俗话说：“没有不透风的墙”，世界上也不存在没有安全漏洞的应用程序，只是大企业会通过严格的编程规范和充分的测试来减少安全漏洞，但人都是会犯错的，应用程序并不能保证百分之百的安全。
在当下软件应用的开发过程当中，自研的内部代码所占的比例逐步地减少，开源的框架和共用库已经得到了广泛的引用。如下图所示，在一个Kubernetes部署的应用当中，我们自己开发代码所占的比例可能连0.1%都不到。
漏洞扫描系统是一种自动化的工具，用于发现和报告计算机网络系统中的安全漏洞。这些漏洞可能包括软件漏洞、配置错误、不安全的网络设备等。漏洞扫描系统的主要功能包括以下几个方面：
Lodash 是一款非常流行的 npm 库，每月的下载量超过 8000 万次，GitHub 上使用它的项目有超过 400 万。前段时间 Lodash 的一个安全漏洞刷爆了朋友圈，我们先来回忆下这个安全漏洞：
黑客现在到底怎么赚钱 ，又有多少新生血液在加入这个行业，让我们一步步揭开黑客的神秘面纱。
腾讯安全威胁情报中心推出2023年9月份必修安全漏洞清单，所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果。
工业和信息化部6月18日发布了《网络安全漏洞管理规定（征求意见稿）》（以下简称“意见稿”），征求意见稿条文不多，共12条，旨在通过系统地规范网络产品、服务和系统的安全漏洞报告、收集、信息发布、验证、修补或防范等行为，保证网络产品、服务和系统的漏洞得到及时修复，加强网络安全漏洞管理，提高网络安全防护水平。
2019 年 11 月 26 日，本来应该是无比平静的一天，开开会，改改bug，摸摸鱼之后等着下班。刷着新闻的间隙，手机的消息提示音响了起来，收到了一条邮件，平时收到邮件我都会选择稍后处理模式继续摸鱼，但是看到邮件标题后，我感觉摸鱼是摸不得了，怕不是捅了什么篓子，邮件的标题是这样的：
漏洞 参考措施 OpenSSH 命令注入漏洞(CVE-2020-15778)厂商补丁：目前暂未发布修复措施解决此安全问题，建议使用此软件的用户随时关注厂商主页或参考网址以获取解决办法；http://www.openssh.com/ 临时缓解措施：可以禁用scp，改用rsync等缓解风险（可能会导致小文件机器内拷贝变慢） OpenSSH 安全漏洞(CVE-2021-41617)厂商补丁：建议使用此软件的用户随时关注厂商主页或参考网址以获取解决办法； http://www.openssh.com/securi
Bugsy是一款功能强大的代码安全漏洞自动化修复工具，该工具本质上是一个命令行接口工具，可以帮助广大研究人员以自动化的形式修复代码中的安全漏洞。
腾讯安全威胁情报中心推出2023年7月份必修安全漏洞清单，所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果。
今日洞见 文章作者/配图来自ThoughtWorks：马伟。 本文所有内容，包括文字、图片和音视频资料，版权均属ThoughtWorks公司所有，任何媒体、网站或个人未经本网协议授权不得转载、链接、转贴或以其他方式复制发布/发表。已经本网协议授权的媒体、网站，在使用时必须注明"内容来源：ThoughtWorks洞见"，并指定原文链接，违者本网将依法追究责任。 1. 传统安全实践面临着严峻的挑战 随着互联网应用、移动应用爆发式的增长，伴随而来的黑客攻击事件也是层出不穷。仅在过去的2015年里，被公开报道的数
根据国家信息安全漏洞共享平台（China National Vulnerability Database，简称CNVD，）统计的本周信息安全漏洞威胁整体评价级别为中。CNVD是由国家计算机网络应急技术处理协调中心(中文简称国家互联应急中心，英文简称CNCERT)联合国内重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业共同建立的信息安全漏洞信息共享知识库。CNVD会实时公布国际和国内出现的各种病毒和漏洞，有时还给出了解决方案，是国内安全厂商参考的重要平台。通过CNVD建立软件安全漏洞统一收集验证、预警发布及应急处置体系，切实提升我国在安全漏洞方面的整体研究水平和及时预防能力。
