腾讯云开发者社区-腾讯云

开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

云鼎实验室的专栏

专栏作者

354

文章

447742

阅读量

126

订阅数

每周云安全资讯-2023年第43周

开源服务漏洞软件云安全

网络安全公司 Checkmarx 发现了新一波利用流行通信和电子商务平台中的漏洞进行的供应链攻击。目标平台包括 Telegram、阿里云和 AWS。

云鼎实验室

2023-10-24

2180

每周云安全资讯-2023年第22周

开源工具管理漏洞云安全

1 CVE-2023-20869/20870: 在 Pwn2Own Vancouver 上利用 VMware Workstation 本文介绍了在 VMware 中利用未初始化的变量错误和缓冲区溢出漏洞进行虚拟机逃逸的技术。 https://cloudsec.tencent.com/article/4iCdCR 2 因恶意用户和恶意包过多，PyPI 暂停新用户注册和项目创建 Python包的官方第三方注册表 PyPI宣布，在颁发新通知之前，暂停新用户注册和新项目上传。这一意外措施是由 PyPI 疲于应对大量

云鼎实验室

2023-05-31

1850

每周云安全资讯-2022年第51周

https 漏洞扫描服务开源 DevOps 解决方案安全

1 亚马逊云曝出“超级漏洞”，攻击者可删除任何镜像近日，Lightspin安全分析师在Amazon ECR（弹性容器注册表）公共库中发现一个严重漏洞，允许攻击者删除任何容器映像或将恶意代码注入其他AWS账户的镜像。 https://mp.weixin.qq.com/s/H_hMNmmUHVLFEI8s4ROxUQ 2 Kubernetes 漏洞的教训：供应链安全 Kubernetes编排系统中爆发的漏洞，使人们意识到开源软件在企业中的价值和关键任务属性，也提醒我们必须注意保护上游开源项目。 https:/

云鼎实验室

2022-12-19

5360

你引用的开源代码，可能夹带了漏洞

网络安全安全开源 SSL 证书数据分析

0. 概述近一两年，供应链攻击已不只是白帽子的实验试水，转变成黑客和黑产的真实攻击手段，“软件供应链安全”概念，重新成为了炙手可热的话题。当前对供应链安全的探讨多是关于机制的，例如企业上下游公司的攻击面，或者各种开发语言软件包管理引用的投毒欺骗。但是对于一线的开发实践中的风险，目前鲜有分析。试想，在一个多人协作开发的项目中，如果：有一个偷懒的开发者复制很多网上贴的示例代码或错误代码；或者一个新加入的开发者，复制了该项目的某些旧代码，其中有一些带有已修复的bug；甚至如果有一个恶意开发者，故意写了

云鼎实验室

2022-09-23

1K0

Linux 之父亮相，OpenCloudOS 社区开放日来了

开源 linux 硬件开发

当我们打开网站和使用 App 时，很多人并不知道，支撑这些软件和服务的，是后台成千上万台 Linux 服务器。作为当今流行的操作系统，Linux 运行于全球超算 500 强、超过 70%的智能手机、嵌入式设备、智能电视和智能手表等设备。毋庸置疑，它已经成为人类信息技术不可或缺的一部分。Linux 可谓无处不在，它是整个开源世界的灵感源泉。作为享誉全球的开源项目，Linux的成功既是内核社区成千上万开发者贡献的结果，也离不开一个人。他就是 Linux 之父，Linus Torvalds。 6 月 22 日，L

云鼎实验室

2022-06-13

1.3K0

安全大讲堂｜软件供应链安全威胁的前线观察与业界方案

近三年来软件供应链安全概念持续升温，新型威胁仍层出不穷，从Log4j漏洞到node-ipc组件投毒，近年来自软件供应链安全威胁涌现，企业违反GPL许可证的案例也屡见不鲜。供应链安全事件爆发的频次和影响面都在持续扩大，供应链安全已经成为企业开展经营活动不得不面对的一个隐患，也是所有安全厂商致力于要解决的问题。开源是更安全还是更不安全？ 4月27日下午14:30分，墨菲安全联合创始人欧阳强斌、腾讯安全云鼎实验室高级安全研究员王福维将一同做客《安全大讲堂》，以“软件供应链安全威胁的前线观察与行业方案”为主题，分

云鼎实验室

2022-04-27

4680

腾讯云容器安全获得云安全守卫者计划优秀案例

容器安全云计算腾讯专有云 PaaS 平台开源

12月28日，由中国信息通信研究院（以下简称“中国信通院”）主办，云计算开源产业联盟承办，中国通信标准化协会云计算标准和开源推进委员会支持的“2021可信云安全论坛”在北京顺利举办。腾讯云作为国内最早进行云原生安全技术研究与应用实践的单位之一受邀参加本次论坛。为了引导云安全领域产品的发展方向，中国信通院于2021年10月至12月开展了“云安全守卫者计划”优秀案例征集活动，选拔出一批成熟度高、具有示范作用的优秀云安全案例。经过严格的选拔评审，“腾讯云容器安全防护技术”成功获得云安全守卫者计划优秀案例，得

