https://gh0st.cn/Binary-Learning/%E5%88%9D%E7%BA%A7%E7%AF%87.html
近日，腾讯蓝军（force.tencent.com）发现并向Apache SkyWalking官方团队提交SQL注入漏洞（漏洞编号：CVE-2020-13921），目前官方已发布新版本修复该漏洞。 为避免您的业务受影响，腾讯云安全建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。 漏洞详情 Apache SkyWalking 是一款应用性能监控（APM）工具，对微服务、云原生和容器化应用提供自动化、高性能的监控方案。其官方网站显示，大量的国内互联网、银行、民航等领域的
近日，腾讯蓝军（force.tencent.com）发现并向Apache SkyWalking官方团队提交SQL注入漏洞（漏洞编号：CVE-2020-13921），目前官方已发布新版本修复该漏洞。
【漏洞详情】 近日，腾讯云安全中心情报平台监测到 Netflix 信息安全团队研究员Jonathan Looney发现 Linux 以及 FreeBSD 等系统内核上存在严重远程DoS漏洞，攻击者可利用该漏洞构造并发送特定的 SACK 序列请求到目标服务器导致服务器崩溃或拒绝服务。
近日，Linux 内核被曝存在TCP “SACK PANIC” 远程拒绝服务漏洞（漏洞编号：CVE-2019-11477,CVE-2019-11478,CVE-2019-11479），攻击者可利用该漏洞远程攻击目标服务器，导致系统崩溃或无法提供服务。
Windows每月均会发布安全更新，用户未关注安全更新，或因 Windows 服务上承载的业务原因，没办法在收到更新提醒时及时安装补丁。
近日，腾讯安全团队监控到 FasterXML Jackson 发布了新的cve漏洞（漏洞编号：CVE-2020-24616）同时腾讯安全团队监控到其官方团队发布了 jackson-databind 的新版本 2.9.10.6，其中修复了以下反序列化漏洞，对应issue编号：#2827 , #2826, #2798。 FasterXML Jackson是美国FasterXML公司的一款适用于Java的数据处理工具。jackson-databind是其中的一个具有数据绑定功能的组件。 FasterXML ja
PyYAML介绍 PyYAML是Python出众的模块之一。PyYAML就是python的一个yaml库yaml格式的语言都会有自己的实现来进行yaml格式的解析（读取和保存）。若对于Python反序列化有所了解一定会听说过它。 PyYAML历史漏洞和修复 它的反序列化漏洞使得大多数Python安全研究人员对齐记忆犹新。 当咱们使用反序列化时候会使用如下的载荷： !!python/object/new:os.system ["whoami"] 并且使用load()进行加载时PyYAML将会执行os.sys
Google 公开了一个尚未发布补丁的 splwow64 组件漏洞 CVE-2020-17008，当 32 位进程尝试连接 x64 系统下的打印机时，splwow64.exe 进程会在后台处理相关服务连接，该漏洞与 6 月份修复的漏洞 (CVE-2020-0986) 在同一个指令处理逻辑中，攻击者可以通过发送特定的 LPC 消息到 splwow64.exe 进程触发漏洞，成功利用此漏洞可能造成信息泄露、提权 (沙箱逃逸)。
腾讯安全检测到有网络黑产利用微软9月份和3月份已修复的两个IE 高危漏洞构造恶意广告页面挂马攻击，当存在漏洞的系统访问攻击者恶意构造的页面时，会触发恶意代码执行，之后下载Magniber勒索软件。
4月17日，谷歌Project Zero安全团队更新了漏洞披露政策，这次更新将会为用户新增30天时间来进行漏洞修补，然后再披露漏洞相关技术细节以避免攻击者利用漏洞进行攻击。 漏洞披露政策变化 2019 2020试行 2021 1.90天或者漏洞修复的时间（研究人员可自行斟酌），可尽早发布 1.90天整，无论漏洞何时修复，提早公布需要双方同意 1. 90天内，如果漏洞没有被修复，技术细节90天后立即公布；如果漏洞被修复，修复后的30天后再公布技术细节双方同意情况下，可提前发布 2.政策目标：更快地发布补丁
