标签： 0day

别急着修！Apache Shiro 最新身份验证漏洞实际很难利用

发布于 作者:

别急着修！Apache Shiro 最新身份验证漏洞实际很难利用 原创 微步情报局 微步在线研究响应中心 2023-07-26 14:08 01 漏洞概况**** Apache Shiro是一个强大且易用的Java安全框架，用于实现身份验证、授权、密码和会话管理等功能。近日，微步漏洞团队监测到Apache Shiro中修复了一处身份验证绕过漏洞(CVE-2023-34478)，由于InvalidR

继续阅读

新Windows?! 苹果再修复已遭利用的新0day

发布于 作者:

新Windows?! 苹果再修复已遭利用的新0day Sergiu Gatlan 代码卫士 2023-07-26 08:48 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 苹果公司发布安全更新，修复了已被用于攻击 iPhone、Mac 和 iPad 的 0day 漏洞。这是今年以来苹果修复的第11个0day。 本月初，苹果公司在关于新一轮快速安全响应 (RSR) 更新中所修复CVE

继续阅读

黑客正在利用Citrix新0day漏洞，全球超过15000个Citrix服务器易受攻击

发布于 作者:

黑客正在利用Citrix新0day漏洞，全球超过15000个Citrix服务器易受攻击 看雪学苑 看雪学苑 2023-07-25 17:59 近日，美国网络安全与基础设施安全局（CISA）警告称，黑客正在利用一个新发现的零日漏洞，针对Citrix NetScaler应用程序交付控制器（ADC）和Citrix Gateway设备实施网络攻击。 Citrix公司曾于上周提醒其客户，该漏洞（CVE-20

继续阅读

BCS2023威胁情报技术论坛——《漏洞情报：走出漏洞处置的泥潭》

发布于 作者:

BCS2023威胁情报技术论坛——《漏洞情报：走出漏洞处置的泥潭》 奇安信威胁情报中心 2023-07-20 18:30 ●  本篇文章共7953字，预计阅读需要37分钟。 前言 7月7日，2023年北京网络安全大会威胁情报技术论坛在京召开。本次论坛以“威胁情报驱动的安全运行体系建设”为主题，邀请业内多位专家分享威胁情报的有效利用案例及经验。奇安信威胁情报中心负责人汪列军，就漏洞情报的理解与实践发

继续阅读

BCS2023威胁情报技术论坛 ——《漏洞情报：走出漏洞处置的泥潭》

发布于 作者:

BCS2023威胁情报技术论坛 ——《漏洞情报：走出漏洞处置的泥潭》 奇安信 CERT 2023-07-20 15:40 ● 本篇文章共7953字，预计阅读需要37分钟。 前言 7月7日，2023年北京网络安全大会威胁情报技术论坛在京召开。本次论坛以“威胁情报驱动的安全运行体系建设”为主题，邀请业内多位专家分享威胁情报的有效利用案例及经验。奇安信威胁情报中心负责人汪列军，就漏洞情报的理解与实践发表

继续阅读

Google Cloud Build 漏洞可使黑客发动供应链攻击

发布于 作者:

Google Cloud Build 漏洞可使黑客发动供应链攻击 Sergiu Gatlan 代码卫士 2023-07-19 17:14 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 专栏·供应链安全 数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。 随着软件产业的快速发展，软件供应链也

继续阅读

罗克韦尔提醒关基或遭APT组织RCE漏洞利用攻击

发布于 作者:

罗克韦尔提醒关基或遭APT组织RCE漏洞利用攻击 Sergiu Gatlan 代码卫士 2023-07-17 17:41 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 罗克韦尔自动化公司表示，与某未具名APT组织相关联的一个新的RCE利用可用于攻击未修复的 ControlLogix 通信模块中，而该模块常用于制造、电力、油气和液化天然气行业中。 罗克韦尔自动化公司与CISA联合分析

