以太坊基金会设立最高100万美元的短期漏洞奖励计划
以太坊基金会设立最高100万美元的短期漏洞奖励计划 Adam Bannister 代码卫士 2022-08-26 18:32 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 以太坊基金会宣布称，因以太坊网络的共识机制将从 “工作量证明 (proof-of-work)” 转向 ”权益证明 (proof-of-stake)”，从即日（当地时间8月24日）起至9月8日期间，如研究员能找到严重漏洞，
继续阅读标签： 代码执行
GitLab修复了CE、EE版本中一个远程代码执行漏洞
GitLab修复了CE、EE版本中一个远程代码执行漏洞 网络安全应急技术国家工程中心 2022-08-26 15:01 近期，Security Affairs 网站披露，DevOps 平台 GitLab 修复了其社区版(CE)和企业版(EE)中出现的一个关键远程代码执行漏洞，该漏洞被追踪为 CVE-2022-2884(CVSS 评分 9.9)。 据悉，攻击者经过“身份验证”后，可以通过 GitHu
继续阅读GitLab存在严重漏洞，允许通过Github导入实现远程命令执行
GitLab存在严重漏洞，允许通过Github导入实现远程命令执行 看雪学苑 看雪学苑 2022-08-25 18:02 本周一，GitLab发布了其社区版（CE）和企业版（EE）的15.3.1、15.2.3、15.1.5版本，其中包含重要的安全修复程序。 在公告中，GitLab强烈建议用户立即将其GitLab升级到这些版本之一，因GitLab CE/EE中存在一个高危漏洞。 GitLab是一个使
继续阅读微软公开披露关键 ChromeOS 漏洞的细节
微软公开披露关键 ChromeOS 漏洞的细节 网络安全应急技术国家工程中心 2022-08-25 15:43 微软分享了一个关键的 ChromeOS 漏洞的技术细节，该漏洞可被利用来触发 DoS 条件或远程代码执行。被跟踪为 CVE-2022-2587(CVSS 得分为 9.8)的关键 ChromeOS 漏洞的详细信息。该漏洞是 OS Audio Server 中的一个越界写入问题，可被利用来触
继续阅读GitLab远程代码执行漏洞 (CVE-2022-2884) 安全风险通告
GitLab远程代码执行漏洞 (CVE-2022-2884) 安全风险通告 安全内参 2022-08-24 19:07 近日，奇安信CERT监测到GitLab官方发布GitLab远程代码执行漏洞(CVE-2022-2884)通告，经过身份认证的远程攻击者可通过GitHub导入功能实现远程代码执行。鉴于此漏洞影响范围较大，建议客户尽快做好自查及防护。 漏洞名称 GitLab 远程代码执行漏洞 公开时
继续阅读2022最危险的五个API安全漏洞
2022最危险的五个API安全漏洞 关键基础设施安全应急响应中心 2022-08-24 14:56 API安全漏洞仍然是企业的眼中钉，访问控制漏洞几乎成了高危漏洞的代名词。 API作为系统功能之间的关键通信方法，在网络服务中扮演着关键作用，已经成为网络攻击的热门目标。 根据API安全公司Wallarm最新发布的“2022年一季度API漏洞”报告，第一季度共发现并报告了48个与API相关的漏洞(下图
继续阅读CNNVD | 关于苹果多个安全漏洞情况的通报
CNNVD | 关于苹果多个安全漏洞情况的通报 中国信息安全 2022-08-23 19:48 扫码订阅《中国信息安全》杂志 邮发代号 2-786 征订热线：010-82341063 近日，国家信息安全漏洞库（CNNVD）收到关于Apple macOS Monterey安全漏洞（CNNVD-202208-3348、 CVE-2022-32894 ）和Apple macOS Monterey安全漏洞
继续阅读微软详述严重的 ChromeOS 漏洞
微软详述严重的 ChromeOS 漏洞 综合编译 代码卫士 2022-08-23 17:45 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 上周五，微软详述了ChromeOS 中严重漏洞 (CVE-2022-2587) 的详情。该漏洞可用于执行拒绝服务 (DoS) 攻击，并在一些情况下可导致远程代码执行后果。 CVE-2022-2587是一个界外写漏洞，CVSS评分为9.8，由微软 365
继续阅读苹果曝严重漏洞冲上热搜第一，黑客或可完全接管设备
苹果曝严重漏洞冲上热搜第一，黑客或可完全接管设备 看雪学苑 看雪学苑 2022-08-22 17:58 近日 ，一则关于“苹果曝出严重安全漏洞”的话题登上了微博热搜第一。 据悉，苹果公司发现其存在两个零日漏洞，影响范围涵盖几乎所有苹果产品，而黑客能够利用这些漏洞执行任意代码，从而获得设备的“完全管理权限”并运行其上的任何应用软件。 其中一个漏洞是内核错误（CVE-2022-32894），它同时存在
继续阅读雷神众测漏洞周报2022.8.15-2022.8.21
雷神众测漏洞周报2022.8.15-2022.8.21 原创 雷神众测 雷神众测 2022-08-22 15:51 声明 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修
