安全头条 | 国常会审议通过《商用密码管理条例(修订草案）》；CNNVD通报微软多个安全漏洞 aqniu 安全牛 2023-04-17 11:41 点击蓝字·关注我们 AQNIU 上周安全热点回顾 • 国常会审议通过《商用密码管理条例(修订草案》 • 关于发布2023年度第一批网络安全国家标准需求的通知 • 中央网信办等五部门印发《2023年数字乡村发展工作要点》 • 国家标准《信息安全技术 软件
继续阅读Joomla Unauthorized”后”渗透到RCE Betta 火线Zone 2023-04-14 17:06 前言 前文已经分析过了Joomla Unauthorized的漏洞成因，总的来说是由于函数array_merge()变量覆盖引起的，未授权的api接口很多。 Joomla Unauthorized RCE1 api路径 api/index.php/v1/co
继续阅读Fortinet 修复数据分析解决方案中的严重漏洞 Ionut Arghire 代码卫士 2023-04-13 17:35 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 本周，网络安全解决方案提供商 Fortinet 宣布发布多款产品的安全更新，包括针对 FortiPresence 中的一个严重漏洞。 FortiPresence 是一款数据分析解决方案，提供分析、热力图和报告服务，可作为托
继续阅读微软 2023 年 4 月补丁日修复了 98个漏洞 安全客 2023-04-12 11:12 今天是微软 2023 年 4 月的补丁星期二，安全更新修复了一个被积极利用的零日漏洞，共计 97 个漏洞。 七个漏洞因允许远程代码执行而被归类为“严重”，这是最严重的漏洞。 每个漏洞类别中的错误数量如下所列： – 20 提权漏洞 8 个安全功能绕过漏洞 45个远程代码执行漏洞 10个信息泄露漏
继续阅读Sophos 修复位于 Sophos Web Appliance 设备中的三个漏洞 代码卫士 2023-04-11 17:22 聚焦源代码安全，网罗国内外最新资讯！ 作者：Pierluigi Paganini 编译：代码卫士 Sophos 修复了位于 Sophos Web Appliance 中的三个漏洞，其中一个是可导致代码执行的严重漏洞 CVE-2023-1671（CVSS 评分9.8）。 C
继续阅读3月这几个API安全漏洞值得注意！ 星阑科技 2023-04-04 14:29 为了让大家的API更加安全 致力于守护数字世界每一次网络调用 小阑公司 PortalLab实验室的同事们 给大家整理了 3月份的一些API安全漏洞报告 希望大家查漏补缺 及时修复自己API可能出现的漏洞 No.1 影子API将带来不可预知的漏洞 漏洞详情：时至今日，许多企业没有准确的API库存清单，因此导致了一种新的威
继续阅读Windows漏洞十年未修复，3CX供应链攻击影响全球60多万家企业 Lawrence Abrams 代码卫士 2023-04-03 16:53 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 已存在十年之久的Windows 漏洞 (CVE-2013-3900) 遭利用，导致可执行文件看似获得合法签名。这么多年来，微软发布的修复方案仍然是“opt-in”状态。更糟糕的是，升级至 Window
继续阅读未修复漏洞可导致水泵控制器遭远程攻击 Eduard Kovacs 代码卫士 2023-03-31 18:37 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 ProPump and Controls 公司制造的一款水泵系统受多个漏洞影响，可导致黑客引发重大问题。 受影响产品是由该公司制造的 Osprey Pump Controller。该公司位于美国，专注于为大规模应用制造水泵系统和自动化控
继续阅读通过配置不当的微软app劫持Bing 搜索结果，获得4万美元漏洞奖励 Bill Toulas 代码卫士 2023-03-31 18:37 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 一款配置不当的微软应用可使任何人登录并实时修改 Bing.com 搜索结果以及注入 XSS 攻击，攻陷 Office 365 用户的账号。 Wiz公司的研究人员发现了该问题并将其描述为“BingBang”。该
继续阅读JNDI注入- JNDIExploit 改写内存马适配冰蝎3.0以及魔改 taamr 火线Zone 2023-03-28 18:04 序 最近复现学习Fastjson反序列化漏洞利用的时候，用JNDIExploit注入内存马发现连接不上，得魔改冰蝎，再仔细搜索了几篇文档发现新版的冰蝎已经不用魔改也可以连接了，但是目前开源的JNDIExploit的内存马逻辑得改一改。 后面一想，魔改冰蝎还不如改一改