GnuTLS库中的一个源代码错误可能证明是对Linux用户隐私的一个严重威胁，因此开发者紧急修复这个安全漏洞。GnuTLS库是大量的不同Linux发布版软件用于处理安全互联网连接的一个开源软件构件。 GnuTLS开发者Nikos Mavrogiannopolous本周一在一个邮件列表消息中宣布，他已经对源代码使用了补丁，修复了这个漏洞。这个漏洞能够让攻击者在验证证书的时候欺骗GnuTLS的系统，把安全的连接暴漏给窃听者。 通过创建一个具体类型的假冒证书，攻击者能够欺骗GnuTLS接受它为真正的证
奇安信集团副总裁、补天漏洞响应平台主任张卓认为，该《规定》释放了一个重要信号：我国将首次以产品视角来管理漏洞，通过对网络产品漏洞的收集、研判、追踪、溯源，立足于供应链全链条，对网络产品进行全周期的漏洞风险跟踪，实现对我国各行各业网络安全的有效防护。
腾讯安全威胁情报中心推出2023年8月份必修安全漏洞清单，所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果。
Golang开发者非常关心开发应用的安全性。随着Go Module应用越来越广泛，Golang开发者需要更多的方式来确保这些公共共享文件的安全。Golang1.13版本在创建Go Module时，通过增加go.sum文件来验证之后从GOPROXY再次访问到的该Module是否曾被篡改。这个机制有助于保证Module的完整性。但是，当初次创建并提交Go Module时，如果原始文件中被引入了恶意代码，这种安全漏洞还是不能被发现和预警的。
Apache Struts2再曝高危漏洞 前段时间，Apache Struts2又接连曝出了两个高危远程代码执行（Remoce Code Execution，下文简称RCE）漏洞（CVE-2017-5638）。为什么要说“又”呢？那是因为这早就不是Apache Struts2第一次曝出这类漏洞了。 你应该还有印象，早几年前Apache Struts2披露了一系列RCE漏洞，而且他们家在披露RCE漏洞的同时还附带了证明漏洞存在的POC（Proof Of Concept）脚本。在那次事件中，由于POC包含的信息
本文深入探讨了开源软件在面临安全漏洞和威胁时的漏洞响应策略。通过详细分析漏洞的定义、漏洞响应流程以及漏洞修复的最佳实践，我们将了解开源社区是如何积极应对安全威胁，确保软件的安全性和可靠性。
帮助 Android 应用开发者构建 "零漏洞" 的安全应用有助于推动整个生态系统的健康发展。所以，我们在 5 年前启动了应用安全改进计划，项目发展至今，收获了许多成功，也让我们更加坚定了继续投入的决心。
最近，苹果公司发布了紧急安全更新，解决了两个 iOS 零日漏洞。这些漏洞存在于 iOS 内核（CVE-2024-23225）和 RTKit（CVE-2024-23296）中，威胁攻击者可利用其绕过内核内存保护，这就给了具备任意内核读写权限的威胁攻击者可乘之机。
Bleeping Computer 网站消息，大约有 38% 采用 Apache Log4j 库的应用程序使用的是存在安全问题的版本，其中包括 Log4Shell 漏洞，该漏洞被追踪为 CVE-2021-44228，尽管两年多前就有了修补程序，但目前的严重程度仍达到了最高级别。
Fottify全名叫Fortify Source Code Analysis Suite，它是目前在全球使用最为广泛的软件源代码安全扫描，分析和软件安全风险管理软件，该软件多次荣获全球著名的软件安全大奖，包括InforWord, Jolt，SC Magazine，目前众多世界级的软件开发企业都在使用该软件方案在他们的开发团队中加速查找软件安全漏洞的效率，监视和
本文主要介绍了CNNVD近期发布的漏洞总结，涉及多个产品/组件，包括Android系统、Linux内核、IBM Sterling B2B Integrator、WordPress以及SWFTools等。CNNVD每天都会发布新的漏洞信息，并提供了相关补丁下载。