继续阅读微软修复”DogWalk “0 day漏洞和其他的17个关键性的漏洞
微软修复”DogWalk “0 day漏洞和其他的17个关键性的漏洞 网络安全应急技术国家工程中心 2022-08-22 15:33 微软正在敦促用户修补一个名为Dogwalk的0 day漏洞，该漏洞目前在野外一直被大量攻击利用。该漏洞(CVE-2022-34713)与微软Windows支持诊断工具有关，它允许远程攻击者在有漏洞的系统上执行任意代码。 该警告是在8月大规模补
继续阅读关于Apple操作系统越界写入漏洞和Apple WebKit越界写入漏洞的安全公告
关于Apple操作系统越界写入漏洞和Apple WebKit越界写入漏洞的安全公告 原创 CNVD CNVD漏洞平台 2022-08-21 17:52 安全公告编号:CNTA-2022-0021 2022年8月21日，国家信息安全漏洞共享平台（CNVD）收录了Apple操作系统越界写入漏洞（CNVD-2022-58457，对应CVE-2022-32894）和Apple WebKit越界写入漏洞（C
继续阅读Apple 多个高危漏洞安全风险通告
Apple 多个高危漏洞安全风险通告 原创 QAX CERT 奇安信 CERT 2022-08-21 17:00 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 近日，奇安信CERT监测到 Apple WebKit 代码执行漏洞(CVE-2022-32893)、Apple Kernel 权限提升漏洞(CVE-2022-32894)。 Apple W
继续阅读微软近一年发放了1亿元漏洞赏金：平均每个漏洞8.5万元
微软近一年发放了1亿元漏洞赏金：平均每个漏洞8.5万元 安全内参编译 安全内参 2022-08-18 20:39 关注我们 带你读懂网络安全 335名白帽子，近一年共提交1091个有效漏洞报告，斩获近亿元奖金，平均每人可领取超27万元。 前情回顾·科技巨头的安全战略 – 千亿营收、万人团队：微软安全已成为网络安全霸主 制造问题，收保护费？微软网络安全霸主地位的“阴暗面” 企业打补丁不再
继续阅读苹果紧急修复两个0day
苹果紧急修复两个0day Lawrence Abrams 代码卫士 2022-08-18 19:01 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 苹果修复了其旗舰平台macOS 和 iOS 上的两个已遭利用0day（CVE-2022-32983和CVE-2022-32984）。 CVE-2022-32894可导致应用程序或能够以内核权限执行任意代码。CVE-2022-32893位于Web
继续阅读Google Chrome 代码执行漏洞安全风险通告
Google Chrome 代码执行漏洞安全风险通告 原创 QAX CERT 奇安信 CERT 2022-08-17 20:33 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 近日，奇安信CERT监测到Google Chrome官方发布安全通告，其中包括Google Chrome 代码执行漏洞(CVE-2022-2856)，由于Intents对不
继续阅读雷神众测漏洞周报2022.8.8-2022.8.14
雷神众测漏洞周报2022.8.8-2022.8.14 原创 雷神众测 雷神众测 2022-08-15 15:00 声明 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改
继续阅读黑帽大会：关注供应链安全与资产漏洞管理
黑帽大会：关注供应链安全与资产漏洞管理 关键基础设施安全应急响应中心 2022-08-15 14:26 8月初，2022年黑帽大会（Black Hat 2022） 在拉斯维加斯召开。作为安全行业技术大会，黑帽大会及其姊妹会议 DEF CON以展示硬件和传统软件漏洞而闻名。 在今年的第25届大会上，参会者在聆听关于这类漏洞分享的同时，也有更多机会聆听和探讨对开发者、开源软件和底层基础设施的威胁、漏洞
继续阅读【技术分享】CVE-2020-6828：Firefox for Android任意文件覆盖漏洞分析
【技术分享】CVE-2020-6828：Firefox for Android任意文件覆盖漏洞分析 原创 fatal0 安全客 2022-08-15 10:00 2020年4月，Mozilla 安全公告 披露并修复了我在Firefox 68.5提交的一个漏洞，漏洞编号为CVE-2020-6828。攻击者可利用该漏洞覆盖Firefox私有目录中的文件，从而控制浏览器的任意配置项，如配置代理服务器，关
继续阅读DrayTek 路由器爆远程代码执行漏洞
DrayTek 路由器爆远程代码执行漏洞 关键基础设施安全应急响应中心 2022-08-11 15:39 DrayTek 路由器远程代码执行漏洞，CVSS评分10分。 DrayTek是一家位于中国台湾的网络设备制造商，其生产的设备主要包括路由器、交换机、防火墙以及VPN设备等。Trellix Threat实验室研究人员在DrayTek Vigor 3910路由器中发现了一个非认证远程代码执行漏洞，
继续阅读【安全更新】微软8月安全更新多个产品高危漏洞通告
