漏洞

WordPress最近曝出内容注入漏洞，影响到REST API——来自Sucuri的安全研究人员最先发现该漏洞。未经授权的攻击者利用该漏洞可注入恶意内容，以及进行提权，对文章、页面等内容进行修改。REST API是最近添加到WordPress 4.7.0并默认启用的

Ghostscript是一套基于Adobe、PostScript及可移植文档格式（PDF）等页面描述语言而编译成的免费图像处理软件，被广泛应用于图片处理组件。目前已经从Linux版本移植到其他操作系统，如其他Unix、Mac OS X、VMS、Windows、OS/2和Mac OS classic。 近日，Ghostscript被爆出包含多个-dSAFER沙箱绕过漏洞

国家标准计划《信息安全技术 网络安全漏洞发现与报告管理指南》由 TC260（全国信息安全标准化技术委员会）归口 ，主管部门为国家标准化管理委员会。 在网络安全漏洞管理方面，除了基于政府层面的官方漏洞平台（安全响应中心）和企业本身外，国际通常采用中立第三方漏洞平台（漏洞报告平台）进行漏洞管理。 这种方式在我国也逐渐推行

谷歌已经为Windows、Mac和Linux用户发布了Chrome 99.0.4844.84，以解决一个被实际利用的高严重性零日漏洞。 浏览器供应商在周五发布的安全公告中说：谷歌知道CVE-2022-1096的一个漏洞被利用。 99.0.4844.84版本已经在稳定的桌面频道中向全球推出，谷歌表示，直到它到达整个用户群可能需要一个星期的时间

根据其自我报告的版本，Cisco IOS-XE 软件受到一个漏洞的影响。 - Cisco IOS 软件的速率限制网络地址转换 (NAT) 功能存在漏洞，未经认证的远程攻击者可以利用此漏洞，在受影响设备的 Cisco QuantumFlow 处理器中造成高 CPU 占用，从而导致拒绝服务 (DoS) 情况。造成此漏洞的原因是 QuantumFlow 处理器中的速率限制功能处理不当

继Xbox主机曝出外挂后，索尼PS5也在同一日曝出两个内核漏洞，攻击者利用这两个漏洞窃取了PS5的根密钥，这引发了大众对游戏主机的新一轮担忧。 11月8日，攻击者在推特上公布了PS5的两个内核漏洞，在此之前索尼公司并不知道该漏洞。 游戏主机内核漏洞可以利用来安装盗版游戏和运行模拟器，因此这类漏洞在游戏社区很受欢迎

Exchange Server是微软公司的是一套电子邮件服务组件，是个消息与协作系统，主要提供包括从电子邮件、会议安排、团体日程管理、任务管理、文档管理、实时会议和工作流等协作应用。 该漏洞是Exchange中的服务端请求伪造漏洞（SSRF），利用此漏洞的攻击者能够发送任意HTTP请求并绕过Exchange Server身份验证，远程未授权的攻击者可以利用该漏洞以进行内网探测，并可以用于窃取用户邮箱的全部内容。 危害：该漏洞是Exchange中的服务端请求伪造漏洞（SSRF），利用此漏洞的攻击者能够发送任意HTTP请求并绕过Exchange Server身份验证，远程未授权的攻击者可以利用该漏洞以进行内网探测，并可以用于窃取用户邮箱的全部内容

2020年1月14日，微软正式宣告Windows 7系统停止更新，官方停止技术支持、软件更新和安全问题的修复。这意味着数以亿计仍在运行Windows 7系统的计算机失去了保护屏障，所面临的安全风险或将排山倒海来。 然而，就在微软宣布Windows 7系统停服前夕，一场前所未有的0day漏洞组合攻击正伺机引爆，全球首例同时复合利用IE浏览器和火狐浏览器两个0day漏洞的攻击风暴悄然突袭

Foxit Reader（旧名：Foxit PDF Reader）是一套用来阅读PDF格式文件的软件，由福建福昕软件所研发。Foxit Reader是一套自由使用的软件，操作系统主要以Microsoft Windows为主，且只要有Win32执行环境的操作系统上皆可使用。 Foxit Reader 10.1.1.37576版对PDF文件中U3D对象的处理存在代码执行漏洞

C#语言是一种面向对象的、运行于.NET Framework之上的高级程序设计语言。它广泛应用于Windows平台应用软件的开发，是.NET开发的首选语言。本标准的C#语言语法遵循ISO/IEC 23270:2006语法标准

