以专业的技术和敏锐的洞察力，为团队的安全防御提供了坚实的支撑。 2021年末，我步入白帽挖洞行列，至今挖掘出多个高危漏洞，并成功获得了总
继续阅读揭秘Chrome V8漏洞利用！体验攻防实战全解析
揭秘Chrome V8漏洞利用！体验攻防实战全解析 小雪 看雪学苑 2024-04-21 17:59 浏览器漏洞利用一直是备受关注的热点话题。 浏览器作为用户与互联网进行交互的主要工具，也是黑客攻击的重要目标之一。当浏览器存在漏洞时，黑客可以利用这些漏洞进行恶意攻击，例如窃取用户的个人信息、安装恶意软件、篡改网页内容等。 随着网络攻击日益猖獗，企业对安全人才的需求愈发迫切。《 浏览器Pwn Chr
继续阅读geoserver漏洞解析以及测试方法
geoserver漏洞解析以及测试方法 原创 铁锅炖大鹅 星网实验室 2024-04-21 14:22 相信各位师傅在HVV中，都遇到过geoserver系统，但是一般都是弱口令或者信息泄露、SSRF之类的，拿shell的案例不多，下面分享下geoserver系统后台的两种打法。 一、后台JNDI 注 ⼊ 测试版本：Version 2.13.3 数据储存—》添加新的数据存储—》PostGIS (J
继续阅读干货 | 分享一个.NET逻辑漏洞绕过的Tips
干货 | 分享一个.NET逻辑漏洞绕过的Tips 专攻.NET安全的 dotNet安全矩阵 2024-04-21 08:31 02 欢迎加入知识库 为了更好地应对基于.NET技术栈的风险识别和未知威胁，dotNet安全矩阵星球从创建以来一直聚焦于.NET领域的安全攻防技术，定位于高质量安全攻防星球社区，也得到了许多师傅们的支持和信任，通过星球深度连接入圈的师傅们，一起推动.NET安全高质量的向前发
继续阅读【安全圈】多个僵尸网络利用一年前的 TP-Link 漏洞进行路由器攻击
【安全圈】多个僵尸网络利用一年前的 TP-Link 漏洞进行路由器攻击 安全圈 2024-04-20 19:00 关键词 漏洞攻击 目前发现至少有六种不同的僵尸网络恶意软件正在利用去年命令注入安全问题影响的 TP-Link Archer AX21 (AX1800) 路由器。该缺陷编号为 CVE-2023-1389，是可通过 TP-Link Archer AX21 Web 管理界面访问的区域设置 A
继续阅读英特尔等设备供应商存在永久的安全漏洞
英特尔等设备供应商存在永久的安全漏洞 内生安全联盟 2024-04-20 11:00 研究人员发现，英特尔等设备供应商仍未修补影响底板管理控制器 ( BMC）中使用的 Lighttpd Web 服务器的安全漏洞。 虽然最初的缺陷早在 2018 年 8 月就被 Lighttpd 维护者在1.4.51 版本中发现并修补，但由于缺乏 CVE 标识符或建议，这意味着它被 AMI MegaRAC BMC 的
继续阅读.NET 复现某CMS系统未公开SQL注入漏洞
.NET 复现某CMS系统未公开SQL注入漏洞 专攻.NET安全的 dotNet安全矩阵 2024-04-20 08:20 01 应用介绍 某CMS是.NET开发的一款支持多分站、多语种，集成内容发布、信息发布、自定义表单、自定义模型、会员系统、业务管理等功能于一体的独立网站管理系统，支持MSSQL Server数据库。用户可以下载安装使用，系统于2008年正式发布，目前全国用户已经超过50万以上
继续阅读英特尔和联想存在永久的安全漏洞
英特尔和联想存在永久的安全漏洞 谈思实验室 2024-04-19 17:57 点击上方蓝字 谈思实验室 获取更多汽车网络安全资讯 研究人员发现，英特尔和联想等设备供应商仍未修补影响底板管理控制器 ( BMC )中使用的 Lighttpd Web 服务器的安全漏洞。 虽然最初的缺陷早在 2018 年 8 月就被 Lighttpd 维护者在1.4.51 版本中发现并修补，但由于缺乏 CVE 标识符或建
继续阅读用友NC Cloud doPost接口存在任意文件上传漏洞2
用友NC Cloud doPost接口存在任意文件上传漏洞2 南风徐来 南风漏洞复现文库 2024-04-18 23:15 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1. 用友NC Cloud简介 微信公众号搜索：南风漏洞复现文库 该文
继续阅读这是一篇避雷贴！OpenStack这个安全漏洞你修复了吗？
这是一篇避雷贴！OpenStack这个安全漏洞你修复了吗？ 深信服千里目安全技术中心 2024-04-18 19:03 对于开发者们来说，OpenStack 并不陌生。 作为全球主流开源的云计算管理平台 ，它由NASA和Rackspace合作研发并发起，由全球开发者共同维护，是众多组织和企业构建云计算环境的首选，用户基数巨大，适用场景广泛。 近日，OpenStack官方发布了一则漏洞公告，表示Mu
继续阅读【安全圈】Chirp智能锁存在远程漏洞，数万家庭受到影响
【安全圈】Chirp智能锁存在远程漏洞，数万家庭受到影响 安全圈 2024-04-18 19:00 关键词 信息泄露 美国网络安全和基础设施安全局（CISA）发布了一则警告，指出 Chirp Systems 智能锁存在一个“低攻击复杂性”的远程漏洞，攻击者可以远程解锁智能锁并物理渗透受保护的位置。 该漏洞是由 Chirp Android 应用程序硬编码密码和私钥造成的。这些数据可用于访问智能锁提供
继续阅读CVE-2024-3400 活动和 Upstyle 后门技术分析