「K8S 生态周报」内容主要包含我所接触到的 K8S 生态相关的每周值得推荐的一些信息。欢迎订阅知乎专栏「k8s生态」。文末有活动，欢迎参与。
点击关注公众号，Java干货及时送达 最近炒得沸沸扬扬的 Log4j2 漏洞门事件，大家应该都修复完了吧，还没修复的看栈长分享的 Log4j2 最新漏洞动态： Log4j 2.3.1 发布！又是什么鬼？？ 在 Log4j2 漏洞发生的同时，Logback 也未能幸免： Logback 也爆雷了，惊爆了。。。 Java技术栈群里有小伙伴讨论 Log4j 1.x 应该没漏洞： 栈长之前说过，Log4j 1.x 和 Logback 是能规避这个核弹级漏洞，很多小伙伴可能还在暗暗窃喜，没错，但也有错，Log4j
本周BUF大事件还是为大家带来了新鲜有趣的安全新闻，Pwn2Own 2021黑客大赛落下帷幕；谷歌Chrome接连曝出0day PoC；微软发布4月补丁更新，修复了108个漏洞和5个零日漏洞。想要了解详情，来看本周的BUF大事件吧！ 观看视频 内容梗概 谷歌Chrome 0Day漏洞通报 4月13日，国外安全研究员发布了一个基于Chromium内核的远程代码执行0Day漏洞。漏洞影响Chrome最新正式版（89.0.4389.114）以及所有低版本，攻击者可以通过构造特殊的Web页面，诱导受害者访问，达到远
腾讯云鼎实验室发现微软周二补丁日披露了一个SMB服务的重大安全漏洞，攻击者利用该漏洞无须权限即可实现远程代码执行，该漏洞的后果十分接近永恒之蓝系列，都利用Windows SMB服务漏洞远程攻击获取系统最高权限。 为避免您的业务受影响，腾讯云安全中心建议您采用T-Sec 网络资产风险检测系统开展安全自查，如在受影响范围，请您及时更新修复Windows补丁，避免被外部攻击者入侵。同时建议使用T-Sec高级威胁检测系统检测攻击行为，升级T-Sec终端安全管理系统（御点）拦截漏洞，开启全方位安全防御。 【风险等
开发者在开发代码的过程中，都会担心代码、依赖、项目打包成的镜像是否存在安全问题。而RSAC 2023议题《5 Open Source Security Tools All Developers Should Know About》，则推荐了5个开源的安全工具，覆盖代码扫描、依赖检查、基础设施扫描、容器扫描、运行时扫描5个方面。
SMB远程代码执行漏洞（编号：CVE-2020-0796，类型：远程代码执行） 【漏洞描述】 SMB 3.1.1协议中处理压缩消息时，对其中数据没有经过安全检查，直接使用会引发内存破坏漏洞，可能被攻击者利用远程执行任意代码。攻击者利用该漏洞无须权限即可实现远程代码执行，受黑客攻击的目标系统只需开机在线即可能被入侵。 该漏洞的后果十分接近永恒之蓝系列，都利用Windows SMB漏洞远程攻击获取系统最高权限，WannaCry勒索蠕虫就是利用永恒之蓝系列漏洞攻击工具制造的大灾难。
点击关注公众号，Java干货及时送达 最近，Log4j2 的核弹级漏洞在技术圈进行了几波轰炸，这期间，有不断加班升级修复的，有直接禁用 Lookups 功能的，还有直接换日志框架（Logback）的，好不热闹。。 说说，你们公司是哪一种呢？ 栈长每次修复完以为是可以歇歇了，结果没想到每次都是史料未及，这次应该在 Log4j v2.17.0 这个版本尘埃落定了，Spring Boot 也最终发布了漏洞解决版本： 终于！Spring Boot 最新版发布，一招解决 Log4j2 核弹级漏洞！ ---- 即使