继续阅读

Reddit替代品 Lemmy 开源软件遭 0day 利用攻击

发布于 作者:

Reddit替代品 Lemmy 开源软件遭 0day 利用攻击 Eduard Kovacs 代码卫士 2023-07-17 17:41 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 致力于替代 Reddit 的开源软件 Lemmy 遭0day漏洞利用攻击。 Lemmy 是一款开源软件，旨在运行自托管的新闻聚合和讨论论坛。虽然每个 Lemmy 实例由不同的个体或组织机构运行，但它们之

继续阅读

微软：利用0Day漏洞，黑客组织攻击北约峰会

发布于 作者:

微软：利用0Day漏洞，黑客组织攻击北约峰会 网络安全应急技术国家工程中心 2023-07-17 14:28 昨天（7月11日），微软正式披露了一个未修补的零日安全漏洞，该漏洞存在于多个Windows和Office产品中，可以通过恶意Office文档远程执行代码。 未经身份验证的攻击者可在无用户交互的情况下利用该漏洞(跟踪为CVE-2023-36884)进行高复杂性攻击。 一旦攻击成功，即可导致对

继续阅读

紧急修复：Apache RocketMQ 曝远程代码执行漏洞，攻击门槛低！

发布于 作者:

紧急修复：Apache RocketMQ 曝远程代码执行漏洞，攻击门槛低！ 原创 微步情报局 微步在线研究响应中心 2023-07-14 17:54 01 漏洞概况**** Apache RocketMQ 是一款低延迟、高并发、高可用、高可靠的分布式消息中间件。近日，微步漏洞团队监测到 Apache RocketMQ 修复了一处远程命令执行漏洞（CVE-2023-37582）。该漏洞起因是由于 C

继续阅读

Zimbra 紧急提醒手动修复已遭利用的0day

发布于 作者:

Zimbra 紧急提醒手动修复已遭利用的0day Sergiu Gatlan 代码卫士 2023-07-14 17:21 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 今天，Zimbra 督促管理员手动修复已遭活跃利用于攻击 Zimbra Collaboration Suite (ZCS) 邮件服务器的 0day 漏洞。目前该漏洞尚未获得CVE编号。 ZCS 邮件服务器是使用广泛的

继续阅读

Citrix 修复 Ubuntu 版本安全访问客户端中的严重漏洞

发布于 作者:

Citrix 修复 Ubuntu 版本安全访问客户端中的严重漏洞 Ionut Arghire 代码卫士 2023-07-13 18:22 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 本周二，Citrix 修复了Utuntu 版本 Secure Access 客户端中的一个严重漏洞，可被用于实现远程代码执行。不过，按照 Citrix 在安全公告中的说法，该漏洞（CVE-2023-2

继续阅读

预售报名中！系统0day安全-Windows平台漏洞挖掘

发布于 作者:

预售报名中！系统0day安全-Windows平台漏洞挖掘 釉子 看雪学苑 2023-07-13 18:05 漏洞挖掘技能是一项非常重要的技能，它可以帮助企业发现并修复系统中的漏洞，从而提高系统的安全性，保护企业的重要数据和资产。同时，它也能帮助企业降低安全风险，避免因为漏洞被攻击而导致的数据泄露、系统瘫痪等问题。 此外，漏洞挖掘技能的学习和实践可以帮助企业员工提高安全意识，增强对安全问题的认识和理

继续阅读

苹果修复导致任意代码执行的0day，但该补丁会使Safari浏览器不可用

发布于 作者:

苹果修复导致任意代码执行的0day，但该补丁会使Safari浏览器不可用 看雪学苑 看雪学苑 2023-07-12 17:59 苹果最近发布了针对iOS、iPadOS、macOS 的Safari网络浏览器的快速安全响应（RSR）更新，以修复一个可能导致任意代码执行的零日漏洞。 此漏洞（CVE-2023-37450）由一位匿名安全研究人员向苹果报告。据了解，该漏洞发现于苹果开发的WebKit浏览器引

