预警通告     2018-11-09 18:00
Nginx 11月6日的安全更新中,修补了三个可导致拒绝服务的漏洞:CVE-2018-16843,CVE-2018-16844和CVE-2018-16845。位于nginx HTTP/2 模块和流媒体MP4模块。 CVE-2018-16843,CVE-2018-16844漏洞存在于ngx_http_v2模块之中(默认情况下不编译,编译时需要开启--with-http_v2_module,同时将listen http2添加到配置文件中)。当用户添加http2支持时,攻击者可以发送特制的HTTP/2请求,消耗CPU和内存资源,最终导致DoS。 CVE-2018-16845漏洞存在于ngx_http_mp4_module模块中,当用户对Nginx添加MP4流媒体支持,恶意的MP4文件会导致处理进程无限循环、崩溃或者内存泄露。
安全报告     2018-11-07 17:31
Armis研究人员确认2个TI BLE产品的芯片级漏洞,并命名为BLEEDINGBIT。 漏洞代码分别为CVE-2018-16986和CVE-2018-7080。 因漏洞细节未公布,本报告有猜测的部分。
预警通告     2018-11-07 17:05
2018-11-05 来自Radboud大学的研究人员Carlo Meijer和Bernard van Gastel发布了一篇针对市面上多款主流SSD的加密机制分析的文章。他们发现了这些SSD自身的加密方式存在严重问题。可以直接绕过硬件加密的密码保护,进而导致数据受到威胁。 主流SSD包括并不限于Crucial MX100,Crucial MX200,Crucial MX300,Samsung 840 EVO,Samsung 850 EVO,Samsung T3 Portable和Samsung T5 Portable 由于Windows的BitLocker软件加密默认使用硬件加密(如果支持),可以使用相同的方式绕过它。导致大量的windows下的磁盘加密形同虚设。
预警通告     2018-11-05 20:13
11月05日,玄武实验室研究人员发现Gogs 和 Gitea存在远程命令执行漏洞并发布安全报告漏洞编号:CVE-2018-18925/6)。 Gogs(又名Go Git Service)是Gogs团队开发的一个基于Go语言的自助Git托管服务,它支持创建、迁移公开/私有仓库,添加、删除仓库协作者等,而Gitea是Gogs的一个分支,随之也受到影响。
预警通告     2018-11-02 13:41
安全研究人员最近公布了两个蓝牙芯片漏洞的漏洞细节,并将之命名为BleedingBit。这些漏洞共同影响思科,Meraki和Aruba大约70%到80%的商业无线接入点(AP)中的蓝牙芯片。 BLE协议(有时也称为蓝牙智能协议)基于标准蓝牙通信协议,对物联网(IoT)设备进行了定制。 BLE不仅用于连接物联网设备。还用于接入点网络,智能家居锁,电话一键连接系统,跟踪系统以及胰岛素泵和心脏起搏器等医疗设备。
预警通告     2018-11-01 16:46
2018-10-31 Cisco官方发布安全预警 多款运行Cisco Adaptive Security Appliance (ASA)和 Cisco Firepower Threat Defense (FTD) 的设备受到影响。这两款软件均支持Session Initiation Protocol (SIP)。 而在(SIP)检查引擎中的漏洞受到未经身份验证的远程攻击导致受影响的设备重新启动或持续高CPU占用率,从而导致在拒绝服务(DoS) 该漏洞是由于SIP流量处理不当造成的。攻击者可以通过高速率发送特定的SIP请求到受影响的设备来利用此漏洞。导致设备崩溃重启。