继续阅读PHP开发服务器远程源代码泄露漏洞原理剖析 山石网科安全技术研究院 2023-03-24 11:39 PHP Built-in Server是PHP自带的Web服务器，多用于在研发阶段快速启动并运行一个可以执行PHP脚本的Web服务器。由于其性能及安全性并没有得到完好的保障，故PHP官方并不建议在生产环境下使用这个服务器。 01 历史问题 02 PHP 开发服务器 <= 7.4.21 &
继续阅读Jenkins 出现严重漏洞，可导致代码执行攻击 Ravie Lakshmanan 代码卫士 2023-03-09 17:39 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 开源自动化服务器 Jenkins 中存在两个严重漏洞（CVE-2023-27898和CVE-2023-27905），可导致攻击者在目标系统上执行代码。 这两个漏洞影响 Jenkins 服务器和Update Center
继续阅读TPLink 中继器设备命令注入漏洞分析及复现 原创 Sezangel ChaMd5安全团队 2023-03-06 11:15 写在前面： 在分析TPlink中继器设备时（这里以TL-WPA8630为代表），发现了两处可以利用的命令注入和栈溢出漏洞，因此借这个机会，将TPlink此类设备的模拟方法也进行了研究，并在本地对漏洞进行了复现。相关漏洞已经提交至CVE官网。 漏洞介绍：在httpd文件处理
继续阅读严重性评分差异干扰漏洞修复 nana 数世咨询 2023-03-05 23:30 年初发布的一份研究报告无疑会让企业安全团队质疑仅凭美国国家漏洞数据库（NVD）中的漏洞评分来做出修复优先级决策是否明智。 VulnCheck对12万个CVE及其相关CVSS v3评分的分析显示，近2.5万个（大约20%）CVE都有两个严重性评分。一个评分出自维护NVD的美国国家标准与技术研究所（NIST），另一个出自
继续阅读Chromium 漏洞可用于绕过安卓设备上的安全特性 Ben Dickson 代码卫士 2023-02-28 17:55 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 最近，Chromium 项目中修复了一个漏洞，它本可导致恶意人员绕过保护安卓浏览器上敏感cookie的安全特性SameSite。 SameSite 设置可使开发人员限制对cookie的访问。例如，通过设置 SameSite=
继续阅读上周关注度较高的产品安全漏洞(20230220-20230226) 国家互联网应急中心CNCERT 2023-02-27 16:44 一、境外厂商产品漏洞 1、Siemens Tecnomatix Plant Simulation越界写入漏洞（CNVD-2023-10619） Siemens Tecnomatix Plant Simulation是面向对象的、图形化的、集成的建模、仿真工具。Sie
继续阅读【漏洞预警】微软2月多个安全漏洞 安识科技 SecPulse安全脉搏 2023-02-16 11:55 1. 通告信息 2023年2月14日，微软发布了2月安全更新，本次更新修复了包括3个0 day漏洞在内的75个安全漏洞（不包括Microsoft Edge和其它漏洞），其中有9个漏洞评级为“严重”。 对此，安识科技建议广大用户及时升级到安全版本 ,并做好资产自查以及预防工作，以免遭受黑客攻击。
继续阅读想要深入了解各类CVE漏洞，get独立挖掘和分析漏洞的能力吗？ 看学课程 看雪学苑 2023-02-02 17:59 世界上主流软件厂商开发的软件、程序，如果被发现存在漏洞，而且有一定的影响力，那么这些漏洞信息都会被保存在一个叫做CVE的数据库中进行统一的管理。 这样一来，只要我们有某条CVE漏洞的编号，就能从CVE的官网搜索到出现漏洞的操作系统、版本号和软件等信息，从而搭建一个相同的环境，对漏洞
继续阅读热门开源库 JsonWebToken 存在RCE漏洞，可引发供应链攻击 Bill Toulas 代码卫士 2023-01-10 17:57 聚焦源代码安全，网罗国内外最新资讯！**** 专栏·供应链安全 数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。 随着软件产业的快速发展，软件供应链也越发复
继续阅读Fortinet 两款产品FortiTester和FortiADC中存在高危命令注入漏洞 Ionut Arghire 代码卫士 2023-01-05 18:13 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 本周，网络安全解决方案提供商Fortinet 发布了产品中多个漏洞的补丁，并将FortiADC中的高危命令注入漏洞告知客户。该漏洞的编号是CVE-2022-39947，位于FortiA