【安全更新】微软8月安全更新多个产品高危漏洞通告 原创 NS-CERT 绿盟科技CERT 2022-08-10 19:23 通告编号:NS-2022-0023 2022-08-10 TAG： 安全更新、Windows、Azure、Active Directory、Exchange Server、Hyper-V 漏洞危害： 攻击者利用本次安全更新中的漏洞，可造成权限提升、远程代码执行、敏感信息泄露等
继续阅读2022-08微软漏洞通告
2022-08微软漏洞通告 火绒安全 2022-08-10 15:23 点击蓝字 关注我们 微软官方发布了2022年08月的安全更新。本月更新公布了141个漏洞，包含65个特权提升漏洞、32个远程执行代码漏洞、12个信息泄露漏洞、7个拒绝服务漏洞、7个安全功能绕过漏洞以及1个身份假冒漏洞，其中17个漏洞级别为“Critical”（高危），105个为“Important”（严重）。建议用户及时使用火
继续阅读专题·漏洞治理 | 基于漏洞情报的漏洞运营实践
专题·漏洞治理 | 基于漏洞情报的漏洞运营实践 汪列军 中国信息安全 2022-08-08 18:09 扫码订阅《中国信息安全》杂志 邮发代号 2-786 征订热线：010-82341063 文│奇安信集团威胁情报中心 汪列军 漏洞从来都是网络攻防的焦点。在洛克希德·马丁公司提出的“网络杀伤链模型”中，无论是武器构建、载荷投递抑或是其他环节，都离不开漏洞的影子。 作为攻击者突破渗透 IT 系统的关
继续阅读VMware 修复CVSS评分9.8的身份验证绕过漏洞
VMware 修复CVSS评分9.8的身份验证绕过漏洞 看雪学苑 看雪学苑 2022-08-03 17:58 8 月 2 日，虚拟化和云计算巨头 VMware 发布了一项重要的安全公告 VMSA-2022-00 21 ，通告用户修复数个在 VMware产品中发现的安全漏洞。 这些漏洞包括身份验证绕过、远程代码执行和权限提升。身份验证绕过漏洞意味着具有Workspace ONE Access、VMw
继续阅读开源web应用中存在三个XSS漏洞，可导致系统遭攻陷
开源web应用中存在三个XSS漏洞，可导致系统遭攻陷 Jessica Haworth 代码卫士 2022-08-03 17:40 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 PT Swarm 公司的研究人员在热门的开源开发应用Evaluation CMS、FUDForum 和 GitBucket中发现了三个跨站脚本 (XSS) 漏洞，它们可导致远程代码执行后果。 传统的XSS攻击可导致攻
继续阅读VMware：立即、马上修复这个严重的认证绕过漏洞！
VMware：立即、马上修复这个严重的认证绕过漏洞！ Sergiu Gatlan 代码卫士 2022-08-03 17:40 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 VMware 公司提醒管理员称，应立即修复影响多款产品中影响本地域用户的认证绕过漏洞，它可导致未认证攻击者获得管理员权限。该漏洞的编号为CVE-2022-31656。 该漏洞是由 VNG Security 公司的研究员
继续阅读IO_FILE 与高版本 glibc 中的漏洞利用技巧
IO_FILE 与高版本 glibc 中的漏洞利用技巧 原创 evilpan 有价值炮灰 2022-07-31 20:10 Hacking glibc for fun and profit! 前言 在日常的二进制漏洞利用过程中，最终在获取到任意地址读写之都会面临一个问题: 要从哪里读，写到哪里去。对于信息泄露有很多方法，比如寻找一些数据结构在内存中残留的地址，可以是内部结构，也可以是用户定义的结构
继续阅读Log4Shell漏洞的长期影响
Log4Shell漏洞的长期影响 关键基础设施安全应急响应中心 2022-07-20 15:25 Log4Shell漏洞(CVE-2021-44228)早在6个多月前就被披露了，虽然已经出现了很多防御方法。但该漏洞的影响至今都在。CISA最近发出警告，攻击者正在使用Log4Shell利用VMWare Horizon服务器来发起攻击。 到目前为止，对 Log4Shell 的大量利用都集中在众所周知的
继续阅读针对WordPress插件漏洞的攻击数量激增
针对WordPress插件漏洞的攻击数量激增 网络安全应急技术国家工程中心 2022-07-20 15:24 来自Wordfence的研究人员对近期高频率出现的针对WordPress Page Builder插件的网络攻击发出警告，这些攻击都是试图利用WordPress插件中一个名为Kaswara Modern WPBakery Page Builder Addons的未修补漏洞。 该漏洞被追踪为
继续阅读Oracle 多个产品漏洞安全风险通告
Oracle 多个产品漏洞安全风险通告 原创 QAX CERT 奇安信 CERT 2022-07-20 11:45 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 Oracle官方发布了2022年7月的关键安全补丁集合更新CPU（Critical Patch Update），修复了多个漏洞包括CVE-2022-21570、CVE-2022-2154
继续阅读