近日，腾讯云安全中心监测到Linux 内核被曝存在TCP “SACK Panic” 远程拒绝服务漏洞（漏洞编号：CVE-2019-11477,CVE-2019-11478,CVE-2019-11479），攻击者可利用该漏洞远程攻击目标服务器，导致系统崩溃或无法提供服务。 为避免您的业务受影响，云鼎实验室建议Linux系统用户及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。同时建议云上租户免费开通「安全运营中心」-安全情报，及时获取最新漏洞情报、修复方案及数据泄露情况，感知云上
最近接到一个渗透测试驻场项目。几位同事去面试了下，下面对面试的问题进行一个汇总。
Java作为企业主流开发语言已流行多年，各种java安全编码规范也层出不穷，本文将从实践角度出发，整合工作中遇到过的多种常见安全漏洞，给出不同场景下的安全编码方式。
2022年3月28日，Spring官方发布了一则消息，暴露Spring核心框架具有Dos漏洞：CVE-2022-22950。
近日，腾讯云安全中心监测到知名邮件代理程序 Exim 被曝存在远程代码执行漏洞 （漏洞编号：CVE-2019-10149），攻击者可利用该漏洞获取 Exim 服务器控制权。 为避免您的业务受影响，云鼎实验室建议使用到 Exim 组件的用户及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。同时建议云上租户免费开通「安全运营中心」-安全情报，及时获取最新漏洞情报、修复方案及数据泄露情况，感知云上资产风险态势。 【风险等级】 高风险 【漏洞风险】 远程代码执行 【漏洞详情】 Exi
近期，谷歌发布公告，称已经为Windows用户发布了Chrome 103.0.5060.114更新，以解决在野被攻击者利用的高严重性零日漏洞，这也是2022年谷歌修补的第四个 Chrome 零日漏洞。目前103.0.5060.114版本正在全球范围内的Stable Desktop频道推出，谷歌表示它需要几天或几周的时间才能触达整个用户群。 按照提示，BleepingComputer进入Chrome 菜单>帮助>关于 Google Chrome 检查新更新时，发现更新立即可用。同时Web浏览器还将自动检查新更
本以为，经过上周的2.16.0版本升级，Log4j2的漏洞修复工作，大家基本都要告一段落了。
腾讯安全威胁情报中心推出2023年12月份必修安全漏洞清单，所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果。
腾讯云安全运营中心监测到，Apache Log4j2 官方发布公告提示其在某些特殊场景下存在远程代码执行漏洞，漏洞编号CVE-2021-44832。该漏洞仅在攻击者拥有修改配置文件权限时才可远程执行任意代码，漏洞利用难度较大。 为避免您的业务受影响，腾讯云安全建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。 漏洞详情 Apache Log4j2 是一个基于Java的开源日志记录框架，该框架重写了Log4j框架，是其前身Log4j 1.x 的重写升级版，并且引入了大量丰富
墨墨导读：Oracle公司于2021年1月19日，发布了第一个年度安全预警。关于 Oracle 数据库部分，共 8个 安全警告，通过应用最新的 CPU 补丁可以修复这个安全漏洞。
各位 FreeBufer 周末好~以下是本周的「FreeBuf周报」，我们总结推荐了本周的热点资讯、优质文章和省心工具，保证大家不错过本周的每一个重点！ 热点资讯 1、关键词“转型”，Talon斩获创新沙盒大赛冠军 | 直击RSAC2022 2、苹果胜诉，法官驳回 iPhone / iPad“崩溃”“幽灵”安全漏洞欺诈集体诉讼 3、大规模 Facebook 网络钓鱼活动，预计产生数百万美元收益 4、欧盟就移动设备统一使用USB-C充电端口达成临时协议 5、信通院发布《软件物料清单实践指南》 6、Fac
12月9日晚，Apache Log4j2 反序列化远程代码执行漏洞（CVE-2021-44228）细节已被公开，受影响版本为 Apache Log4j 2.x< 2.15.0-rc2。
