鸿蒙开发者社区

WOT技术大会

公众号矩阵

移动端

短视频免费课程课程排行直播课软考学堂

全部课程厂商认证 IT技术 25年5月软考 PMP项目管理免费题库

文章资源问答课堂专栏直播

51CTO

鸿蒙开发者社区

51CTO技术栈

51CTO官微

51CTO学堂

51CTO博客

CTO训练营

鸿蒙开发者社区订阅号

51CTO软考

51CTO学堂APP

51CTO学堂企业版APP

鸿蒙开发者社区视频号

51CTO软考题库

账号设置退出

漏洞

1806内容

关注

主要涵盖最新安全漏洞的报道、安全防护技术的研究以及安全态势的关注。

共 1806 条

刚刚微软的3月安全更新中，这几个安全漏洞值得注意

安全供应商敦促企业立即修复微软Outlook和Mark of the Web功能中被利用的漏洞。

2023-03-15 18:25:25

漏洞网络攻击

IceFire勒索软件针对Linux企业系统推出新变体

网络安全服务商SentinelOne公司的研究部门SentinelLabs发现了一种新型的Linux版IceFire勒索软件，该勒索软件利用IBM公司的Aspera Faspex文件共享软件的一个漏洞。

2023-03-14 14:55:44

勒索软件漏洞安全

可泄露用户密码，Bitwarden密码管理器浏览器扩展发现新漏洞

根据安全机构 FlashPoint 官方博文，在密码管理器 Bitwarden 的浏览器扩展程序中发现了一个高危漏洞，可以泄露用户的密码信息。

2023-03-13 00:19:43

漏洞安全密码管理器

如何以一种意外的方式发现并找到 WinIO 内核驱动栈溢出漏洞

在本文的POC中，我们利用了MSR R/W原语。写入MSR原语允许我们重写IA32_LSTAR MSR。这个特定的MSR保存着指向处理系统调用的内核函数的指针(KiSystemCall64Shadow)。通过重写函数指针，我们可以实现任意的内核代码执行。

2023-03-06 08:53:02

WinIO 内核驱动

TPM 2.0 库中的新漏洞对数十亿物联网和企业设备构成威胁

应用更新可信计算组 (TCG) 发布了TPM2.0 库规范勘误表的更新，其中包含解决这些漏洞的说明。为确保系统安全，用户应尽快应用硬件和软件制造商通过其供应链提供的任何更新。

2023-03-06 00:06:57

漏洞物联网设备

重大供应链威胁！这个 Java 开源框架存在严重漏洞

10月份在ConnectWise产品中发现的较为严重的安全漏洞，如果不立即修补，可能会对供应链造成重大风险。

2023-03-02 15:52:33

漏洞网络安全

Linux内核常用保护和绕过技术

内核保护和利用是一个长期对抗的过程，出现了新的利用方法相应的也会出现新的对抗手段。安全防护并不能完全保证内核是安全的，一旦有危害性更高的漏洞出现，就很容易打破这些保护使其轻易的获取系统权限。

2023-02-28 09:47:42

内核安全漏洞

CVE-2022-22583和CVE-2022-32800技术分析，你明白了吗？

我们会在本文详细介绍如何使用不同的方法利用CVE-2022-22583的技术细节。我们还在本报告中讨论了CVE-2022-32800的技术细节。

2023-02-16 08:17:25

JAVA安全之CVE-2020-1938复现和分析

对于处在漏洞影响版本范围内的 Tomcat 而言，若其开启 AJP Connector 且攻击者能够访问 AJP Connector 服务端口的情况下，即存在被 Ghostcat 漏洞利用的风险。注意 Tomcat AJP Connector 默认配置下即为开启状态，且监听在 0.0.0.0:8009 。

2023-02-14 08:33:30

JAVA 安全 Tomcat

2022 年全球网络安全漏洞 TOP 10

本文从漏洞披露时间、危害程度、影响范围等多个维度，盘点2022年高危漏洞TOP 10（排名不分先后）。

2023-01-30 13:05:35

漏洞网络攻击

最新报告：Java、.NET安全性最低？

超过四分之三使用 Java 和 .NET 编写的应用程序至少存在一个以上的 OWASP Top 10 漏洞。

2023-01-18 22:28:02

漏洞 JavaScript

微软2023年1月份于周二补丁日针对98个漏洞发布安全补丁

微软在 2023 年发布的第一个补丁星期二修复程序共修复了98 个安全漏洞，其中包括该公司表示正在被积极利用的一个漏洞。

2023-01-14 09:53:40

数百万辆汽车面临风险：16个主要汽车品牌发现API漏洞

最严重的问题与 Spireon 的远程信息处理解决方案有关，可能已被利用以获得完全的管理访问权限，使对手能够向大约 1550 万辆汽车发出任意命令并更新设备固件。

