标签： EXP

安全热点周报：谷歌、微软等厂商发布紧急补丁，防范本周新增的七个在野利用漏洞

发布于 作者:

安全热点周报：谷歌、微软等厂商发布紧急补丁，防范本周新增的七个在野利用漏洞 奇安信 CERT 2024-05-20 19:42 安全资讯导视  • 国家安全部：境外一非政府组织非法搜集窃取我国自然保护区核心敏感数据 • 因供应商被黑，欧洲银行巨头桑坦德银行所有员工和多国客户数据泄露 • 美国CISA等多国机构发布公民社会网络安全指南 PART01 漏洞情报 1.Google Chrome V8类型

继续阅读

CISA提醒修复严重的Chrome 和 D-Link漏洞

发布于 作者:

CISA提醒修复严重的Chrome 和 D-Link漏洞 Bill Toulas 代码卫士 2024-05-20 17:37 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 美国网络安全和基础设施局 (CISA) 将三个漏洞添加至必修清单，其中一个影响谷歌 Chrome 浏览器，另外两个影响某些D-Link 路由器。 CISA 提醒联邦机构和企业这些漏洞正遭利用，应部署安全更新或缓解措施。联

继续阅读

福昕PDF阅读器漏洞被用于传播恶意软件

发布于 作者:

福昕PDF阅读器漏洞被用于传播恶意软件 网络安全应急技术国家工程中心 2024-05-20 15:32 近日，Check Point的研究人员警告称，黑客正在利用福昕（Foxit）PDF阅读器的设计缺陷通过PDF文档传播多种恶意软件。 漏洞利用方式 研究人员分析了多起利用恶意PDF文件的攻击活动，这些攻击主要针对Foxit Reader的用户。攻击者使用各种.NET和Python漏洞构建器，其中最

继续阅读

思科企业级路由器0day漏洞挖掘

发布于 作者:

思科企业级路由器0day漏洞挖掘 原创 信睿网络 信睿网络 2024-05-19 18:38 **思科企业级路由器0day漏洞挖掘 前言 01 写这篇文章的初衷是因为有很多师傅问我：零基础小白该如何入手挖设备的二进制洞？很多师傅也许会觉得这是一件很困难的事情。读了这篇文章之后，我相信大家应该能体会到即使像思科这种全球头部大厂也是有很多很水的洞是可以很容易挖到的。 今年年初2月份的时候，笔者对美国思

继续阅读

JDBC反序列化漏洞

发布于 作者:

JDBC反序列化漏洞 原创 joyboy fly的渗透学习笔记 2024-05-18 17:58 免责声明： 本次文章仅限个人学习使用，如有非法用途均与作者无关，且行且珍惜；由于传播、利用本公众号所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除整改并向您致以歉意。谢谢！ JDBC简介： JDBC

继续阅读

CVE-2024-34220

发布于 作者:

CVE-2024-34220 A___bandon 漏洞猎人 2024-05-18 08:02 免责声明：本文所涉及的信息安全技术知识仅供参考和学习之用，并不构成任何明示或暗示的保证。读者在使用本文提供的信息时，应自行判断其适用性，并承担由此产生的一切风险和责任。本文作者对于读者基于本文内容所做出的任何行为或决定不承担任何责任。在任何情况下，本文作者不对因使用本文内容而导致的任何直接、间接、特殊或

继续阅读

Weblogic T3协议反序列化漏洞分析（上）

发布于 作者:

Weblogic T3协议反序列化漏洞分析（上） 原创 Sec0re 源鲁安全实验室 2024-05-17 19:42 此文章原创作者为源鲁安全实验室，转载请注明出处！此文章中所涉及的技术、思路和工具仅供网络安全学习为目的，不得以盈利为目的或非法利用，否则后果自行承担！ 0x01 前言 在初入安全的时候，就听说过weblogic的大名，当然听说的并不是 weblogic如何如何好用，而是因为其漏洞

继续阅读

【漏洞预警】mlflow信息泄露漏洞(CVE-2024-3848)

发布于 作者:

【漏洞预警】mlflow信息泄露漏洞(CVE-2024-3848) cexlife 飓风网络安全 2024-05-17 17:02 漏洞描述: mlflоԝ/mlflоԝ版本2.11.0中存在一个路径遍历漏洞,该漏洞被识别为先前解决的CVE-2023-6909的绕过,该漏洞源于应用程序对工件URL的处理,其中可以使用“#”字符将路径插入片段，从而有效地跳过验证,这允许攻击者构建一个URL,该URL

继续阅读

价值60亿元的艺术品拍卖活动因网络攻击延期；CNNVD通报微软多个安全漏洞 | 牛览

发布于 作者:

价值60亿元的艺术品拍卖活动因网络攻击延期；CNNVD通报微软多个安全漏洞 | 牛览 安全牛 2024-05-17 12:02 点击蓝字·关注我们  /  aqniu 新闻速览 ㆍ国家网信办发布第十五批境内区块链信息服务备案清单 ㆍCNNVD通报微软多个安全漏洞 ㆍAndroid 和iOS将在新版本中引入反跟踪功能 ㆍ美国联邦首席安全官Chris DeRusha将离职，曾参与多项政府行政命令的制定

继续阅读

攻击者正在利用Foxit PDF Reader漏洞传播恶意软件

发布于 作者:

攻击者正在利用Foxit PDF Reader漏洞传播恶意软件 安全客 安全客 2024-05-16 16:38 Check Point Research 发现 PDF 漏洞正在广泛传播，主要针对 Foxit Reader 用户。通过触发安全警告，毫无戒心的用户可能会被欺骗执行有害命令。 许多攻击者已经在利用该漏洞，该漏洞利用了“福昕阅读器（Foxit Reader）中警告消息的设计缺陷”。 尽管

继续阅读

【谷歌一周内修复第三个在野利用】Google Chrome V8类型混淆漏洞(CVE-2024-4947)安全风险通告

发布于 作者:

【谷歌一周内修复第三个在野利用】Google Chrome V8类型混淆漏洞(CVE-2024-4947)安全风险通告 奇安信 CERT 2024-05-16 15:04 ●  点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Google Chrome V8类型混淆漏洞 漏洞编号 QVD-2024-18433,CVE-2024-4947 公开时间 2024-05-15 影响量级 千万

继续阅读

谷歌紧急修复周内第3个已遭利用的0day

发布于 作者:

谷歌紧急修复周内第3个已遭利用的0day Sergiu Gatlan 代码卫士 2024-05-16 11:38 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Chrome 发布紧急 Chrome 安全更新，修复了一周内已遭利用的第3个 0day 漏洞。 谷歌在本周三的安全公告中提到，“谷歌发现 CVE-2024-4947的一个在野利用。” 谷歌发布125.0.6422.60/.61 Ma

继续阅读

新漏洞太多让美国NVD面临崩溃，还可能引发供应链风

发布于 作者:

新漏洞太多让美国NVD面临崩溃，还可能引发供应链风 关键基础设施安全应急响应中心 2024-05-15 14:59 美国用于追踪安全漏洞的联邦数据库几乎陷入停顿。对新披露的漏洞和风险的分析几乎已经不存在，专家警告说，巨大的积压和持续的问题可能导致关键部门的供应链风险。 简单地说：国家漏洞数据库出了问题，而且没有一个有效的解决办法。 为了解决NVD的问题，就必须解决另外一个关键问题，Cyber Th

继续阅读

微软2024年5月补丁日多个产品安全漏洞风险通告

发布于 作者:

微软2024年5月补丁日多个产品安全漏洞风险通告 奇安信 CERT 2024-05-15 09:43 ●  点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 微软2024年5月补丁日多个产品安全漏洞 影响产品 Microsoft Office Excel、.NET 和 Visual Studio、Windows Win32K等。 公开时间 2024-5-15 影响对象数量级 千万级 奇

继续阅读

Chrome又现在野0day漏洞，需要升级浏览器

发布于 作者:

Chrome又现在野0day漏洞，需要升级浏览器 原创 摸鱼的小A 重生之成为赛博女保安 2024-05-12 23:59 好吧，我还没升级，不过这素有原因哒。 如果有和我一样还在使用chromedriver又对主浏览器安全性有要求的朋友，可以改用chromium。 . . . * . *  ☄️ . * . * .  🔆 .* . * .  🧶  * . * . . . 信息来源：theHack

继续阅读

Android Deep Link 问题和 WebView 漏洞利用

发布于 作者:

Android Deep Link 问题和 WebView 漏洞利用 8ksec Ots安全 2024-05-12 12:10 在过去的几年里，Android 智能手机已经变得无处不在。我们有数百万用户依靠这些设备进行商务和个人通信、娱乐和工作。随着 Android 智能手机使用量的增加，应用程序中的安全漏洞数量大幅增加，这些漏洞可能使用户的个人数据面临风险。 Android 深度链接和 Andr

继续阅读

Weblogic-CVE-2023-21839 漏洞解析

发布于 作者:

Weblogic-CVE-2023-21839 漏洞解析 船山信安 2024-05-12 00:01 一、漏洞概述 RCE漏洞，该漏洞允许未经身份验证的远程，通过T3/IIOP协议网络访问并破坏WebLogic服务器，成功利用此漏洞可导致Oracle WebLogic服务器被接管，通过 rmi/ldap远程协议进行远程命令执行,,当  JDK 版本过低或本地存在小工具（javaSerialized

继续阅读

G.O.S.S.I.P 阅读推荐 2024-05-11 可能是今年最令人拍案叫绝的exploit——俄罗斯方块黑客帝国！

发布于 作者:

G.O.S.S.I.P 阅读推荐 2024-05-11 可能是今年最令人拍案叫绝的exploit——俄罗斯方块黑客帝国！ 原创 G.O.S.S.I.P 安全研究GoSSIP 2024-05-11 21:57 我们本月为投稿作者送出的礼物之一的益智游戏《Baba is You》是一款玩家可以在游戏过程中对游戏规则进行自修改的神作，也是一款用来进行memory corruption based exp

继续阅读

【已复现】瑞友天翼应用虚拟化系统存在session反序列化漏洞

发布于 作者:

【已复现】瑞友天翼应用虚拟化系统存在session反序列化漏洞 安恒研究院 安恒信息CERT 2024-05-11 18:32 漏洞概述 漏洞名称 瑞友天翼应用虚拟化系统session反序列化漏洞 安恒CERT评级 1级 CVSS3.1评分 10.0(安恒自评) CVE编号 未分配 CNVD编号 未分配 CNNVD编号 未分配 安恒CERT编号 WM-202405-000002 POC情况 已发现

继续阅读

谷歌修复今年第五个 Chrome 0day漏洞

发布于 作者:

谷歌修复今年第五个 Chrome 0day漏洞 Bill Toulas 代码卫士 2024-05-11 17:33 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 谷歌发布 Chrome 安全更新，修复了今年以来遭利用的第5个 0day 漏洞 (CVE-2024-4671)。 该高危漏洞是位于 Visuals 组件中的“释放后使用”漏洞，负责处理渲染和在浏览器上展示内容。该漏洞由一名匿名研究

继续阅读

H3C-CAS虚拟化管理系统文件上传漏洞(QVD-2024-13294)安全风险通告

发布于 作者:

H3C-CAS虚拟化管理系统文件上传漏洞(QVD-2024-13294)安全风险通告 原创 奇安信 CERT 奇安信安全监测与响应中心 2024-05-11 15:59 ●  点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 H3C-CAS虚拟化管理系统文件上传漏洞(QVD-2024-13294) 漏洞编号 QVD-2024-13294 公开时间 2024-05-11 影响量级 万级

继续阅读

XSS跨站脚本攻击漏洞

发布于 作者:

XSS跨站脚本攻击漏洞 船山信安 2024-05-11 00:03 一、简介 1.概念 XSS又叫CSS（Cross Site Script）跨站脚本攻击是指恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。XSS漏洞通常是通过PHP的输出函数将Javascript代码输出到html页面中，通过用户本地浏

继续阅读