51CTO首页
AI.x社区
博客
学堂
精品班
软考社区
免费课
企业培训
鸿蒙开发者社区
WOT技术大会
IT证书
公众号矩阵
移动端
短视频免费课程课程排行直播课软考学堂
全部课程厂商认证IT技术25年5月软考PMP项目管理免费题库
在线学习
文章资源问答课堂专栏直播
51CTO
鸿蒙开发者社区
51CTO技术栈
51CTO官微
51CTO学堂
51CTO博客
CTO训练营
鸿蒙开发者社区订阅号
51CTO软考
51CTO学堂APP
51CTO学堂企业版APP
鸿蒙开发者社区视频号
51CTO软考题库
账号设置 退出

漏洞

1791内容  
主要涵盖最新安全漏洞的报道、安全防护技术的研究以及安全态势的关注。
文章
共 1791 条
十款热门的漏洞管理工具及特点分析
Astra Pentest是一款结合自动扫描与手动渗透测试的漏洞管理工具，可以为各类企业组织提供潜在安全威胁识别和防御服务。

2023-10-30 14:49:43

工具漏洞管理
超越漏洞扫描，加强攻击面管控
外部攻击面管理与持续自动化红队结合起来，为有效的持续威胁暴露管理 (CTEM) 计划奠定了坚实的基础。可以更好地了解独特的威胁情况，从而可以实施补救措施来减轻和最大程度地减少最相关的风险。

2023-10-27 00:03:58

漏洞扫描红队
剖析2023年的浏览器安全挑战
本文深入探讨了浏览器安全，介绍漏洞和漏洞利用工具、零日漏洞和N日漏洞之间的区别，并重点介绍2023年的几大浏览器漏洞，讨论了威胁分子如何通过浏览器软件实施各种攻击，末尾还附有帮助企业加强浏览器安全性的指南。

2023-10-24 15:46:34

浏览器安全漏洞
立即打补丁！Atlassian Confluence 曝出高危漏洞
据悉，CVE-2023-22515 漏洞是一个关键权限提升漏洞，主要影响 Confluence 数据中心和服务器 8.0.0 及更高版本，可在不需要用户交互的低复杂度攻击活动中被远程利用。

2023-10-18 12:15:35

漏洞网络攻击
开源CasaOS云软件发现关键漏洞
这两个漏洞被成功利用的后果是，攻击者可以绕过身份验证限制，并在易受攻击的 CasaOS 实例上直接获得管理权限。

2023-10-18 11:15:28

漏洞CasaOS
五个被积极利用的漏洞，允许黑客窃取密码，发起DoS攻击
CISA 在其目录中标注了五个已知的被主动利用的漏洞，要求用户安装各公司发布的修复程序。

2023-10-12 18:17:59

漏洞黑客
大更新！微软发布103个漏洞补丁，其中13个为严重漏洞
微软方面表示，虽然这种 DDoS 攻击有可能影响服务的可用性，但它本身不会导致客户数据泄露，而且目前还没有看到客户数据被泄露的证据。

2023-10-12 12:48:58

DDoS 攻击漏洞
curl 8.4.0 正式发布，修复 SOCKS5 堆溢出漏洞，建议升级
此漏洞允许攻击者在满足一系列特定条件并将 cookie 放入应用程序当前目录中名为 "none" 的文件的情况下，使用 libcurl 在运行的程序中任意插入 cookie。

2023-10-12 07:52:08

堆溢出漏洞攻击者
安全研究人员如何通过漏洞悬赏计划侵入了汽车公司
让我们去看看一位安全研究人员如何通过漏洞悬赏计划侵入了一家汽车公司的故事，并学习如何更有效地保护贵组织及应用程序。

2023-10-11 14:42:54

漏洞安全
Glibc 动态加载器存在严重本地提权漏洞
的 GLIBC_TUNABLES 环境变量旨在微调和优化与 glibc 相关的应用程序，是开发者和系统管理员的必备工具。它的滥用会广泛影响系统性能、可靠性和安全性。

2023-10-09 18:22:35

环境提权漏洞
通过集成增强漏洞解决
在当前网络威胁不断演变的形势下，组织需要快速降低风险并保护其资产。快速解决可显着减少暴露时间，减少恶意行为者的攻击窗口，同时它还可以作为预防措施，避免较小的漏洞升级为全面的安全漏洞。

