【漏洞分析】spring-messaging远程代码执行漏洞分析报告(CVE-2018-1270&CVE-2018-1275)

Spring框架版本5.0-5.0.4,4.3-4.3.15存在CVE-2018-1270和CVE-2018-1275漏洞可导致远程代码执行。在引入且使用spring-messaging组件时,攻击者可通过WebSocket向服务器端发送携带有恶意代码的STOMP消息,从而导致远程代码执行攻击。

注意由于可能官方版本发布流程或代码管理上所犯低级错误,导致4.3.14-4.3.15版本升级中该漏洞所涉及文件并未更新,所以CVE-2018-1270在4.3.14版本中并未修复,就有了最新的CVE-2018-1275漏洞,并在4.3.16版本中得到了修复。

【威胁通告】微软发布4月补丁修复67个安全问题

微软于周二发布了4月安全更新补丁,修复了67个从简单的欺骗攻击到远程执行代码的安全问题,产品涉及Adobe Flash Player、Internet Explorer、Microsoft Browsers、Microsoft Devices、Microsoft Edge、Microsoft Graphics Component、Microsoft JET Database Engine、Microsoft Malware Protection Engine、Microsoft Office、Microsoft Scripting Engine、Microsoft Windows、Visual Studio、Windows Hyper-V、Windows IIS、Windows Kernel以及Windows RDP。

思科

滥用Cisco Smart Install协议在野攻击事件分析

近期,不断有媒体报道多个使用思科交换机的网络基础设施遭到攻击,造成设备瘫痪并在屏幕上显示美国国旗,疑似使用了CVE-2018-0171,但根据研判此攻击实际是滥用Cisco Smart Install协议中未授权的配置修改功能,并非是CVE-2018-0171,目前没有足够的事实证明CVE-2018-0171已被大规模利用攻击。

【物联网安全】弱设备防护方法

物联网设备之所以存在安全隐患,是因为其暴露了足够的敏感信息,从而被攻击者利用来制造攻击。这些敏感信息,从暴露位置来看,可分为两类:一类是存储在设备中的固件和印制在产品内部的信息(如PCB丝印、芯片型号)等;另一类是传输在网络(不仅仅是以太网、Wi-Fi、蓝牙等)中的信息。本文通过从本地信息、网络信息这两个角度介绍物联网弱设备存在的安全隐患,进而提出设备加固的方法。

【威胁通告】Auth0平台身份验证绕过漏洞(CVE-2018-6873,CVE-2018-6874)

近日,Auth0被曝出存在严重的身份验证绕过漏洞。该漏洞(CVE-2018-6873)源于Auth0的Legacy Lock API没有对JSON Web Tokens(JWT)的参数做合理的验证,随后可以触发一个CSRF/SXRF漏洞(CVE-2018-6874)。攻击者仅需要知道用户的user ID或者email地址,就可以登录该用户任何使用Auth0验证的应用。

思科

【预警通告】Cisco IOS/IOS XE远程代码执行漏洞(CVE-2018-0171)

2018年3月28日,Cisco IOS以及IOS XE软件被发现存在一个严重漏洞CVE-2018-0171。攻击者可以在未授权的情况下通过重新加载(reload)设备造成拒绝服务条件,或者远程执行代码。Smart Install是为新的LAN以太网交换机提供零触摸部署的即插即用配置和图形管理功能,在TCP端口4786上运行的Cisco专用协议,若设备启用了Smart Install功能且对外开放4786端口,攻击者就可通过发送畸形Smart Install报文来利用此漏洞,使得设备缓冲区溢出,导致拒绝服务乃至远程代码执行等后果。

【漏洞分析】Drupal 8 – CVE-2017-6926漏洞详解

近期,著名的Drupal CMS网站爆出7个漏洞,其中1个严重漏洞CVE-2017-6926,具有发表评论权限的用户可以查看他们无权访问的内容和评论,并且还可以为该内容添加评论。绿盟科技于上周发布了《 Drupal下周将发布重要安全补丁威胁预警通告 》。

本篇文章对Drupal 8 – CVE-2017-6926漏洞进行了详细分析。

【预警通告】Cisco IOS/IOS XE远程代码执行漏洞 (CVE-2018-0171)

近日,Cisco IOS以及IOS XE软件被发现存在一个严重漏洞(CVE-2018-0171)。攻击者可以在未授权的情况下通过重新加载(reload)设备造成拒绝服务条件,或者远程执行代码。该漏洞源于没有对数据包进行合理的认证,攻击者可以通过向TCP端口4786上的受影响设备发送精心设计的智能安装消息(Smart Install message)来利用此漏洞,使得设备缓冲区溢出,导致远程代码执行等后果。