腾讯安全威胁情报中心推出2024年1月份必修安全漏洞清单，所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果。
中国黑客现在正是用一个自动工具利用Apache Struts中的已知漏洞，目的是在用这个框架开发的用于托管应用的服务器上安装后门。 Apache Struts是一个非常常见的开源框架，可用于开发基于Java的Web应用，这个框架由Apache Softwware Foundation维护。 研究员透露，黑客现在正非常积极地利用这些漏洞。而研究员们在一个隐秘的中国论坛上发现了一款工具，此工具可针对有漏洞的Struts发起自动攻击。 这款工具利用以下Struts漏洞来损坏服务器
腾讯云容器安全服务（TCSS）捕获GitLab ExifTool RCE漏洞（CVE-2021-22205）在公有云的在野攻击案例，漏洞利用导致业务容器内被植入后门程序。攻击者利用漏洞攻击后，企业业务容器会被植入门罗币挖矿程序、后门程序、或其他木马。 漏洞编号：CVE-2021-22205 漏洞等级： 严重，初始CVSS评分：9.9。 之后在 2021 年 9 月 21 日，GitLab官方将 CVSS评分修改为最高的 10.0。 漏洞影响版本： 11.9.0 <= Gitlab CE/EE <
并且idea还有自动补全的功能，可以有效减少我们在日常开发的过程中，有些单词手动输入的时候敲错的情况发生。
本是阳春三月好时光，OpenSSL却在此时爆出了高危漏洞drown，一时间让运维小哥们头顶阴云笼罩。这个在安全圈掀起惊涛骇浪的drown漏洞到底是何方妖孽？！运维同学们该如何将它消灭？且听云小哥为您解答。 drown漏洞是什么？ 在北京时间2016年3月2日，OpenSSL 官方发布安全公告，公布了一利用SSLv2协议弱点来对TLS进行跨协议攻击的安全漏洞CVE-2016-0800，即drown漏洞，影响使用了SSLv2协议的用户。发现这一漏洞的相关研究人员表示，受影响的HTTPS服务器数量大约为1150万
然而，由于我国金融机构对开源软件的管理尚不完善，不具备较成熟的开源治理体系，金融机构在引入和管理开源软件时总会遇到种种困难，这也带来了一定程度的开源风险。
近日，腾讯云安全中心监测发现办公协作系统泛微e-cology OA被曝存在数据库配置信息泄露漏洞，如攻击者可直接访问数据库，则可直接获取用户数据，甚至可以直接控制数据库服务器。 为避免您的业务受影响，腾讯云安全中心建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。同时建议云上租户免费开通「安全运营中心」-安全情报，及时获取最新漏洞情报、修复方案及数据泄露情况，感知云上资产风险态势。 【风险等级】 中风险 【漏洞风险】 数据库信息泄露， 或数据库被远程控制 【漏洞详情】 近
腾讯安全威胁情报中心推出2023年11月份必修安全漏洞清单，所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果。
微软于5月15日发布的远程桌面服务代码执行漏洞（CVE-2019-0708）可导致远程控制的利用代码已被Metasploit公开发布，经测试真实可用，该漏洞危害极高，风险堪比之前出现的“永恒之蓝”漏洞，可能引发蠕虫传播、木马挖矿及勒索病毒等风险，请关注到该情报的用户尽快修复！ 为避免您的业务受影响，云鼎实验室建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。同时建议云上租户免费开通「安全运营中心」-安全情报，及时获取最新漏洞情报、修复方案及数据泄露情况，感知云上资产风险态
The Hacker News 网站披露，苹果公司近日推出了 iOS、iPadOS、macOS 的安全更新，以解决一个 0day 漏洞（追踪为 CVE-2023-23529）。 研究表明，CVE-2023-23529 漏洞与 WebKit 开源浏览器引擎中的类型混淆错误有关，一旦攻击者成功利用，便可在目标系统上执行任意代码。 WebKit 是一个主要用于 Safari，Dashboard，Mail 和其它一些 Mac OS X 程序的开源浏览器引擎，在手机上的应用十分广泛（例如 Android、iPhon
