【预警通告】UC浏览器潜在中间人攻击漏洞
近日,国外研究员发现了UC浏览器潜在的一个漏洞,可能会影响全球范围内上亿用户。研究人员发现UC浏览器中存在一个隐藏功能,该功能绕过了一些应用商店限制,可以从网上下载一些备用组件并执行。该功能用于给客户端添加新功能或者升级,但是也可以被中间人攻击利用。例如,当用户使用UC浏览器下载一份PDF文件并尝试打开浏览时,攻击者可以利用中间人攻击使浏览器下载一个恶意的文件并最终执行。
近日,国外研究员发现了UC浏览器潜在的一个漏洞,可能会影响全球范围内上亿用户。研究人员发现UC浏览器中存在一个隐藏功能,该功能绕过了一些应用商店限制,可以从网上下载一些备用组件并执行。该功能用于给客户端添加新功能或者升级,但是也可以被中间人攻击利用。例如,当用户使用UC浏览器下载一份PDF文件并尝试打开浏览时,攻击者可以利用中间人攻击使浏览器下载一个恶意的文件并最终执行。
近日,Linux内核被曝出存在一个拒绝服务攻击漏洞(CVE-2018-5390)SegmentSmack。远程攻击者可以利用此漏洞通过在正在进行的TCP会话中发送特别修改的数据包来触发tcp_collapse_ofo_queue()和tcp_prune_ofo_queue()函数调用,消耗大量时间和计算,这可能导致CPU饱和,从而导致系统上的拒绝服务。
微软的凭据安全支持提供协议(CredSSP)被曝存在一个漏洞(CVE-2018-0886),通过漏洞,攻击者可以控制域名服务器和网络上的其他系统。
近日,RSA Authentication Agent被发现存在2个关键漏洞:CVE-2017-14377,CVE-2017-14378。成功利用这些漏洞可能导致验证绕过从而访问其他资源。具体的漏洞信息请参考下文。
近日,WordPress 官方发布了一条安全通告表示在4.8.1版本中发现了一个存储型的XSS漏洞,通过该漏洞,攻击者可以在受影响网站的评论区写下包含恶意代码的留言,当该留言页面被打开时,其中的恶意代码会执行,导致该网站的权限,插件等被更改,甚至被完全控制。
近日,Pivotal官方发布通告表示Spring-data-rest服务器在处理PATCH请求时存在一个远程代码执行漏洞(CVE-2017-8046)。攻击者可以构造恶意的PATCH请求并发送给spring-date-rest服务器,提交的JSON数据中存在SPEL表达式可以导致远程代码执行。官方已经发布了新版本修复了该漏洞。
2017年9月5日,Apache Struts发布最新的安全公告,Apache Struts 2.5.x的REST插件存在远程代码执行的高危漏洞,漏洞编号为CVE-2017-9805(S2-052)。漏洞的成因是由于使用XStreamHandler反序列化XStream实例的时候没有任何类型过滤导致远程代码执行。
2016年7月7日,唐朝实验室在乌云上提交Spring Boot框架存在SPEL表达式注入通用漏洞,缺陷编号为WooYun-2016-226888,威胁等级为【高】,攻击者可以远程代码执行。
2016年7月7日,唐朝实验室在乌云上提交Spring Boot框架存在SPEL表达式注入通用漏洞,缺陷编号为WooYun-2016-226888,威胁等级为【高】,攻击者可以远程代码执行。
发布时间:2016年3月28日
2016年4月12日,关于 Microsoft Windows平台和Samba服务软件中存在的一个严重等级的安全漏洞将会被披露,定名为BadLock。 此漏洞由International Samba Core Team成员Stefan Metzmacher发现,并提交给Microsoft和Samba相关的部门。
目前,Microsoft和Samba的工程师们正在合作修复问题,补丁将会于2016年4月12日发布。