2023-01-10 00:11:56

API 漏洞品牌

2022 年 Kubernetes 高危漏洞盘点

在本文中，我们讨论了 2022 年 Kubernetes 漏洞以及我们可以从中学到什么。

2022-12-29 15:56:58

Kubernetes 漏洞

网络安全十大安全漏洞

缺乏记录成册的安全策略：任意的或未记录成册的安全控制使得在系统或网络中执行不一致的安全标准，必然导致系统被攻破。这个则属于网络安全管理层面的东西了，人防则更多的需要考虑管理制度体系以及总体安全策略甚至安全操作规程的制定等等。

2022-12-29 07:40:58

安全策略标准

不亚于 WannaCry，安全专家发现微软 Windows 10 / Windows 11 上的蠕虫漏洞

网络安全专家近日在 Windows 平台上发现了一个代码执行漏洞，其危险程度不亚于 2017 年肆虐全球的 EternalBlue / WannaCry 漏洞。

2022-12-21 12:45:52

漏洞蠕虫漏洞

前五大Web应用程序漏洞及发现方法

Web 应用安全性是一个旅程，不能在发布之前追溯到您的应用程序中。在整个开发生命周期中使用漏洞扫描程序嵌入测试，以帮助及早发现和修复问题。

2022-12-17 00:08:36

Web 应用程序漏洞

在披露Log4Shell一年后，大多数公司仍暴露在攻击之下

虽然公开报道的涉及该漏洞的攻击比预期的要少，但近四分之三的企业仍然暴露在该漏洞之下。

2022-12-12 16:04:00

漏洞网络攻击

2022年最常被利用的十大漏洞

本文着重介绍了2022年恶意威胁分子利用的一些最危险的漏洞。

2022-12-09 15:09:00

CVE-2022-23093：ping漏洞影响FreeBSD系统

研究人员在Ping服务中发现一个栈缓存溢出，攻击者利用该漏洞可接管FreeBSD操作系统。

2022-12-09 14:32:53

漏洞网络攻击

Web安全之逻辑漏洞全方位总结

一般越权漏洞容易出现在权限页面(需要登陆的页面)增，删，改，查的地方，当用户对权限页面内的信息进行这些操作时，后台需要对当前用户的权限进行校验，看其是否具备操作权限，从而给出响应，而如果校验的规则过于简单则容易出现越权漏洞。

2022-12-08 10:33:48

Web安全逻辑漏洞

Java 利用PriorityQueue进行无InvokerTransformer反序列化

ava.util.PriorityQueue 是一个优先队列（Queue），节点之间按照优先级大小排序成一棵树。其中PriorityQueue有自己的readObject反序列化入口。

2022-12-08 10:28:44

Java Queue 排序

安卓远程键盘漏洞影响超200万用户

Synopsys研究人员在3款远程键盘APP中发现多个安全漏洞，攻击者利用相关漏洞可以泄露用户键盘输入，并实现远程代码执行。受影响的3款APP在谷歌应用商店累计下载量超过200万次。

2022-12-08 09:47:29

漏洞网络攻击

三菱电机 PLC 曝出多个严重安全漏洞

美国网络安全和基础设施安全局在上周发布了一份工业控制系统咨询，对三菱电机 GX Works3 工程软件存在的多个漏洞发出了安全警告。

2022-12-05 15:07:29

网络安全漏洞

浅学Go下的Ssti漏洞问题

Go 提供了两个模板包。一个是 text/template，另一个是html/template。text/template对 XSS 或任何类型的 HTML 编码都没有保护，因此该模板并不适合构建 Web 应用程序，而html/template与text/template基本相同，但增加了HTML编码等安全保护，更加适用于构建web应用程序。

2022-12-05 10:30:30

开发人员需要什么来对抗常见漏洞

尽管如此，攻击者仍在不断寻找新的方法来绕过最先进的保护和防御。例如，许多人已经将他们的重点从交付恶意软件转移到破坏 API 或对供应链发起有针对性的攻击。虽然这些高级别事件的发生频率要高得多，但更简单的攻击（如跨站点脚本和 SQL 注入）也是如此，这两种攻击几十年来一直是网络安全防御的祸害。就在上个月，WooCommerce WordPress 插件中报告了一个严重的 SQL 注入漏洞，严重程度为

