【漏洞分析】spring-messaging远程代码执行漏洞分析报告（CVE-2018-1270&CVE-2018-1275）

,

Spring框架版本5.0-5.0.4，4.3-4.3.15存在CVE-2018-1270和CVE-2018-1275漏洞可导致远程代码执行。在引入且使用spring-messaging组件时,攻击者可通过WebSocket向服务器端发送携带有恶意代码的STOMP消息，从而导致远程代码执行攻击。

注意由于可能官方版本发布流程或代码管理上所犯低级错误，导致4.3.14-4.3.15版本升级中该漏洞所涉及文件并未更新，所以CVE-2018-1270在4.3.14版本中并未修复，就有了最新的CVE-2018-1275漏洞，并在4.3.16版本中得到了修复。

Read More

【威胁通告】微软发布4月补丁修复67个安全问题

, ,

微软于周二发布了4月安全更新补丁，修复了67个从简单的欺骗攻击到远程执行代码的安全问题，产品涉及Adobe Flash Player、Internet Explorer、Microsoft Browsers、Microsoft Devices、Microsoft Edge、Microsoft Graphics Component、Microsoft JET Database Engine、Microsoft Malware Protection Engine、Microsoft Office、Microsoft Scripting Engine、Microsoft Windows、Visual Studio、Windows Hyper-V、Windows IIS、Windows Kernel以及Windows RDP。

Read More

思科

滥用Cisco Smart Install协议在野攻击事件分析

,

近期，不断有媒体报道多个使用思科交换机的网络基础设施遭到攻击，造成设备瘫痪并在屏幕上显示美国国旗，疑似使用了CVE-2018-0171，但根据研判此攻击实际是滥用Cisco Smart Install协议中未授权的配置修改功能，并非是CVE-2018-0171，目前没有足够的事实证明CVE-2018-0171已被大规模利用攻击。

Read More

【物联网安全】弱设备防护方法

, ,

物联网设备之所以存在安全隐患，是因为其暴露了足够的敏感信息，从而被攻击者利用来制造攻击。这些敏感信息，从暴露位置来看，可分为两类：一类是存储在设备中的固件和印制在产品内部的信息（如PCB丝印、芯片型号）等；另一类是传输在网络（不仅仅是以太网、Wi-Fi、蓝牙等）中的信息。本文通过从本地信息、网络信息这两个角度介绍物联网弱设备存在的安全隐患，进而提出设备加固的方法。

Read More

【威胁通告】Auth0平台身份验证绕过漏洞（CVE-2018-6873，CVE-2018-6874）

, ,

近日，Auth0被曝出存在严重的身份验证绕过漏洞。该漏洞（CVE-2018-6873）源于Auth0的Legacy Lock API没有对JSON Web Tokens(JWT)的参数做合理的验证，随后可以触发一个CSRF/SXRF漏洞（CVE-2018-6874）。攻击者仅需要知道用户的user ID或者email地址，就可以登录该用户任何使用Auth0验证的应用。

Read More