2023-10-08 00:06:47

网络威胁漏洞解决资产
超微公司的 BMC 固件被发现存在多个高危漏洞
据Binarly称，从CVE-2023-40284到CVE-2023-40290，这七个漏洞的危险系数不等，可使未经认证的威胁行为者获得BMC系统的根权限。超微公司已经发布了 BMC 固件更新，以修复这些漏洞。

2023-10-07 11:40:22

漏洞
CVE-2023-5129：libwebp开源库10分漏洞
9月25日，谷歌将该漏洞重新归类为了libwebp中的堆溢出漏洞，并为该漏洞重新分配了CVE编号CVE-2023-5129，CVSS评分10分。

2023-10-05 06:17:16

开源库漏洞谷歌
安全软件生命周期之规范性安全软件生命周期流程：接触点
代码审查用于检测实现错误。可以使用手动代码审查，但要求审核员在严格检查代码之前了解安全漏洞。“使用工具进行代码审查”（又名使用静态分析工具或SAST）已被证明是有效的，可供工程师使用没有专家安全知识。

2023-10-05 06:01:28

代码审查安全
管理后台常见漏洞
长期以来，管理后台功能臃肿，不受重视，功能由不同的团队开发、使用第三方组件甚至直接是购买的第三方公司开发的系统。各种原因叠加之下导致它常常成为系统漏洞的高发区。

2023-09-28 00:00:33

漏洞系统
Nagios XI 网络监控软件曝出多个安全漏洞
据悉，这些安全漏洞主要影响到 5.11.1 及更低版本的 Nagios XI，网络可利用这几个漏洞提升自身权限，并获取敏感的用户数据，包括密码哈希和 API 令牌。

2023-09-21 22:34:56

漏洞网络安全
N-Able曝高危漏洞，能任意删除Windows系统文件
该漏洞被追踪为CVE-2023-27470（CVSS 评分：8.8），与 TOCTOU 竞争条件漏洞有关。

2023-09-18 23:28:44

漏洞网络攻击
微软发现影响 Linux 和 macOS系统的 ncurses 库漏洞
微软在 ncurses（new curses 的缩写）编程库中发现了一组内存损坏漏洞，威胁者可利用这些漏洞在易受攻击的 Linux 和 macOS 系统上运行恶意代码。

2023-09-15 12:27:45

漏洞恶意代码
零日攻击呈上升趋势，补丁能跟上吗？
“目前，大约 32% 的情况下，零号受害者，当我们知道零号受害者时，这是一个漏洞。不一定是零日，而是一天、两天，”曼迪亚说。这是一个世界性的观点。仅在美国，这一比例就占已检测事件的 38%。

2023-09-15 00:13:16

零日攻击补丁
ADManager Plus漏洞调试环境搭建
本文记录从零开始搭建ADManager Plus漏洞调试环境的细节，介绍数据库用户口令的获取方法。

2023-09-13 07:30:36

ADManager漏洞调试
基于Windows 32k内核提权漏洞的攻防对抗
漏洞成功利用漏洞触发、漏洞利用这两大环节，而漏洞利用又有以下三个阶段，分别是堆喷射阶段、信息泄露阶段、代码执行阶段。下面将结合CVE-2019-0808、CVE-2021-1732进行详细阐述。

2023-09-11 06:59:59

漏洞代码堆喷射
Apple 补丁积极利用 iOS、macOS 零日漏洞
今年到目前为止，Apple 已针对 iOS、iPadOS 和 macOS 平台中 13 个记录在案的零日漏洞推出了修复程序。该公司还推出了“锁定模式”来直接应对这些攻击，但利用的速度并没有放缓。

2023-09-10 00:14:30

iOSiPadOS漏洞
针对严重的 VMware 安全缺陷发布的利用代码
VMware 一直在努力解决 Aria Operations for Networks 产品中的安全问题，最近修复了一个被远程利用的命令注入漏洞。Aria Operations for Network 产品也已被标记在美国政府的 CISA 已知利用漏洞目录中。

2023-09-06 00:09:42

VMware安全产品
美国国家安全委员会意外暴露近2000家企业组织凭证
该漏洞不仅对 NSC 系统造成风险，也对使用 NSC 服务的公司造成风险。暴露的凭据可能被用于撞库攻击，这种攻击试图登录公司的VPN 门户、人力资源管理平台或公司电子邮件。

