F5 BIG-IP 高危漏洞可导致拒绝服务和代码执行
F5 BIG-IP 高危漏洞可导致拒绝服务和代码执行 Ionut Arghire 代码卫士 2023-02-03 18:13 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 F5 提醒称，BIG-IP 中存在一个高危格式化字符串漏洞 (CVE-2023-22374)，可导致认证攻击者触发拒绝服务条件并可能执行任意代码。 该漏洞影响一个公开的API即 iControl SOAP，该API用于赋
继续阅读标签： EXP
CVE-2022-42856：iOS 0day漏洞，影响iPhone 5s等老版本iPhone和iPad
CVE-2022-42856：iOS 0day漏洞，影响iPhone 5s等老版本iPhone和iPad ang010ela 嘶吼专业版 2023-02-01 12:00 iOS 0day漏洞影响老版本iPhone和iPad，苹果已发布安全补丁。 12月13日，苹果发布安全公告修复了一个0day漏洞——CVE-2022-42856。漏洞产生的原因是苹果WebKit web浏览器浏览引擎的类型混淆（
继续阅读【技术原创】Horde Groupware Webmail漏洞调试环境搭建
【技术原创】Horde Groupware Webmail漏洞调试环境搭建 原创 3gstudent 嘶吼专业版 2023-01-31 12:00 0x00 前言 本文记录从零开始搭建Horde Groupware Webmail漏洞调试环境的细节。 0x01 简介 本文将要介绍以下内容： Horde Groupware Webmail安装 Horde Groupware Webmail漏洞调试环
继续阅读Argo CD 多个高危漏洞安全风险通告
Argo CD 多个高危漏洞安全风险通告 原创 QAX CERT 奇安信 CERT 2023-01-30 19:50 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 Argo CD是用于Kubernetes的声明性GitOps持续交付工具。Argo CD可在指定的目标环境中自动部署所需的应用程序状态，应用程序部署可以在Git提交时跟踪对分支，标签的
继续阅读CVE-2023-23560：Lexmark打印机服务器端请求伪造漏洞通告
CVE-2023-23560：Lexmark打印机服务器端请求伪造漏洞通告 原创 360CERT 三六零CERT 2023-01-30 16:26 赶紧点击上方话题进行订阅吧！ 报告编号：B6-2023-013002 报告来源：360CERT 报告作者：360CERT 更新日期：2023-01-30 1 漏洞简述 2023年01月30日，360CERT监测发现Lexmark官方发布了Lexmark
继续阅读Threema 加密通信APP多安全漏洞
Threema 加密通信APP多安全漏洞 关键基础设施安全应急响应中心 2023-01-20 15:49 研究人员在端到端加密通信APP Threema发现多个安全漏洞。 Threema是一款瑞士的加密通信APP，有超过100万用户和7000本地部署用户。其中，Threema重要用户包括瑞士政府和军方，以及德国总理。Threema广告宣称是其他即使通信应用的安全可替代产品。 Threema攻击 瑞
继续阅读四款微软Azure服务存在漏洞，可导致云资源遭越权访问
四款微软Azure服务存在漏洞，可导致云资源遭越权访问 Ravie Lakshmanan 代码卫士 2023-01-20 13:11 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 四款不同的微软 Azure服务易受服务器端请求伪造 (SSRF) 攻击，可使攻击者获得对云资源的越权访问权限。 这些漏洞是由Orca公司在2022年10月8日至2022年12月2日在Azure API Manag
继续阅读从美国CISA KEV项目看海量漏洞管理方法
从美国CISA KEV项目看海量漏洞管理方法 安全内参 2023-01-18 18:06 现状与难点 01 新形势下漏洞管理重要性凸显 在信息科技高速发展的时代背景下,信息技术产品供应链愈发庞大，网络威胁形势不断变化，网络运营者面临高水平的安全运营需求，漏洞管理已经成为安全运营中最直接、最关键的组成部分。各国政府、产业界均在不断探索完善科学、规范的漏洞管理机制，围绕此焦点的新政策、新要求、新机制、
继续阅读思科不打算修复SMB路由器中严重的认证绕过漏洞
思科不打算修复SMB路由器中严重的认证绕过漏洞 Tara Seals 代码卫士 2023-01-13 17:50 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 思科SMB路由器中存在两个严重的漏洞（CVE-2023-20025和CVE-2023-20026），可导致未认证攻击者完全控制目标设备，以root权限运行命令。遗憾的是，即使已存在在野PoC exploit，思科仍然不打算修复。 漏
继续阅读【已复现】禅道项目管理系统远程命令执行漏洞安全风险通告
【已复现】禅道项目管理系统远程命令执行漏洞安全风险通告 原创 QAX CERT 奇安信 CERT 2023-01-13 10:32 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 禅道项目管理软件是国产的开源项目管理软件，专注研发项目管理，内置需求管理、任务管理、bug管理、缺陷管理、用例管理、计划发布等功能，完整覆盖了研发项目管理的核心流程。 近