CVE-2024-3400 活动和 Upstyle 后门技术分析 Ots安全 2024-04-18 18:07 介绍 最近，在 Palo Alto Networks PAN-OS 中发现了一个零日命令注入漏洞，编号为 CVE-2024-3400。它被分配的最高严重性分数为 10.0，未经身份验证的用户可以利用它以 root 权限在目标系统上运行任意命令。 Volexity 是第一个发现并报告该漏洞
继续阅读(互联网未公开)建云科技系统存在SQL注入漏洞
(互联网未公开)建云科技系统存在SQL注入漏洞 DC1安全实验室 DC1安全实验室 2024-04-18 00:32 0x01 阅读须知 文章中涉及的敏感信息均已做打码处理，文章仅做经验分享用途，切勿当真，未授权的攻击属于非法行为！文章中敏感信息均已做多层打码处理。传播、利用本文章所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任，一旦造成后果请自行承担！
继续阅读CatDDoS僵尸网络正在利用CVE-2023-46604进行传播
CatDDoS僵尸网络正在利用CVE-2023-46604进行传播 360威胁情报中心 2024-04-17 18:59 近期，360安全 大脑捕获到一款僵尸网络变种正在利用Apache ActiveMQ漏洞(CVE-2023-46604)进行积极传播，样本涵盖x86、arm、mpsl等CPU架构。经过分析确认，该变种属于2023年下旬被披露的新兴DDoS僵尸网络——CatDDoS。除了使用CVE
继续阅读Ivanti：注意！Avalanche MDM 解决方案中存在多个严重漏洞
Ivanti：注意！Avalanche MDM 解决方案中存在多个严重漏洞 Sergiu Gatlan 代码卫士 2024-04-17 16:09 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Ivanti 公司发布安全更新，修复了位于 Avalanche 移动设备管理 (MDM) 解决方案中的27个漏洞，其中两个是严重的堆溢出漏洞，可用于远程命令执行。 Avalanche 供企业管理员远
继续阅读招聘网络安全分析师(漏洞、病毒方向)、渗透测试工程师、密码应用安全工程师、工控安全渗透工程师、产品安全渗透工程师、芯片安全渗透
招聘网络安全分析师(漏洞、病毒方向)、渗透测试工程师、密码应用安全工程师、工控安全渗透工程师、产品安全渗透工程师、芯片安全渗透 Flag 网络安全实验室 2024-04-17 07:00 有招聘需求的可以后台联系运营人员。 根据工作需要，国家信息技术安全研究中心计划开展2024年度校园招聘工作。现将有关事项公告如下: 一 招聘岗位 招聘岗位:网络安全分析师(漏洞、病毒方向)、系统测评工程师、渗透测
继续阅读安全热点周报：本周新增三个在野利用漏洞，10w+设备易遭恶意攻击
安全热点周报：本周新增三个在野利用漏洞，10w+设备易遭恶意攻击 奇安信 CERT 2024-04-16 17:00 安全资讯导视 • 美国会议员公布《美国隐私权法案》，推动联邦隐私立法 • AT&T承认超5000万用户数据泄露：已在地下论坛售卖多年 • 菲律宾科技部服务器遭黑客入侵：网站被篡改 25TB 数据被删除 PART01 漏洞情报 1.Rust命令注入漏洞(CVE-2024-2
继续阅读一款对于web站点进行漏洞扫描的打点利器
一款对于web站点进行漏洞扫描的打点利器 spmonkey 安全之眼SecEye 2024-04-15 20:20 点击上方「蓝字」，关注我们 因为公众号现在只对常读和星标的公众号才能展示大图推送，建议大家进行星标 。操作方法：点击右上角的【…】，然后点击【设为星标】即可。 01 免责声明 免责声明： 该公众号分享的安全工具和项目均来源于网络，仅供安全研究与学习之用，如用于其他用途，由
继续阅读英特尔、联想等服务器曝出难以修复的漏洞
英特尔、联想等服务器曝出难以修复的漏洞 网络安全应急技术国家工程中心 2024-04-15 15:48 近日，英特尔、联想等多个厂商销售的服务器硬件曝出一个难以修复的远程可利用漏洞。该漏洞属于供应链漏洞，源自一个被多家服务器厂商整合到产品中的开源软件包——Lighttpd。 Lighttpd是一款开源Web服务器，以轻量级、快速且高效而闻名，非常适合高流量网站，同时消耗较少的系统资源。该漏洞存在于
继续阅读Tomcat 中间件漏洞复现
Tomcat 中间件漏洞复现 原创 pwjcw 剑外思归客 2024-04-13 22:54 Tomcat PUT请求任意文件写入 （CVE-2017-12615） 漏洞介绍 tomcat的conf/web.xml配置文件中将readonly配置为false时，攻击者可以通过PUT请求上传任意文件。 漏洞范围 Apache Tomcat 7.0.0 – 7.0.81 漏洞成因 将tom
继续阅读周日19点直播：《系统0day安全-Windows平台漏洞挖掘（第2期）》
周日19点直播：《系统0day安全-Windows平台漏洞挖掘（第2期）》 看雪课程 看雪学苑 2024-04-13 17:59 漏洞挖掘技能是一项非常重要的技能，它可以帮助企业发现并修复系统中的漏洞，从而提高系统的安全性，保护企业的重要数据和资产。同时，它也能帮助企业降低安全风险，避免因为漏洞被攻击而导致的数据泄露、系统瘫痪等问题。 此外，漏洞挖掘技能的学习和实践可以帮助企业员工提高安全意识，增
继续阅读