标签： 代码

Cacti命令执行漏洞(CVE-2022-46169)安全风险通告

发布于 作者:

Cacti命令执行漏洞(CVE-2022-46169)安全风险通告 原创 QAX CERT 奇安信 CERT 2022-12-06 19:37 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 Cacti项目是一个开源平台，可为用户提供强大且可扩展的操作监控和故障管理框架。 近日，奇安信CERT监测到Cacti存在命令执行漏洞(CVE-2022-46

继续阅读

新课预售！系统0day安全- 二进制漏洞攻防，赋能企业安全

发布于 作者:

新课预售！系统0day安全- 二进制漏洞攻防，赋能企业安全 看雪课程 看雪学苑 2022-12-06 18:00 二进制漏洞是可执行文件（PE、ELF文件等）因编码时考虑不周，造成软件执行了非预期的功能。由于二进制漏洞大都涉及到系统层面，所以危害程度比较高。 因此，二进制漏洞的挖掘和分析就显得尤为重要，不仅能帮助安全从业者强化解决实际问题能力，掌握高效防御技能，还能及时发现业务系统内潜在的问题，赋

继续阅读

多个BMC供应链漏洞现身，数十家厂商生产的服务器受影响

发布于 作者:

多个BMC供应链漏洞现身，数十家厂商生产的服务器受影响 Ravie Lakshmanan 代码卫士 2022-12-06 17:43 聚焦源代码安全，网罗国内外最新资讯！**** 专栏·供应链安全 数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。 随着软件产业的快速发展，软件供应链也越发复杂多元

继续阅读

APP漏洞挖掘之某款APP开发商通用漏洞的挖掘

发布于 作者:

APP漏洞挖掘之某款APP开发商通用漏洞的挖掘 原创 池羽 Tide安全团队 2022-12-06 17:03 0x01 前言 参加某众测项目时，测某APP时，根据信息收集+测试，发现APP的后台系统存在SQL注入、XSS、弱口令、信息泄漏等漏洞，此APP本身存在逻辑漏洞与SQL注入漏洞，再通过观察酷传搜索的结果发现此APP开发商开发了三十几个APP，猜测可能存在相同类型的漏洞，经测试猜测被证实，

继续阅读

雷神众测漏洞周报2022.11.28-2022.12.4

发布于 作者:

雷神众测漏洞周报2022.11.28-2022.12.4 原创 雷神众测 雷神众测 2022-12-05 15:00 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改或

继续阅读

Chrome、Windows Defender和Firefox的0-day漏洞统统与西班牙一家商业IT公司有关联

发布于 作者:

Chrome、Windows Defender和Firefox的0-day漏洞统统与西班牙一家商业IT公司有关联 布加迪 嘶吼专业版 2022-12-02 12:00 谷歌的研究人员周三表示，他们发现一家总部位于西班牙巴塞罗那的IT公司居然销售利用Chrome、Firefox和Windows Defender中漏洞的高级软件框架。 Variston IT自称专门提供定制的信息安全解决方案，包括嵌入

继续阅读

【安全圈】黑客正在销售最新Fortinet漏洞的访问方式

发布于 作者:

【安全圈】黑客正在销售最新Fortinet漏洞的访问方式 安全圈 2022-12-01 19:00 关键词 Fortinet 安全厂商发现，稍早发现的Fortinet网络设备软件漏洞已经有黑客公开销售访问的方法。 10月间Fortinet修补了零时差漏洞CVE-2022-40684，它是HTTP/HTTPS管理接口的验证绕过漏洞，可被远程滥用，风险值列为9.6，属于重大风险。这项漏洞影响多项产品，

继续阅读

德企Festo 和 CODESYS 的OT产品受3个漏洞影响，可导致供应链攻击

发布于 作者:

德企Festo 和 CODESYS 的OT产品受3个漏洞影响，可导致供应链攻击 Ravie Lakshmanan 代码卫士 2022-12-01 18:12 聚焦源代码安全，网罗国内外最新资讯！**** 专栏·供应链安全 数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。 随着软件产业的快速发展，

继续阅读

英伟达发布 GPU 驱动更新，修复25个漏洞

发布于 作者:

英伟达发布 GPU 驱动更新，修复25个漏洞 Bill Toulas 代码卫士 2022-12-01 18:12 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 英伟达发布 Windows 版本的 GPU 显示驱动安全更新，修复了25个漏洞，含7个高危漏洞，其中1个高危漏洞可导致攻击者实现代码执行和权限提升等。 最严重的两个漏洞是： CVE-2022-34669（CVSS 8.8）：位于 W

继续阅读

停用UEFI安全启动，宏碁多款电脑存在严重安全漏洞

发布于 作者:

停用UEFI安全启动，宏碁多款电脑存在严重安全漏洞 网络安全应急技术国家工程中心 2022-12-01 16:00 11月29日消息，ESET恶意软件研究员Martin Smolar报告，宏碁某些笔记本电脑设备的驱动程序存在高危漏洞，可停用UEFI安全启动功能，导致攻击者在启动过程中部署恶意软件。 受影响的宏碁笔记本电脑型号共计有五款，包括宏碁Aspire A315-22、A115-21、A315

继续阅读

美国CISA最新收录高危漏洞，系与甲骨文有关

发布于 作者:

美国CISA最新收录高危漏洞，系与甲骨文有关 关键基础设施安全应急响应中心 2022-12-01 16:00 近日，美国网络安全和基础设施安全局 （CISA） 将一个影响美国甲骨文（Oracle）公司融合中间件的严重漏洞跟踪为CVE-2021-35587（CVSS 3.1 基本分数 9.8）。该漏洞是由于yizhi Access Manager（Oracle融合中间件）未对HTTP请求进行有效的验

继续阅读

利用solidity与EVM本身的漏洞进行攻击（上）

发布于 作者:

利用solidity与EVM本身的漏洞进行攻击（上） 原创 核心基础实验室 山石网科安全技术研究院 2022-11-30 11:01 编译与执行 solidity是一种高级语言，由人类来编写，语法上类似JavaSrcipt。solidity的源代码可以由编译器编译成以太坊虚拟机(EVM)的字节码，字节码可以在EVM上运行。EVM有许多种版本的实现，但这里我们主要考虑go-ethereum的实现。

继续阅读

华硕修复可禁用安全启动程序的UEFI漏洞

发布于 作者:

华硕修复可禁用安全启动程序的UEFI漏洞 Sergiu Gatlan 代码卫士 2022-11-29 17:44 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 华硕修复了影响多款笔记本机型的一个高危漏洞 (CVE-2022-4020)，它可导致本地攻击者禁用目标系统上的UEFI 安全启动特性。 安全启动安全特性通过一个可信平台模块 (TPM) 和UEFI固件拦截计算机上的不可信操作系统引导

继续阅读

谷歌紧急修复已遭利用的Chrome 0day

发布于 作者:

谷歌紧急修复已遭利用的Chrome 0day Bill Toulas 代码卫士 2022-11-28 17:02 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 谷歌紧急修复2022年以来的第8个Chrome 0day (CVE-2022-4135)。 该漏洞是位于GPU中的一个堆缓冲溢出漏洞，是由谷歌威胁分析团队研究员Clement Lecigne在2022年11月22日发现的。谷歌更新指

继续阅读

速修！Smartbi软件高危命令执行漏洞，影响超4000家企业

发布于 作者:

速修！Smartbi软件高危命令执行漏洞，影响超4000家企业 原创 微步情报局 微步在线 2022-11-23 20:29 漏洞概况 近日，微步在线通过“X漏洞奖励计划”获取到Smartbi商业智能软件命令执行漏洞的相关漏洞情报， 微步TDP已经于2022年9月起支持对该0day漏洞的检测 。 据微步X企业版资产测绘信息来看，目前至少有超过100个IP地址（企业）受此漏洞影响，据Smartbi官

继续阅读

雷神众测漏洞周报2022.11.14-2022.11.20

发布于 作者:

雷神众测漏洞周报2022.11.14-2022.11.20 原创 雷神众测 雷神众测 2022-11-21 15:54 声明 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任

继续阅读

腾讯安全威胁情报中心推出2022年10月必修安全漏洞清单

发布于 作者:

腾讯安全威胁情报中心推出2022年10月必修安全漏洞清单 腾讯威胁情报中心 腾讯安全威胁情报中心 2022-11-17 19:24 欢迎关注 腾讯安全威胁情报中心 腾讯安全攻防团队 A&D Team 腾讯安全 威胁情报团队 腾讯安全威胁情报中心推出2022年10月份必修安全漏洞清单，所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，不修复就意味着黑客攻击入侵后会造成十分严重

继续阅读

F5 多款产品中存在多个RCE漏洞

发布于 作者:

F5 多款产品中存在多个RCE漏洞 Eduard Kovacs 代码卫士 2022-11-17 18:21 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 安全公司Rapid7表示，F5产品受多个漏洞和其它安全问题影响。 Rapid7公司在8月中旬将研究成果告知F5，并在F5发布安全公告通知用户并推出工程热补丁之时，发布了相关漏洞详情。 研究人员指出，其中两个漏洞是高危漏洞并已获得CVE编号

继续阅读

美国政府：伊朗黑客利用Log4Shell 漏洞攻陷联邦机构

发布于 作者:

美国政府：伊朗黑客利用Log4Shell 漏洞攻陷联邦机构 Sergiu Gatlan 代码卫士 2022-11-17 18:21 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 美国FBI和CISA发布联合公告指出，未具名伊朗威胁组织入侵了联邦民事行政部门 (FCEB) 所属一家组织机构并部署了XMRig 挖矿恶意软件。 攻击者利用远程代码执行漏洞Log4Shell (CVE-2021-4

继续阅读

精品好课！《Windows内核漏洞分析与EXP编写技巧》

发布于 作者:

精品好课！《Windows内核漏洞分析与EXP编写技巧》 看雪课程 看雪学苑 2022-11-14 17:59 内核，是一个操作系统的核心。 是基于硬件的第一层软件扩充，提供操作系统的最基本的功能，是操作系统工作的基础，它负责管理系统的进程、内存、设备驱动程序、文件和网络系统，决定着系统的性能和稳定性。 作为讲师，一直以来都想找寻一个比较简单、通俗易懂的方法将很难的东西传授给学员，但是“内核“这个

继续阅读

404星链计划 | Pocsuite3、veinmind-tools、afrog 版本更新

发布于 作者:

404星链计划 | Pocsuite3、veinmind-tools、afrog 版本更新 404星链开发者 知道创宇404实验室 2022-11-14 17:02 预 告 关于Pocsuite3支持 YAML 格式的 PoC，兼容 Nuclei，可以直接使用 nuclei template，明天我们将会发布文章详细聊聊，敬请关注~ 想要学习和交流开源安全工具的朋友可以 加入404星链计划社群，

继续阅读

价值7万美元的谷歌Pixel手机锁屏绕过漏洞

发布于 作者:

价值7万美元的谷歌Pixel手机锁屏绕过漏洞 ang010ela 嘶吼专业版 2022-11-14 12:00 研究人员发现一种可绕过谷歌Pixel手机锁屏的方法。 近日，谷歌修复了一个影响所有Pixel 智能手机的高危安全漏洞，漏洞CVE编号CVE-2022-20465。该漏洞是一个锁屏绕过漏洞，攻击者利用该漏洞可以解锁Pixel 智能手机。 从谷歌官方发布的修复代码分析，该漏洞是由错误翻译SI

继续阅读

首届中国eBPF大会分享 | 基于eBPF的内核漏洞检测实践

发布于 作者:

首届中国eBPF大会分享 | 基于eBPF的内核漏洞检测实践 创新研究院 深信服千里目安全技术中心 2022-11-12 18:00 随着智能化、数字化、云化的飞速发展，全球基于Linux系统的设备数以百亿计，而这些设备的安全保障主要取决于主线内核的安全性和健壮性。 传统的内核安全存在周期长、效率低以及版本适配的问题，有没有新的技术能够实现高效检测内核漏洞？ 11月12日，由西安邮电大学主办，中国

继续阅读

YApi命令执行漏洞安全风险通告

发布于 作者:

YApi命令执行漏洞安全风险通告 原创 QAX CERT 奇安信 CERT 2022-11-11 20:24 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 YApi 是高效、易用、功能强大的 API管理平台，旨在为开发、产品、测试人员提供更优雅的接口管理服务。可以帮助开发者轻松创建、发布、维护API。 近日，奇安信CERT监测到YApi命令执行漏

继续阅读