Apache Struts2 远程代码执行漏洞(S2-046)技术分析与防护方案

3月21日凌晨,Apache Struts2官方发布了一条安全公告,该公告指出Apache Struts2的Jakarta Multipart parser插件存在远程代码执行漏洞,漏洞编号为CVE-2017-5638。攻击者可以通过设置Content-Disposition的filename字段或者设置Content-Length超过2G这两种方式来触发异常并导致filename字段中的OGNL表达式得到执行从而达到远程攻击的目的。
阅读全文 “Apache Struts2 远程代码执行漏洞(S2-046)技术分析与防护方案” »

大华科技摄像头产品非授权访问漏洞技术分析与防护方案

近日,国内知名摄像头/DVR 生产厂商大华科技(Dahua Technology)发布了针对其部分产品的固件升级补丁用来修复其中的一个重要安全问题。然而在官方发布声明前,发现此漏洞的安全专家Bashis表示此漏洞疑似为大华科技自身预留的一个后门,因此没有事先通知大华科技而是选择了直接公开此漏洞。

阅读全文 “大华科技摄像头产品非授权访问漏洞技术分析与防护方案” »