关于Cisco IMC CLI命令注入漏洞（CVE-2024-20295）的安全预警
关于Cisco IMC CLI命令注入漏洞（CVE-2024-20295）的安全预警一、 基本情况Cisco Integrated Management Controller（简称IMC）是一种底板管理控制器，用于通过多个接口管理 UCS C系列机架和UCS S系列存储服务器，包括 XML API、Web (WebUI) 和命令行 (CLI) 接口。二、 漏洞描述Cisco IMC中修复了一个本地权限提升漏洞（CVE-2024-20295），其CVSS评分为8.8，目前该漏洞的PoC/EXP已公开。由于对用户提供的输入验证不足，Cisco IM...
关于PuTTY密钥恢复漏洞（CVE-2024-31497）的安全预警
关于PuTTY密钥恢复漏洞（CVE-2024-31497）的安全预警一、 基本情况PuTTY 是一种流行的开源终端仿真器、串行控制台和网络文件传输应用程序，支持 SSH、Telnet、SCP和SFTP等协议，可使用该软件通过SSH远程访问和管理服务器和其他网络设备。二、 漏洞描述PuTTY 版本0.68 - 0.80中使用NIST P521曲线的ECDSA私钥生成签名的代码中存在漏洞（当使用PuTTY或Pageant对SSH服务器进行身份验证时，它会根据密钥生成签名），获得约60条签名消...
关于Rust命令注入漏洞（CVE-2024-24576）的安全预警
关于Rust命令注入漏洞（CVE-2024-24576）的安全预警一、 基本情况Rust是一种通用、编译型编程语言，强调性能、类型安全和并发性，支持函数式、并发式、过程式以及面向对象的编程风格。二、 漏洞描述Rust 标准库中存在命令注入漏洞（CVE-2024-24576，被称为BatBadBut），该漏洞的CVSS评分为10.0，可能在Windows系统上导致命令注入攻击，目前该漏洞的细节已公开。Rust标准库1.77.2 版本之前，在 Windows 上使用Command API 调用批...
关于D-Link NAS设备命令注入漏洞（CVE-2024-3273）的安全预警
关于D-Link NAS设备命令注入漏洞（CVE-2024-3273）的安全预警一、 基本情况多款D-Link网络附加存储 (NAS) 设备型号中存在硬编码帐户后门漏洞（CVE-2024-3272，CVSS评分9.8）和命令注入漏洞（CVE-2024-3273，CVSS评分7.3），目前这些漏洞的详情及PoC/EXP已公开，且已发现被利用。二、 漏洞描述D-Link DNS-320L、DNS-325、DNS-327L、DNS-340L等多个产品的/cgi-bin/nas_sharing.cgi脚本中存在硬编码后门漏洞（用户名messagebus，密...
关于WordPress LayerSlider插件SQL注入漏洞（CVE-2024-2879）的安全预警
关于WordPress LayerSlider插件SQL注入漏洞（CVE-2024-2879）的安全预警一、 基本情况WordPress插件LayerSlider是一款可视化网页内容编辑器、图形设计软件和数字视觉效果应用程序，全球活跃安装量超过 1,000,000 次。二、 漏洞描述LayerSlider插件中存在一个SQL注入漏洞（CVE-2024-2879），其CVSS评分为9.8，目前该漏洞的技术细节已公开。LayerSlider插件版本7.9.11 – 7.10.0中，由于对用户提供的参数转义不充分以及缺少wpdb::...
关于XZ-Utils供应链后门漏洞（CVE-2024-3094）的安全预警
关于XZ-Utils供应链后门漏洞（CVE-2024-3094）的安全预警一、 基本情况XZ-Utils是Linux/Unix系统中用于处理.xz和.lzma文件的命令行压缩工具，集成了liblzma等组件。二、 漏洞描述国外安全研究员发布消息，在xz-utils软件包5.6.0到5.6.1版本中，存在供应链攻击及植入后门风险，漏洞编号为CVE-2024-3094，漏洞的CVSS评分为10.0。3月29日，微软PostgreSQL开发人员Andres Freund在调查SSH性能问题时，在开源安全邮件列表中发帖称，...
关于Adobe ColdFusion任意文件读取漏洞（CVE-2024-20767）的安全预警
关于Adobe ColdFusion任意文件读取漏洞（CVE-2024-20767）的安全预警一、 基本情况Adobe ColdFusion是一个商用的应用程序开发平台，包括一个集成开发环境以及功能全面的脚本语言，支持CFML（ColdFusion Markup Language）脚本语言。二、 漏洞描述Adobe ColdFusion任意文件读取漏洞（CVE-2024-20767）的PoC在互联网上公开，目前该漏洞的漏洞细节已公开。Adobe ColdFusion 2023 Update 6及之前版本、ColdFusion 2021 Update 12及...
关于Firefox越界写入漏洞（CVE-2024-29943）的安全预警
关于Firefox越界写入漏洞（CVE-2024-29943）的安全预警一、 基本情况Mozilla Firefox是一个由Mozilla开发的开放源代码的网页浏览器，支持桌面版（Windows、Mac及Linux平台）、Android 版、iOS版等多种版本。二、 漏洞描述Firefox中修复了一个越界写入漏洞（CVE-2024-29943），目前该漏洞已发现被利用。Firefox 124.0.1之前版本中，由于基于范围的边界检查消除过程中存在问题，威胁者可通过绕过预期安全检查的方式操纵 JavaScrip...