远程主机上安装的 Dell EMC iDRAC8 受到一个漏洞影响。 远程主机上安装的 Dell EMC iDRAC8 为 2.83.83.83 之前的版本。因此，该应用程序受到 DSA-2022-069 公告中提及的漏洞的影响

web渗透的漏洞排查出来后就没事了吗？会不会有隐患？ 只要网络上有漏洞，就是会受到有针对性的木马或者病毒的攻击的，这是显而易见的，而且一些故意为之的渗透操作还会导致企业的整个网络全部瘫痪，造成的损失是不可估量的。所以要经常排查，那么web渗透的漏洞排查出来就没事了吗？会不会有隐患呢？ 1.排查必须专业全面，完美修复。 渗透是通过网络漏洞来进行的，但是想要排查出漏洞，显然不是一件简单的事情，平时使用的一些安全卫士是能够发现一些漏洞的，但是并不会太全面，还是要通过专业渗透测试来检测漏洞才能够更全面一些

据外媒报道，9月10日，微软发布了用于修补79个安全漏洞的相关补丁。其中，有17个漏洞被评为严重漏洞，61个为重要漏洞，还有1个为中等级别漏洞。 据了解，有两个安全漏洞在补丁发布前就已被公开，其中一个是Windows文本服务框架中的特权提升漏洞（CVE-2019-1235）

Apple 发布软件更新以应对于 iOS 10.3 之前版本中发现的88个漏洞。这些漏洞源自多个iOS不同部件的问题。有多种方式利用这些漏洞攻击受影响的系统，攻击者可诱使目标用户开启特制的音讯、图像、文字讯息、网页内容、或下载恶意应用程序等来攻击这些漏洞

北京时间5月15日，微软发布了针对远程桌面服务的远程执行代码漏洞CVE-2019-0708的修复程序漏洞触发无需用户交互。这也就意味着，攻击者可以利用该漏洞制作类似于2017年席卷全球的WannaCry类的蠕虫病毒，进行大规模传播和破坏。 远程桌面服务（以前称为终端服务）中存在远程执行代码漏洞，当未经身份验证的攻击者使用RDP连接到目标系统并发送特制请求时

远程主机上安装的 Dell EMC iDRAC9 受到一个漏洞影响。 远程主机上安装的 Dell EMC iDRAC9 为 6.00.30.00 之前的版本。因此，该应用程序受到 DSA-2022-265 公告中提及的漏洞的影响

北京时间7月30日晚间消息，据美国科技媒体ZDNet报道，谷歌旗下安全团队Project Zero的两名成员日前公布了影响iOS系统的6个“无交互”安全漏洞中其中5个的详细信息和演示用攻击代码。 据悉，这6个“无交互”安全漏洞可通过iMessage客户端发动攻击。上周，即7月22日，苹果发布了iOS 12.4版，修复了这6个安全漏洞

Zero day attack汉语竟为“零日漏洞攻击”，又叫“零时差攻击”，也有翻译为“初始攻击”，“瞬时攻击”，即安全补丁与瑕疵曝光的同一日内，相关恶意程序就出现，并实施漏洞攻击。 通常情况下，当有人发现软件潜在的被黑客攻击的漏洞时，这个人或公司应通知软件公司或尽可能多的人，这样就能在漏洞被攻击前进行软件的修复工作。只要有充足的时间，软件开发商就能够修正软件并发布补丁

近期，发现 Spring Cloud Function 存在任意代码执行漏洞。 Spring Cloud Function 是基于 Spring Boot 的函数计算框架，它 抽象出所有传输细节和基础架构，允许开发人员保留所有熟悉的 工具和流程，并专注于业务逻辑。应用范围较广，因此威胁影响 范围较大

8月29日，工业和信息化部网络安全威胁和漏洞信息共享平台收到报告，畅捷通信息技术股份有限公司T+软件存在任意文件上传的超危安全漏洞。目前，该漏洞已被攻击者利用进行勒索病毒攻击，导致多起服务器因遭受攻击造成数据被加密的事件。 为防范利用该漏洞的勒索病毒攻击，建议T+单机版用户： 一是核查其使用的产品是否存在此安全漏洞，针对受影响的版本及时安装安全补丁； 二是如为公有云服务运营单位，同步开展云上用户排查，主动提醒用户安装补丁以加固系统； 三是有关单位和公众及时升级杀毒软件病毒库，加强病毒查杀，做好数据备份

网络安全解决方案供应商Check Point软件技术有限公司的威胁情报部门 Check Point Research今天透露，他们在 TikTok（抖音国际版）中发现多个漏洞，这些漏洞允许攻击者操纵用户账户的内容，甚至提取保存在这些账户上的个人机密资料。 Check Point 的威胁情报部门 Check Point Research 最近协助修补了在WhatsApp 中发现的新漏洞。该漏洞容许攻击者传递恶意群组讯息，继而导致群组所有成员所用的Whatsapp死机