云鼎实验室

2021-12-31

3100

云鼎百科｜平安夜如何更平安？《真相只有一个》

黑客网络安全 github git 开源

早已置身事中，你却蒙在鼓里...... ▲云上安全身边事——《真相只有一个》《名侦探柯南》这个IP自98年引进内陆后就经久不衰，成为了一代人成长的回忆。扑朔迷离的案件，抽丝剥茧地追凶，从细节下手，最后揭开不为人知的神秘面纱。这一次，熟悉的场景来到企业人的身边，下一个受害者究竟是谁呢？ "我是阿呆，他们都叫我呆河马" 员工阿呆是一个糊里糊涂的IT技术男，迷糊的人做迷糊的事，不慎将敏感凭据泄露到了Github之上。 “黑客新秀，黑遍天下无敌手” 一代黑客新秀“凤梨黑”靠着敏锐的嗅觉和成

云鼎实验室

2020-12-24

4120

漏洞情报｜Drupal任意PHP代码执行漏洞风险通告

安全 https 网络安全 drupal 开源

近日，腾讯云安全运营中心监测到，Drupal官方发布安全更新，披露了一个任意PHP代码执行漏洞，攻击者可利用该漏洞执行恶意代码，入侵服务器。为避免您的业务受影响，腾讯云安全建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。漏洞详情 Drupal项目使用PEAR Archive_Tar库。PEAR Archive_Tar库已经发布了影响Drupal的安全更新（漏洞编号：CVE-2020-28949/CVE-2020-28948）。如果将Drupal配置为允许.tar，.

云鼎实验室

2020-11-26

5740

漏洞情报｜Drupal远程代码执行漏洞（CVE-2020-13671）风险通告

安全 https 网络安全 drupal 开源

近日，腾讯云安全运营中心监测到，Drupal官方通报了一个Drupal任意文件上传漏洞，该漏洞可使攻击者远程执行恶意代码。漏洞编号CVE-2020-13671。为避免您的业务受影响，腾讯云安全建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。漏洞详情公告称，受漏洞影响的Drupal无法正确过滤某些文件名的上传文件，可能会导致文件被解释为错误的扩展名，或被当作错误的MIME类型。在一些配置下甚至直接被当作PHP脚本执行。安全专家建议审核所有上传的文件，以检查是否存

云鼎实验室

2020-11-19

7310

干货 | 云安全挑战赛线上热身赛冠军战队解题分享

https 容器镜像服务 github git 开源

GeekPwn 与腾讯安全联合发起的“云安全挑战赛”线上热身赛已经落下帷幕。经过 48 小时的比拼，Redbud025 战队以最快时间提交了最多正确答案，荣获第一名。本期，我们也邀请到这支来自清华大学网络与信息安全实验室的 Redbud025 战队，为大家还原解题过程。这次是首个基于真实云平台的云安全挑战赛，整个题目是提权和逃逸的不断尝试，总共有七个题目。比赛环境覆盖 APP, Docker, KVM 和 Pysical 各个层次，七个题目如下：题目要求：除测试题外，选手置身于一个模拟的

云鼎实验室

2019-06-13

7030

事件分析 | 门罗币挖矿新家族「罗生门」

安全 ssh http 开源 git

腾讯安全云鼎实验室通过部署的威胁感知系统捕获了一批挖矿样本（具有同源性），是一批可挖取门罗币(xmr)的挖矿病毒。这批样本今年5月开始出现，目前各大杀软对此样本基本无法有效查杀，腾讯云云镜第一时间跟进查杀。根据进一步溯源的信息可以推测该挖矿团伙利用被入侵的博彩网站服务器进行病毒传播。分析显示，此挖矿样本不具有传播性，总体结构式是 Loader + 挖矿子体，挖矿团伙通过控制的机器进行远程 SSH 暴力破解并将病毒进行传播。由于目前能对付此病毒的杀软极少，且该病毒通过入侵的赌博网站服务器进行病毒传播、挖矿，

云鼎实验室

2018-10-10

1.6K0

事件分析 | 门罗币挖矿新家族「罗生门」

安全 ssh http 开源 git

腾讯安全云鼎实验室通过部署的威胁感知系统捕获了一批挖矿样本（具有同源性），是一批可挖取门罗币(xmr)的挖矿病毒。这批样本今年5月开始出现，目前各大杀软对此样本基本无法有效查杀，腾讯云云镜第一时间跟进查杀。根据进一步溯源的信息可以推测该挖矿团伙利用被入侵的博彩网站服务器进行病毒传播。分析显示，此挖矿样本不具有传播性，总体结构式是 Loader + 挖矿子体，挖矿团伙通过控制的机器进行远程 SSH 暴力破解并将病毒进行传播。由于目前能对付此病毒的杀软极少，且该病毒通过入侵的赌博网站服务器进行病毒传播、挖矿，让真相扑朔迷离，云鼎实验室威胁情报小组将本次门罗币挖矿新家族命名为「罗生门」。

云鼎实验室

2018-10-10

1.3K0

没有更多了

社区活动

腾讯技术创作狂欢月

“码”上创作 21 天，分 10000 元奖品池！

Python精品学习库

代码在线跑，知识轻松学

博客搬家 | 分享价值百万资源包

自行/邀约他人一键搬运博客，速成社区影响力并领取好礼

技术创作特训营·精选知识专栏

往期视频·千货材料·成员作品最新动态