继续阅读上周关注度较高的产品安全漏洞(20221226-20230101) 国家互联网应急中心CNCERT 2023-01-04 16:43 一、境外厂商产品漏洞 1、IBM Cognos Analytics服务器端请求伪造漏洞 IBM Cognos Analytics是美国IBM公司的一套商业智能软件。该软件包括报表、仪表板和记分卡等，并可通过分析关键因素与关键人等内容，协助企业调整决策。IBM Cog
继续阅读《58集团漏洞标准V4.2》 58安全应急响应中心 2023-01-03 18:14 本标准将于2023年1月4日0：00起生效 基本原则 58集团非常重视自身产品和业务的安全，我们承诺对每一份报告都有专人及时跟进处理，给出漏洞评定结果以及原因，并给予白帽子与之匹配的利益。 58SRC非常希望您在提交漏洞前认真阅读平台《58SRC漏洞评分标准》、《58SRC漏洞审核策略》以及《白帽子常见FAQ》，
继续阅读12月API漏洞及相关资讯一览 星阑科技 2022-12-29 15:07 为了让大家的API更加安全 致力于守护数字世界每一次网络调用 小阑公司 PortalLab实验室的同事们 给大家整理了 12月份的一些API安全漏洞报告和资讯 希望大家查漏补缺 及时修复自己API可能出现的漏洞 No.1 Zendesk Explore API中的SQL注入漏洞 漏洞详情：Zendesk Explore 是
继续阅读上周关注度较高的产品安全漏洞(20221219-20221225) 国家互联网应急中心CNCERT 2022-12-28 16:33 一、境外厂商产品漏洞 1、Siemens Teamcenter Visualization和JT2Go越界写入漏洞 Siemens Teamcenter Visualization是一个可为设计2D、3D场景提供团队协作功能的软件。Siemens JT2GO是一款J
继续阅读多个BMC供应链漏洞现身，数十家厂商生产的服务器受影响 Ravie Lakshmanan 代码卫士 2022-12-06 17:43 聚焦源代码安全，网罗国内外最新资讯！**** 专栏·供应链安全 数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。 随着软件产业的快速发展，软件供应链也越发复杂多元
继续阅读APP漏洞挖掘之某款APP开发商通用漏洞的挖掘 原创 池羽 Tide安全团队 2022-12-06 17:03 0x01 前言 参加某众测项目时，测某APP时，根据信息收集+测试，发现APP的后台系统存在SQL注入、XSS、弱口令、信息泄漏等漏洞，此APP本身存在逻辑漏洞与SQL注入漏洞，再通过观察酷传搜索的结果发现此APP开发商开发了三十几个APP，猜测可能存在相同类型的漏洞，经测试猜测被证实，
继续阅读德企Festo 和 CODESYS 的OT产品受3个漏洞影响，可导致供应链攻击 Ravie Lakshmanan 代码卫士 2022-12-01 18:12 聚焦源代码安全，网罗国内外最新资讯！**** 专栏·供应链安全 数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。 随着软件产业的快速发展，
继续阅读思科ISE多个漏洞可用于一次点击exploit Sergiu Gatlan 代码卫士 2022-11-29 17:44 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 思科身份服务引擎 (ISE) 中存在多个漏洞，可导致远程攻击者注入任意命令、绕过已有安全防护措施，或执行跨站点脚本 (XSS) 攻击。 思科ISE是基于身份的网络访问控制 (NAC) 和策略执行系统，可使管理员控制端点访问权限
继续阅读0Click RCE：攻击VMWare Workspace ONE Access 原创 应用安全实验室 山石网科安全技术研究院 2022-11-22 11:32 IAM 介绍 00 身份和访问管理（IAM）全称Identity and Access Management，IAM 是提供用户用来管理用户对 AWS 资源的访问权限及其身份验证的服务。基本上的特性有： IAM账户使用者可以分为根使用者
继续阅读2022 SDC 议题回顾 | 国产智能网联汽车漏洞挖掘中的几个突破点 原创 2022 SDC 看雪学苑 2022-11-07 18:02 国产智能网联汽车进入了辅助驾驶时代，发展非常迅猛，但安全问题也随之增多。本议题讲解国产智能网联汽车漏洞挖掘中的几种特殊方法和思路，也有对应的防护建议。供汽车相关安全研究人员和车企开发者参考。 例如：渗透汽车要准备哪些合适的软件和硬件?如何找到并进入车厂隐藏的&
继续阅读