继续阅读

工控补丁星期二：西门子、施耐德电气等修复50个漏洞

发布于 作者:

工控补丁星期二：西门子、施耐德电气等修复50个漏洞 Eduard Kovacs 代码卫士 2023-07-12 17:08 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 本周二，西门子和施耐德电气公司发布九份安全公告，修复了影响其工业产品的50个漏洞。 西门子 西门子发布五份安全公告，通知客户修复40多个漏洞。 西门子修复了 Simatic CN 4100 通信系统中的一个严重漏洞

继续阅读

微软7月补丁星期二修复132个漏洞：5个已遭利用0day且1个无补丁

发布于 作者:

微软7月补丁星期二修复132个漏洞：5个已遭利用0day且1个无补丁 综合编译 代码卫士 2023-07-12 17:08 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 微软7月补丁星期二修复了132个漏洞，其中5个是已遭活跃利用的0day，37个是远程代码执行漏洞。在这37个RCE漏洞中，微软仅将其中9个列为“严重”级别，不过其中1个仍未修复且已遭利用。这是过去几年来看到的修复量

继续阅读

20万网站受影响，WordPress插件曝零日漏洞

发布于 作者:

20万网站受影响，WordPress插件曝零日漏洞 看雪学苑 看雪学苑 2023-07-11 17:59 近日，网络安全研究人员发现广泛使用的WordPress网站的Ultimate Member插件（用于简化用户注册及登录流程）存在0day漏洞，该插件目前已安装在全球超过20万个活跃网站上。 该0day（CVE-2023-3460，CVSSv3.1评分9.8）使得黑客能够在目标网站上获取提升的权

继续阅读

苹果紧急修复已遭利用的 0day

发布于 作者:

苹果紧急修复已遭利用的 0day Sergiu Gatlan 代码卫士 2023-07-11 17:40 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 苹果发布新一轮快速安全响应 (RSR) 更新，修复了一个已遭利用的 0day (CVE-2023-37450)，影响完全打补丁的 iPhone、Mac 和 iPad。 苹果在 iOS 和 macOS 安全通告中指出，该漏洞由一名匿名

继续阅读

已复现！泛微e-cology SQL注入漏洞

发布于 作者:

已复现！泛微e-cology SQL注入漏洞 原创 微步情报局 微步在线研究响应中心 2023-07-10 20:12 01 漏洞概况**** 泛微协同管理应用平台e-cology是一套兼具企业信息门户、知识文档管理、工作流程管理、人力资源管理、客户关系管理、项目管理、财务管理、资产管理、供应链管理、数据中心功能的企业大型协同管理平台。近日，微步漏洞团队监测到泛微e-cology官方修复了一个SQ

继续阅读

云上跨租户漏洞攻击面分析-RSAC议题解读

发布于 作者:

云上跨租户漏洞攻击面分析-RSAC议题解读 geekby.site 渗透测试网络安全 2023-07-08 19:00 1 相关概念 1.1 多租户技术 多租户技术是一种在云计算环境中广泛使用的架构设计方法，用于在单个应用程序或服务中同时支持多个独立的租户或用户。 在传统的单租户架构中，每个应用程序或服务只为一个租户提供服务。而在多租户架构中，应用程序或服务被设计成可以同时为多个租户提供服务，而且

继续阅读

9月1日正式开课！系统0day安全-Windows平台漏洞挖掘

发布于 作者:

9月1日正式开课！系统0day安全-Windows平台漏洞挖掘 釉子 看雪学苑 2023-07-07 18:02 漏洞挖掘技能是一项非常重要的技能，它可以帮助企业发现并修复系统中的漏洞，从而提高系统的安全性，保护企业的重要数据和资产。同时，它也能帮助企业降低安全风险，避免因为漏洞被攻击而导致的数据泄露、系统瘫痪等问题。 此外，漏洞挖掘技能的学习和实践可以帮助企业员工提高安全意识，增强对安全问题的认