2022-12-03 00:15:08

开发人员漏洞插件

从JDK源码中探究Runtime#exec的限制

使用exec的数组作为参数传入的重载方法，不同于使用字符串的重载方法进行命令执行，具体到代码中就是少了一步通过创建了一个StringTokenizer类对象来自动进行命令的分割，在某些情况下，将会造成命令不能执行的情况，数组方式是直接传入的自己已经分好块的命令数组进行命令执行，Java便不会自动将本应该在一起的命令分割开来造成错误。

2022-11-30 09:07:09

JDK 源码数组

新攻击利用Windows安全绕过 0 day 漏洞投放恶意软件

新的网络钓鱼攻击利用Windows 0 day 漏洞投放Qbot恶意软件，而不显示Web标记安全警告。

2022-11-28 15:38:47

网络钓鱼漏洞恶意软件

从全局变量寻找到Tomcat回显方式

通过这种方式关注到了org.apache.coyote.AbstractProcessor类中，存在有两个属性值名为request / response分别是使用final修饰的org.apache.coyote.Request / org.apache.coyote.Response类型的变量。

2022-11-28 11:15:20

Tomcat 回显方式

2022 年 10 月头号恶意软件：Formbook 挤下榜首，新漏洞被披露

Check Point Research 报告称，10 月份 Lokibot 攻击数量显著增加，五个月来首次位列排行榜第三位。

2022-11-17 10:28:20

漏洞恶意软件网络攻击

深究Java Hibernate框架下的Deserialization

对于Hibernate的链子来说，还是要看具体的版本，再次修改POC，自我感觉版本之间的关键方法差异有点大。

2022-11-11 10:56:37

Java Hibernate 框架

VMware 修复了三个身份认证绕过漏洞

目前，VMware为Windows 已经为客户发布了 Workspace ONE Assist 22.10（89993），对这些漏洞进行了修补。

2022-11-10 09:57:24

漏洞网络安全

15年历史的Python 漏洞复活，影响35万个项目

Trellix 的研究人员现在表明，攻击者可以利用该漏洞编写任意文件，并在大多数情况下执行恶意代码。他们针对几个使用易受攻击的 Python 模块的流行应用程序证明了这一点，甚至展示了攻击者如何使用社会工程在具有管理员权限的目标系统上执行任意代码。

2022-09-23 00:09:48

项目 Python 漏洞

代码审计：如何在全新编程语言中发现漏洞？

具有安全意识的开发者仍然可能产生漏洞，因为很多开发用不到的特性、甚至编程语言官方非预期的情景不是开发者掌握的知识，代码安全审计是必要的。这门全新的编程语言可能出现的问题却是任何编程语言代码安全审计需要注意的共通之处。

2022-09-20 12:53:15

编程语言漏洞

2022企业漏洞管理状况调查：七成企业缺乏有效的漏洞管理计划

为了更好地了解当前企业漏洞管理现状，安全服务公司NopSec日前针对426名企业安全管理者进行了专项调查，报告研究发现，70%的受访者表示对目前的漏洞管理计划（VMP）并不满意，其中34%的受访者更是认为，他们所在企业目前还没有明确的漏洞管理计划，存在较严重的安全威胁隐患。

2022-09-20 12:02:22

企业漏洞威胁

Revolut遭遇黑客入侵少量用户数据被暴露

线上金融与支付公司Revolut最近成为网络攻击的目标，该公司在发给客户的电子邮件中确认，实际上有少数用户的账户已经被暴露。不过这次漏洞并没有导致任何资金被盗。

2022-09-20 11:18:46

Revolut 网络攻击漏洞

网络安全方法是否会造成系统漏洞

弱密码和重复使用的密码不是入侵的根本原因。公司面临的最大问题是允许员工自己设置密码。当这种情况发生时，公司就失去了对密钥的控制，也就失去了对数据和网络的控制。如果它不是“你的密钥”，它就...