一年前，我们推出了在 HackerOne 上的赏金计划，以提高 Flexport 的安全性。 HackerOne 让我们为业余爱好者和专业渗透测试人员提供赏金来鼓励他们发现漏洞。 于是，我们收到了近
点击关注公众号，Java干货及时送达 Log4j 2.x 再爆雷 最近沸沸扬扬的 Log4j2 漏洞门事件炒得热火朝天，历经多次版本升级。。。 最新的版本为 Log4j 2.16.0，很多人以为 Log4j 2.16.0 只是默认禁用 JNDI 功能和移除消息的 Lookups 功能，只要自己不乱用升不升都无所谓，觉得这个版本不是必须的，以为只升级到 2.15.0 就万事大吉了，非也！ 栈长又看到了最新 Log4j 核弹级漏洞动态： 关于 Log4j 2.x，现在强烈建议大家升级到 2.16.0 ！！！
某一客户单位的网站首页被篡改，并收到网监的通知说是网站有漏洞，接到上级部门的信息安全整改通报，贵单位网站被植入木马文件，导致网站首页篡改跳转到caipiao网站，根据中华人民共和国计算机信息系统安全保护条例以及信息安全等级保护管理办法的规定，请贵单位尽快对网站漏洞进行修复，核实网站发生的实际安全问题，对发生的问题进行全面的整改与处理，避免网站事态扩大。我们SINE安全公司第一时间应急响应处理，对客户的网站进行安全检测，消除网站安全隐患。
微软于北京时间2017年2月21日发布了1个新的安全公告，为严重等级。本次更新主要修复MicrosoftWindows、Adobe Flash Player等组件的安全漏洞。
《供应链攻击威胁局势报告》显示，预计2021年的供应链攻击数量将增加至上一年的四倍之多。《2021年软件供应链安全报告》显示，425名大型企业的IT、安全和DevOps主管中，64%的人报告称去年受到了供应链攻击的影响。Gartner预测，97%的企业应用程序将依赖于开源的使用，且超过70%的应用程序因使用开源组件而产生缺陷和漏洞。
近期，Security Affairs 网站披露，DevOps 平台 GitLab 修复了其社区版（CE）和企业版（EE）中出现的一个关键远程代码执行漏洞，该漏洞被追踪为 CVE-2022-2884（CVSS 评分 9.9）。 据悉，攻击者经过“身份验证”后，可以通过 GitHub 导入 API 利用该漏洞。目前 DevOps 平台 GitLab 已经发布了安全更新，修复了这一影响其 GitLab 社区版（CE）和企业版（EE）的关键远程代码执行漏洞。 GitLabCE/EE 多个版本受到漏洞影响 漏洞爆
腾讯安全威胁情报中心推出2023年9月份必修安全漏洞清单，所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果。
微软于北京时间2017年1月10日发布了4个新的安全公告，其中1个为严重等级，3个为重要等级。本次更新主要修复Windows、InternetExplorer、Office、MicrosoftOffice Services 和SQL Server、Web Apps、Adobe FlashPlayer、MicrosoftEdge等组件的安全漏洞。
近日，美国网络安全和基础设施安全局CISA再次将CVE-2022-26925漏洞添加到已知漏洞目录中，并命令联邦文职行政部门FCEB在7月22日前按规定执行修复。CVE-2022-26925漏洞允许未经身份验证的攻击者能够在匿名模式下通过NTLM的身份验证，这可能会导致攻击者夺取整个域的控制权。 据悉在今年5月，CISA曾将CVE-2022-26925 Windows LSA添加在“已知漏洞目录”中，并发布了强制修复的命令，但很快CISA就将这条公告删除。原因微软2022年5月的周二补丁虽然声称解决了CVE
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