继续阅读PowerShell 远程代码执行漏洞(CVE-2022-41076)安全风险通告二次更新
PowerShell 远程代码执行漏洞(CVE-2022-41076)安全风险通告二次更新 原创 QAX CERT 奇安信 CERT 2023-01-13 10:32 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 近日，奇安信CERT监测到互联网上公开PowerShell 远程代码执行漏洞(CVE-2022-41076)技术细节及PoC，国外厂商
继续阅读CVE-2023-21752：Windows Backup Service权限提升漏洞通告
CVE-2023-21752：Windows Backup Service权限提升漏洞通告 原创 360CERT 三六零CERT 2023-01-12 16:51 赶紧点击上方话题进行订阅吧！ 报告编号：B6-2023-011201 报告来源：360CERT 报告作者：360CERT 更新日期：2023-01-12 1 漏洞简述 2023年01月12日，360CERT监测发现Windows Bac
继续阅读Experian严重漏洞暴露信用报告
Experian严重漏洞暴露信用报告 网络安全应急技术国家工程中心 2023-01-12 15:38 近日，有记者在消费者和企业信用报告领域的全球领导者 Experian 的官方网站上披露了一个安全漏洞的惊人细节，该漏洞正被身份盗窃诈骗者利用，而 Experian 对此一无所知。 到 2022 年底，Experian 网站允许用户绕过这些 MCQ，在输入姓名、出生日期、地址和社会安全号码后直接访问
继续阅读应对0Day攻击的高阶版防护实践
应对0Day攻击的高阶版防护实践 安全牛 2023-01-12 11:59 0day漏洞是指软件（或系统）中已经被人发现，但还并未被开发商或使用者所知晓的应用缺陷或隐患。通常，0day漏洞曝光得越晚，软件或系统提供商给出补丁的几率就越低，那么攻击者利用此类漏洞进行攻击的危害程度也就会越高，因为它们很难被预测和防御。 目前，0day攻击对所有企业组织和个人都是一个严重的威胁，如何有效防范这种类型的攻
继续阅读微软2023年1月补丁日多产品安全漏洞风险通告
微软2023年1月补丁日多产品安全漏洞风险通告 原创 QAX CERT 奇安信 CERT 2023-01-11 11:36 奇安信CERT 致力于 第一时间为企业级用户提供安全风险 通告 和 有效 解决方案。 通告摘要 本月，微软共发布了99个漏洞的补丁程序，修复了Microsoft Exchange Server、Microsoft SharePoint、Windows LDAP、Microso
继续阅读【已复现】GitLab 远程代码执行漏洞安全风险通告第二次更新
【已复现】GitLab 远程代码执行漏洞安全风险通告第二次更新 原创 QAX CERT 奇安信 CERT 2023-01-09 17:03 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 Gitlab是目前被广泛使用的基于git的开源代码管理平台, 基于Ruby on Rails构建, 主要针对软件开发过程中产生的代码和文档进行管理，同时可以搭建W
继续阅读Fortinet FortiADC 命令注入漏洞(CVE-2022-39947)安全风险通告
Fortinet FortiADC 命令注入漏洞(CVE-2022-39947)安全风险通告 原创 QAX CERT 奇安信 CERT 2023-01-09 17:03 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 Fortinet（飞塔）是一家全球知名的网络安全产品和安全解决方案提供商，其产品包括防火墙、防病毒软件、入侵防御系统和终端安全组件等
继续阅读某达摄像头的漏洞挖掘经历
某达摄像头的漏洞挖掘经历 原创 狒猩橙 ChaMd5安全团队 2023-01-08 10:51 前言 在看了一位师傅的关于摄像头的文章之后，我也心血来潮找了一款摄像头（某达最新款CP7）固件去挖一下练练手。 串口获取shell 拿到摄像头拆下来之后尝试了一波串口获取shell。 image-20230103171820881 但是连上之后发现这个摄像头貌似无法获得一个正常的shell，只能用来看回
继续阅读丰田、奔驰、宝马等API漏洞暴露车主个人信息
丰田、奔驰、宝马等API漏洞暴露车主个人信息 Bill Toulas 代码卫士 2023-01-05 18:13 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 安全研究人员发现，近20家汽车制造商和服务中包含API漏洞，可使黑客执行恶意活动如解锁车门、启动汽车并追踪车辆，暴露客户的个人信息。这些漏洞影响多家知名车厂，包括宝马、劳斯莱斯、奔驰、法拉利、保时捷、捷豹、路虎、福特、起亚、本田、英
继续阅读上周关注度较高的产品安全漏洞(20221226-20230101)
上周关注度较高的产品安全漏洞(20221226-20230101) 国家互联网应急中心CNCERT 2023-01-04 16:43 一、境外厂商产品漏洞 1、IBM Cognos Analytics服务器端请求伪造漏洞 IBM Cognos Analytics是美国IBM公司的一套商业智能软件。该软件包括报表、仪表板和记分卡等，并可通过分析关键因素与关键人等内容，协助企业调整决策。IBM Cog