2023-08-31 18:42:46

漏洞撞库攻击
法国失业局数据泄露可能影响1000万人
“我们目前正在与 Pôle Emploi 就他们报告的数据问题密切合作。当然，数据安全是我们的首要任务之一，我们的专家团队全力参与此事，为 Pôle Emploi 提供支持。

2023-08-31 00:03:28

失业局数据泄露
安全产品漏洞这个事，瞒不住了
有安全研究人员称，防病毒软件是潜在攻击者的理想目标，如果为防病毒软件编写漏洞利用程序，可能仅需一次就能获得最高权限。

2023-08-29 23:28:19

网络安全漏洞
网络安全知识：什么是漏洞管理？
漏洞管理与攻击面管理（ASM）密切相关。ASM 是对构成组织攻击面的漏洞和潜在攻击向量的持续发现、分析、修复和监控。ASM 和漏洞管理之间的核心区别之一是范围。虽然这两个流程都会监控和解决组织资产中的漏洞，但 ASM 采用更全面的方法来实现网络安全。

2023-08-29 00:12:59

网络安全漏洞
零日攻击利用 WinRAR 安全漏洞锁定交易者
该漏洞被标记为 CVE-2023-38831，允许威胁者仿用文件扩展名，从而在伪装成看似无害的图像或文本文件的压缩包中启动恶意脚本。

2023-08-25 13:47:53

漏洞网络犯罪
软件漏洞检测场景中的深度学习模型实证研究
为了从应用角度对DLM模型在漏洞检测场景下的能力与价值进行验证，Steenhoek等人发表了《漏洞检测的深度学习模型实证研究》论文。

2023-08-23 12:38:10

漏洞深度学习
TP-Link 智能灯泡缺陷能让黑客窃取用户 WiFi 密码
研究人员在发现这些漏洞后向 TP-Link 进行了披露，对方承认了这些问题的存在，并告知将很快对应用程序和灯泡固件进行修复。

2023-08-22 21:30:12

漏洞黑客
QQ 这个 1day 算漏洞吗？
作为安全从业者对于他人发送的文件，我们可以通过文件后缀来判断文件是否为可执行文件，而对于大众来说，不具备这样的技术知识，容易上当，如何避免自己被钓鱼呢？

2023-08-22 20:26:13

漏洞网络钓鱼
聊聊网络安全漏洞扫描工具和服务
作为有效的漏洞管理计划 (VMP) 的一部分，漏洞扫描解决方案是一种经济实惠的自动检测组织网络内安全问题的方法。然而，漏洞扫描产品和服务市场涵盖许多专业领域，并包括涉及部署模型和许可成本等问题的广泛选项。这些复杂性可能在为自己的组织购买漏洞扫描解决方案时难以做出正确的选择。

2023-08-21 00:12:23

网络安全漏洞
Akamai：亚太地区和日本关键行业风险加剧，漏洞滥用导致勒索软件受害者增长204%
《勒索软件异常活跃：漏洞利用技术花样翻新，零日漏洞深受黑客青睐》报告发现，对零日漏洞和一日漏洞的利用导致亚太地区和日本（APJ）的勒索软件受害者总数在2022年第一季度至2023年第一季度间增长了204%。

2023-08-18 12:44:06

漏洞勒索软件
2022年常被利用的12个漏洞
在本篇文章中，我们深入研究了CISA最新发布的“2022年最常被利用的12个漏洞”名单，这些漏洞将继续对企业业务构成重大威胁。

2023-08-17 12:36:46

漏洞网络攻击
搜狗拼音输入法加密漏洞暴露用户输入
研究人员称修复方式非常简单，只需要使用TLS这类加密实现即可。搜狗已于2023年7月20日修复了该漏洞，建议Windows、安卓和iOS用户更新到Windows 13.7、安卓11.26和iOS 11.25及以上版本。

2023-08-14 07:36:58

搜狗拼音加密
聊聊漏洞管理和威胁建模方法
管理威胁是一个不断发展的过程。确保无威胁环境的主要方法是定期测试安全基础设施，利用正确的工具和方法进行威胁管理，并向所有员工灌输知识和信息文化。

2023-08-14 07:01:06

管理威胁漏洞工具
浅谈AFL++ fuzzing：如何进行有效且规整的fuzzing
大多数时候，我们fuzzing一个目标想要其达到我们预期的效果，都需要Patch。并且我们在后续fuzzing流程的持续改进中可能还会发现一些影响fuzzing效率的地方，我们又会倒回来patch，编译重新启动fuzzing。