继续阅读

高危无补丁0day影响思科数据中心交换机，可导致加密流量遭篡改

发布于 作者:

高危无补丁0day影响思科数据中心交换机，可导致加密流量遭篡改 Sergiu Gatlan 代码卫士 2023-07-07 17:48 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 今天，思科提醒客户称某些数据中心交换机型中存在一个高危漏洞，可导致攻击者篡改加密流量。该漏洞的编号是CVE-2023-20185。 该漏洞是思科内部审计数据中心 Cisco Nexus 9000系列 F

继续阅读

腾讯安全威胁情报中心推出2023年6月必修安全漏洞清单

发布于 作者:

腾讯安全威胁情报中心推出2023年6月必修安全漏洞清单 原创 腾讯威胁情报中心 安全攻防团队 2023-07-07 16:50 欢迎关注 腾讯安全威胁情报中心 腾讯安全攻防团队 A&D Team 腾讯安全 威胁情报团队 腾讯安全威胁情报中心推出2023年6月份必修安全漏洞清单，所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果

继续阅读

联发科漏洞影响智能手机、平板、WiFi 等芯片集

发布于 作者:

联发科漏洞影响智能手机、平板、WiFi 等芯片集 Guru Baran 代码卫士 2023-07-05 17:23 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 联发科在2023年7月产品安全公告中披露了24个漏洞，影响适用于智能手机、平板、AIoT、智能展示、OTT和 WiFi 的芯片集。其中，CVE-2023-20754和CVE-2023-20755被评级为“高危”漏洞。 高危

继续阅读

通用型漏洞收录｜雷神众测星网计划一期全面启动

发布于 作者:

通用型漏洞收录｜雷神众测星网计划一期全面启动 雷神众测 雷神众测 2023-07-04 17:14 2023年夏日，安恒信息｜雷神众测全面启动星网计划！ 星网计划是雷神众测 定向通用型漏洞收录计划。我们会不定期发布不同的通用型0day漏洞收录方向，主要针对可影响金融行业、通信行业、能源行业、教育行业、医疗行业、云厂商、云原生等重点行业关基相关系统及其供应链系统通用型安全漏洞及相关利用技术研究项目提

继续阅读

0day速修｜Smartbi 远程代码执行漏洞

发布于 作者:

0day速修｜Smartbi 远程代码执行漏洞 长亭安全应急响应中心 2023-07-03 19:01 Smartbi是一款商业智能应用，提供了数据集成、分析、可视化等功能，帮助用户理解和使用他们的数据进行决策。近期，长亭科技安全研究员发现并上报了Smartbi的一个远程代码执行漏洞。该漏洞类型为逻辑绕过漏洞，可实现RCE，而目前仍有较多公网系统仍未修复漏洞。根据漏洞原理编写了无害化的X-POC远

继续阅读

在野0day捕获｜nginxWebUI runCmd远程命令执行漏洞

发布于 作者:

在野0day捕获｜nginxWebUI runCmd远程命令执行漏洞 长亭安全应急响应中心 2023-06-27 20:42 nginxWebUI是一款图形化管理nginx配置的工具，能通过网页快速配置nginx的各种功能，包括HTTP和TCP协议转发、反向代理、负载均衡、静态HTML服务器以及SSL证书的自动申请、续签和配置，配置完成后可以一键生成nginx.conf文件，并控制nginx使用此

继续阅读

Chrome 漏洞多：web 浏览器还安全吗？

发布于 作者:

Chrome 漏洞多：web 浏览器还安全吗？ Kevin Townsend 代码卫士 2023-06-27 17:33 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 和所有大型应用程序一样，谷歌 Chrome 也饱受漏洞之苦。2022年期间，SecurityWeek 媒体报道发现456个漏洞（每月平均38个漏洞），其中9个0day 漏洞。需要修复的漏洞如此之多，一个简单的问题是：

继续阅读