2019年8月13日，微软发布了8月例行补丁更新列表，其中包含四个威胁评级为严重的RDP（远程桌面服务）远程代码执行漏洞。攻击者可以通过构造恶意特殊的RDP请求触发漏洞，获取在目标系统上的远程代码执行权限。需要注意的是从微软公告中来看，该漏洞为预身份验证，即无需用户交互（即利用的要求可能较低），这意味着该漏洞有可能被蠕虫所利用，其中漏洞CVE-2019-1181/CVE-2019-1182是微软在升级加固远程桌面服务期间所发现

由于历史上的独特地位，IE11 仍保有一定的市场占有率。然而近日曝光的一个零日漏洞，又让不少用户陷入了恐慌。据悉，该漏洞利用了一种被称作 MHT 的特殊文件格式，是微软在 IE 中保存网页时曾使用的一种特殊格式

远程 Windows 主机上安装的虚拟化应用程序受到未初始化堆栈内存使用漏洞的影响。 远程主机上安装的 VMware Workstation 版本为低于 14.1.6 的 14.x 或低于 15.0.3 的 15.x。因而会受到多个漏洞的影响：- 3D 加速功能的 vertex shader 组件中有一个越界读取漏洞，经验证的攻击者可泄露敏感信息，或造成来宾虚拟机拒绝服务

漏洞扫描是进行安全评估的必要手段，尤其在对大范围IP进行漏洞检查的时候，进行扫描评估能对被评估目标进行覆盖面广泛的安全漏洞查找，并且评估环境与被评估对象在线运行的环境完全一致，能较真实地反映主机系统、网络设备所存在的网络安全问题和面临的网络安全威胁。 采用业界知名漏洞扫描软件两款及以上，在进行漏洞扫描之后，扫描工具可输出原始数据报告，经数据库统计归类和人工分析之后，形成最终扫描报告。 以入侵者的行为方式通过检查您的网络的设备、服务以及相互关系去发现、分析、验证及核实漏洞

财经网科技4月16日讯，据IT之家消息，2022 年 04 月 14 日，Google 官方发布了一则 Chrome 风险警告，通报了一个编号为 CVE-2022-1364 的漏洞，漏洞等级“高危”，漏洞评分“8.5”，利用难度较低，且强调该漏洞已检测到被利用。 这次紧急修补的漏洞是 CVE-2022-1364，这是一个高危类型混淆漏洞，它会导致 Chromium V8 的类型混乱，影响到浏览器中使用的 JavaScript 引擎。此类漏洞通常可在成功读取或写入超出缓冲区上限的内存后导致浏览器崩溃或执行任意代码

SQLite 被曝存在一个影响数千应用的漏洞，受害应用包括所有基于 Chromium 的浏览器。 据 ZDNet 报导，该漏洞由腾讯 Blade 安全团队发现，允许攻击者在受害者的计算机上运行恶意代码，并在危险较小的情况下泄漏程序内存或导致程序崩溃。由于 SQLite 嵌入在数千个应用程序中，因此该漏洞会影响各种软件，包括物联网设备、桌面软件、Web 浏览器、Android 与 iOS 应用

微软资安反应中心（Microsoft Security Response Center）根据骇侵事件统计资料指出，近年来利用 0Day 漏洞（指尚未出现修补程式的最新漏洞）进行攻击的事件比例，已经高过利用已知漏洞攻击的案例数量。 微软资安反应中心人员于上周的 Blue Hat 资安研讨会上发表研究报告，指出 2017 与 2018 两年间，利用 0Day 漏洞进行攻击的骇侵事件，在总数上已经超过利用已知漏洞，且修补程式发表已达 30 天者的数量。 这份报告也指出，过去五年间发现且编上 CVE 编号的各种漏洞，数量达到过去的两倍以上；但利用这些已知漏洞的攻击案例数量却减为一半

近日，补天漏洞响应平台数据显示，自2014年4月至2015年3月的12个月间，统计到高校网站漏洞多达3495个，涉及高校网站1088个。其中，高危漏洞2611个，占74.7%;中危漏洞691个，占19.8%;低危漏洞193个，占5.5%。我国高校俨然成为信息安全泄漏的重灾区

近日，阿里云云盾应急响应中心监测到微软发布6月份的安全公告，本次安全公告显示微软修补了50个漏洞，包括11个严重漏洞，其中部分漏洞可被用来远程执行代码和本地提权。 NTFS未能正确检查访问权限，成功利用该漏洞的攻击者可以以提升的权限运行进程。利用该漏洞需要攻击者登录到系统并执行特殊构造的恶意程序