【安全报告】2017 物联网安全研究报告
中国电信安全帮携手绿盟科技联合发布《2017 物联网安全研究报告》,旨在进一步加强物联网安全建设,向社会提供有关物联网安全状况的权威数据。
中国电信安全帮携手绿盟科技联合发布《2017 物联网安全研究报告》,旨在进一步加强物联网安全建设,向社会提供有关物联网安全状况的权威数据。
近日,Apache Synapse发布了新版本修复了一个远程代码执行漏洞(CVE-2017-15708)。该漏洞源于Apache Commons Collections组件,攻击者可以通过注入特制的序列化对象来远程执行代码。
Fastjson于今年3月份曝出一个远程代码执行漏洞,官方随后通过默认关闭autotype功能和开启黑名单解决了该漏洞,但近日有研究人员发现该黑名单存在一定限制,在开启autotype功能后可以通过改变相关类名来绕过黑名单,从而实现远程代码执行。
这篇文章主要是基于我在看雪2017开发者峰会的演讲而来,由于时间和听众对象的关系,在大会上主要精力都集中在反序列化的防御上。前面的Fastjson PoC的构造分析涉及得很少,另外我在5月份分享的Fastjson Poc构造与分析限制条件太多,所以写下这篇文章。
MVCC(Multi-Version Concurrency Control,多版本并发控制):在并发操作数据库时,读操作可能会产生不一致的数据,为了避免这种情况,需要实现数据库的并发访问控制,使得每次读取到的数据都一致,最简单的方式便是加锁访问。也就是,将所有操作串行化,这样就不会出现不一致的情况。但是,串行化的读操作会被写操作阻塞,导致性能下降。
北京时间12月7日,微软官方发布了一则通告表示其恶意软件防护引擎(Malware Protection Engine)存在一个远程代码执行漏洞(CVE-2017-11937)。
2016年里全球发生了许多安全事件,包括希拉里邮件门事件、NSA再陷泄密风波, SWIFT系列攻击事件,台湾第一银行ATM欺诈取现事件等。通过事件的披露并结合信息安全专家的分析,我们看到在这些安全事件再次印证人的因素永远是信息安全控制中最为脆弱的环节。
北京时间12月7日,Apple官方发布了安全通告描述了关于macOS High Sierra 10.13.2,安全更新2017-002 Sierra和安全更新2017-005 El Capitan的安全更新内容,其中涉及若干越权访问以及代码执行的漏洞。
近日,用于高级记录格式(ARF)和WebEx记录格式(WRF)文件的Cisco WebEx网络录制播放器中被发现存在多个漏洞。