2023-08-11 09:41:48

AFLfuzzingPatch
严重的AMI MegaRAC漏洞让黑客可以瞬间使高危服务器成废砖
只要远程攻击者可以通过网络访问BMC管理接口，即使缺乏BMC凭据，如果通过结合这两个漏洞，就可以在运行易受攻击的固件的服务器上远程执行代码。

2023-08-11 09:10:07

漏洞黑客服务器
ADAudit Plus漏洞调试环境搭建，你学会了吗？
本文记录从零开始搭建ADAudit Plus漏洞调试环境的细节，介绍数据库用户口令的获取方法。

2023-08-08 08:34:47

漏洞环境获取方法
2022 年最常被利用的漏洞
创作机构强烈鼓励供应商、设计人员、开发人员和最终用户组织实施本通报“缓解措施”部分中的建议（包括以下内容），以降低恶意网络行为者危害的风险。

2023-08-06 00:05:02

漏洞机构缓解
两个新漏洞可能影响 40% 的 Ubuntu 云工作负载
CVE-2023-32629 与 CVE-2023-2640 类似，但影响的内核版本略有不同，并且利用结果来自不同的代码流。结果是一样的：“该文件具有适用于 init 用户命名空间的功能，”研究人员说，“这有效地将用户的权限升级为 root。”

2023-07-28 07:11:04

漏洞内核版本
Ubuntu 曝Linux漏洞，近 40% 用户受影响
Wiz 研究人员警告称这两个漏洞源于 Ubuntu 对 OverlayFS 模块的单独更改，都针对 Ubuntu 内核，目前针对这些漏洞的武器化攻击已经公开。

2023-07-27 16:48:13

漏洞Ubuntu
2023上半年最严重的漏洞来了，勒索赎金超7亿元
据BleepingComputer 7月21日消息，随着近期Clop 勒索软件组织利用 MOVEit Transfer 文件传输工具漏洞进行大规模攻击，Coveware发布报告称，Clop将从中获得7500万美元至1亿美元的赎金收入。

2023-07-26 16:15:37

漏洞安全勒索软件
是否有修补网络安全的圣杯？
软件漏洞不会很快消失，保护它们的补丁也不会消失。补丁管理仍将是网络安全的重要组成部分。漏洞管理的未来改进和 SBOM 中更透明的披露——结合软件行业通过正式的漏洞赏金计划和其他创新的改进——有可能显着减少修复易受攻击软件所需的时间。

2023-07-26 00:14:29

软件漏洞补丁
2023史诗级漏洞后门曝光！Black hat 大会8月披露，美国或用于监听全球
荷兰的研究人员发现一种用于全球关键数据和语音无线电通信的技术中存在严重的安全漏洞，甚至还有一个故意设置的后门。

2023-07-25 18:28:22

漏洞加密
云计算供应链遭遇重大安全风险！AMI MegaRAC BMC 曝两大关键漏洞
这些新漏洞的严重程度从低到高不等，包括未经验证的远程代码执行和具有超级用户权限的未经授权设备访问。

2023-07-22 00:08:16

漏洞恶意软件
哎，Elasticsearch怎么这么多漏洞
Elasticsearch版本有7.x升级到8.x时，不仅仅是客户端的变更，运行环境也有较大的改变，Spring版本也做了大版本升级。最后在项目里仅仅是修改了客户端用来匹配与es服务交互时，保证请求响应的过程没有问题。

2023-07-17 08:21:52

漏洞版本项目
CNNVD通报微软多个安全漏洞
目前，微软官方已经发布补丁修复了上述漏洞，建议用户及时确认漏洞影响，尽快采取修补措施。

2023-07-14 11:58:43

微软漏洞补丁
Ghostscript开源PDF库中发现关键漏洞
该漏洞被标记为CVE-2023-3664，CVSS v3评级为9.8，影响10.01.2之前的所有Ghostscript版本，10.01.2是三周前发布的最新版本

2023-07-13 23:23:24

漏洞网络安全
服务器端模板注入漏洞简介 译文 精选
服务器端模板注入（SSTI）漏洞是网络应用安全中不太为人所知的一种漏洞类型。尽管这些漏洞很少见，但一旦被发现，其影响往往非常严重，通常会导致远程代码执行（RCE）。

2023-06-30 08:00:00

漏洞网络安全SSTI
上一页 1 23456 ··· 36
点赞

51CTO技术栈公众号

业务
速览
在线客服