2022-09-19 15:14:53

别迷信苹果系统最安全，更新修补零日漏洞

Apple 发布了另一轮安全更新，以解决 iOS 和 macOS 中的多个漏洞，包括一个新的零日漏洞，该漏洞已在野外攻击中使用。

2022-09-19 00:51:58

漏洞苹果应用程序

微软2022年9月份于周二补丁日针对64个漏洞发布安全补丁

9 月份，Adobe 在 Adobe Experience Manager、Bridge、InDesign、Photoshop、InCopy、Animate 和 Illustrator 中发布了 7 个补丁，解决了 63 个问题。ZDI 高级漏洞研究员 Mat Powell 报告了总共 42 个此类错误。InDesign的更新是本月最大的补丁，修复了 8 个严重级别和 10 个重要级别的漏洞。

2022-09-19 00:49:57

漏洞微软补丁

iOS16曝出漏洞，iPhone14在局域网下可能无法激活

科技媒体Macrumors报道称，苹果刚推出的iOS 16系统存在漏洞——用户无法通过Wi-Fi（无线局域网）激活设备，可能影响iPhone 14系列短信应用iMessage和视频应用FaceTime的使用。

2022-09-16 16:05:57

iPhone14 苹果漏洞

Curl 存在一个长达 23.9 年的 DOS 漏洞

自 4.9 版本以来（curl 项目开发的第 201），这些易受攻击的 cookie 代码就一直存在于 curl 里面，直到 7.85.0 版本（curl 项目开发的第 8930 天）才得到修复，中间经历了 8729 天（23.9 年）。

2022-09-15 12:22:25

cookie DOS 漏洞网络攻击

CICD管道中的代码注入漏洞影响Google、Apache开源GitHub项目

近日，研究人员在Apache和Google的两个非常流行的开源项目的GitHub环境中发现了一对安全漏洞，可用于秘密修改项目源代码、窃取机密并在组织内部横向移动。

2022-09-07 09:27:31

漏洞 CICD管道网络攻击

新发现的浏览器漏洞允许覆盖剪贴板内容可能严重影响加密货币安全

一个影响Chrome、Firefox和Safari的浏览器漏洞在最近的Chrome软件发布后被发现。

2022-09-04 15:49:17

漏洞加密货币安全

Google为包含严重安全问题的Chrome发布紧急更新

无论你运行的是Windows、macOS还是Linux发行版，如果你是Chrome用户，现在有一个极其重要的更新需要安装。

2022-09-04 00:03:43

安全漏洞数据验证

谷歌推出专门针对开源软件的漏洞赏金计划

根据介绍，该开源软件漏洞赏金计划 (OSS VRP) 侧重于 Google 软件和存储库设置（如 GitHub 操作、应用程序配置和访问控制规则），适用于 Google 拥有的 GitHub 组织的公共存储库以及其他平台的一些存储库中可用的软件。

2022-08-31 10:11:51

漏洞赏金计划漏洞

Atlassian Bitbucket 服务器和数据中心出现漏洞

安全漏洞被追踪为 CVE-2022-36804（CVSS 评分：9.9），是一个多端点的命令注入漏洞，潜在攻击者可通过特制的 HTTP 请求加以利用。

2022-08-29 12:03:26

漏洞网络攻击

Google开源Paranoid：用于识别各种加密产品中的漏洞

Google 近日宣布开源 Paranoid，该项目主要用于识别各种加密产品中的漏洞。

2022-08-29 10:19:12

Google Paranoid 开源

PostgreSQL漏洞泄露企业数据库，多家云巨头受到影响

该漏洞名为#ExtraReplica，允许未经授权的访客读取其他客户的PostgreSQL数据库，从而绕过租户隔离机制。

2022-08-28 11:50:45

漏洞网络攻击

从2021年下半年到2022年上半年，物联网漏洞披露增长了57%

根据网络物理系统保护公司 Claroty 今天发布的新研究，与前六个月相比，影响物联网设备的漏洞披露在 2022 年上半年 (1H) 增加了 57%。

2022-08-25 13:14:04

物联网安全漏洞

微软报告了一个 ChromeOS 远程内存损坏漏洞

根据介绍，该漏洞被发现于 ChromiumOS Audio Server (CRAS) 中；CRAS 位于操作系统和 ALSA 之间，用于将音频路由到新连接的支持音频的外围设备。

2022-08-24 08:22:39

漏洞网络攻击微软

上一页 1 ··· 3 4 5 6 7 ··· 37 下一页

51CTO技术栈公众号

业务
速览

媒体

51CTO CIOAge HC3i

社区

51CTO博客鸿蒙开发者社区 AI.x社区

教育

51CTO学堂精培企业培训 CTO训练营