继续阅读Apache Kylin多个命令注入漏洞安全风险通告
Apache Kylin多个命令注入漏洞安全风险通告 原创 QAX CERT 奇安信 CERT 2023-01-03 18:53 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 Apache Kylin 是一个开源的、分布式的分析型数据仓库，提供Hadoop或Spark之上的 SQL 查询接口及多维分析（OLAP）能力以支持超大规模数据，最初由 e
继续阅读12月API漏洞及相关资讯一览
12月API漏洞及相关资讯一览 星阑科技 2022-12-29 15:07 为了让大家的API更加安全 致力于守护数字世界每一次网络调用 小阑公司 PortalLab实验室的同事们 给大家整理了 12月份的一些API安全漏洞报告和资讯 希望大家查漏补缺 及时修复自己API可能出现的漏洞 No.1 Zendesk Explore API中的SQL注入漏洞 漏洞详情：Zendesk Explore 是
继续阅读重磅福利 | X情报社区全面开放漏洞情报能力！
重磅福利 | X情报社区全面开放漏洞情报能力！ 微步在线 2022-12-28 19:21 漏洞，是入侵目标最有效的方法之一。 因此，在如今漏洞满天飞的攻防形势下，只有及时掌握最关键/活跃的漏洞情报信息，才能不陷于被动 。 最近流行的漏洞是什么？ 这些漏洞利用有什么特征？ 谁在用这些漏洞搞事情？ 这些漏洞的解决方案是什么？ …… …… 你都知道吗？ 为了帮助大家快速找到答案，快速应对漏洞威胁，
继续阅读【已复现】Microsoft Exchange Server “OWASSRF” 漏洞安全风险通告
【已复现】Microsoft Exchange Server “OWASSRF” 漏洞安全风险通告 代码卫士 2022-12-26 17:38 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 Microsoft Exchange Server是微软公司的一套电子邮件服务组件。 除传统的电子邮件的存取、储存、转发功能外，在新版
继续阅读CVE-2017-14627栈溢出漏洞及exploit的调试与分析
CVE-2017-14627栈溢出漏洞及exploit的调试与分析 DriverUnload 看雪学苑 2022-12-19 18:00 本文为看雪论坛优秀文章 看雪论坛作者ID：DriverUnload 纸上得来终觉浅,绝知此事要躬行 –陆游 最近 《漏洞战争 》快看完了，也跟着书把漏洞分析了一遍。虽然也有自己的思考，但绝大部分都是复刻书中的操作。以我浅薄的知识，甚至有的时候无法理
继续阅读Cacti命令执行漏洞 (CVE-2022-46169) 安全通告
Cacti命令执行漏洞 (CVE-2022-46169) 安全通告 安全内参 2022-12-06 20:25 Cacti项目是一个开源平台，可为用户提供强大且可扩展的操作监控和故障管理框架。 近日，奇安信CERT监测到Cacti存在命令执行漏洞(CVE-2022-46169)，攻击者可通过构造恶意请求在无需登录的情况下向函数中注入命令，达到命令执行的目的。鉴于此漏洞影响范围较大，建议客户尽快做好
继续阅读Cacti命令执行漏洞(CVE-2022-46169)安全风险通告
Cacti命令执行漏洞(CVE-2022-46169)安全风险通告 原创 QAX CERT 奇安信 CERT 2022-12-06 19:37 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 Cacti项目是一个开源平台，可为用户提供强大且可扩展的操作监控和故障管理框架。 近日，奇安信CERT监测到Cacti存在命令执行漏洞(CVE-2022-46
继续阅读新课预售！系统0day安全- 二进制漏洞攻防，赋能企业安全
新课预售！系统0day安全- 二进制漏洞攻防，赋能企业安全 看雪课程 看雪学苑 2022-12-06 18:00 二进制漏洞是可执行文件（PE、ELF文件等）因编码时考虑不周，造成软件执行了非预期的功能。由于二进制漏洞大都涉及到系统层面，所以危害程度比较高。 因此，二进制漏洞的挖掘和分析就显得尤为重要，不仅能帮助安全从业者强化解决实际问题能力，掌握高效防御技能，还能及时发现业务系统内潜在的问题，赋
继续阅读Chrome、Windows Defender和Firefox的0-day漏洞统统与西班牙一家商业IT公司有关联
Chrome、Windows Defender和Firefox的0-day漏洞统统与西班牙一家商业IT公司有关联 布加迪 嘶吼专业版 2022-12-02 12:00 谷歌的研究人员周三表示，他们发现一家总部位于西班牙巴塞罗那的IT公司居然销售利用Chrome、Firefox和Windows Defender中漏洞的高级软件框架。 Variston IT自称专门提供定制的信息安全解决方案，包括嵌入
继续阅读思科ISE多个漏洞可用于一次点击exploit
思科ISE多个漏洞可用于一次点击exploit Sergiu Gatlan 代码卫士 2022-11-29 17:44 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 思科身份服务引擎 (ISE) 中存在多个漏洞，可导致远程攻击者注入任意命令、绕过已有安全防护措施，或执行跨站点脚本 (XSS) 攻击。 思科ISE是基于身份的网络访问控制 (NAC) 和策略执行系统，可使管理员控制端点访问权限
继续阅读