在此报告中，我们调查了 Angular 和 React 生态系统的安全状态。在这份报告种我们根本没有将它们作为竞争性框架进行比较。相反，我们把它们作为可行的构建 JavaScript 项目的前端生态系统的替代方案进行了审查，同时重点关注了每种方案的安全风险和最佳实践，以及它们之间的差异。
SolarWinds 近期修补了 Access Rights Manager (ARM) 解决方案中的五个远程代码执行 (RCE) 漏洞，其中包括三个允许未经验证利用的严重安全漏洞！
今天早上新闻，网络专家周三警告称，他们在广泛使用的Linux软件Bash中新发现了一个安全漏洞。该漏洞对电脑用户构成的威胁可能比今年4月发现的“心脏流血”()漏洞更大。Bash是一款软件，被用于控制众多Linux电脑上的命令提示符。安全专家称，黑客可以利用Bash中的漏洞完全控制目标系统。
NETGEAR美国网件意识到最近公布的安全漏洞KRACK，它利用了WPA2(WiFi保护访问II)中的安全漏洞。美国网件现正在积极跟进修复，已更新了多个产品的修复程序，请浏览美国网件官方网站(https://kb.netgear.com/000049498/Security-Advisory-for-WPA-2-Vulnerabilities-PSV-2017-2826-PSV-2017-2836-PSV-2017-2837)及时更新。
Atlassian 有关安全漏洞的报告细节，请参考如何报告一个安全问题（How to Report a Security Issue）链接。
4 月 14 日，国家信息安全漏洞共享平台（CNVD）收录了 Google Chrome 远程代码执行漏洞，编号为 CNVD-2021-27989。
2022年6月6-9日，被誉为安全行业“奥林匹克”的RSA Conference2022在旧金山召开，作为全球顶级的网络安全大会，RSAC2022吸引全球网络安全企业、专家、大咖共聚一堂，探讨当下热门网络安全技术理念，共同寻求抵御安全风险的新解法。 近年来，网络攻击事件频频发生，其中黑客“炫技”已经越来越少，取而代之的是作战思维更加明确，趋利性更加明显的专业化网络攻击组织，包括各种勒索软件团伙，合作链条紧密的地下黑产等等。 在这样的情况下，以攻击者视角对企业数字资产攻击面进行检测发现和持续监控的网络资产攻
“读书节，最好的过节方式可能不是看书，而是写作；HVV结束，最好的纪念方式可能不是小龙虾，而是总结与成长。从安全公司的产品安全建设角度，来看安全产品的自身安全和HVV，别有一番风味。”
渗透测试是在安全、符合规定并且受控的条件下针对公司精心策划的经过批准的网络攻击。渗透测试人员努力发现和利用组织环境的设定范围内的漏洞，在黑客等犯罪分子利用它们之前提前分析弱点。
近期，一份来自安全测试公司的报告显示，开源领域的应用安全情况整体有所好转，但依然存在问题，包括开源代码的漏洞被利用，以及第三方代码库本身的风险。 上述发现出自 Veracode 发布的《软件安全报告（第12版）》，报告中所使用的数百万不同类型的数据来自 Veracode 的服务端和客户端，并对这些数据进行了静态分析、动态分析、软件组成分析和渗透测试。 PART ONE 开源代码缺陷更少，漏洞修复更快 报告称：「开源库仍然是一个令人担忧的安全因素」，这是一个长期存在，并持续至今的隐患，原因就在于开发者
近日，《网络产品安全漏洞管理规定》的出台引起了业界的热议，《规定》对网络产品安全漏洞发现、报告、修补和发布等行为进行规范，以防范网络安全风险。
5月29日，360公司Vulcan（伏尔甘）团队宣布发现EOS的一系列高危安全漏洞。其中部分漏洞可以在EOS节点上远程执行任意代码，也就是说，黑客可以通过远程攻击，直接控制和接管EOS上运行的所有节点。简单地说，就是普通用户手里的EOS，甚至整个加密货币市场都会遭殃。
为什么很多网站系统都存在这个安全漏洞，这里面我所指的一些网站都是一些小公司的，或者是一些个人的网站系统，比如说像阿里、腾讯、百度这些大公司，他们因为有自己的开发团队和相关的这个安全人员，他们的漏洞相对就非常非常的少。那么一个网站的话，一旦存在这个安全漏洞，它就有可能会造成巨大的这个经济损失。一般出现这个安全漏洞的网站的话，它会导致这个数据被恶意的去修改，或者是一些敏感的数据被盗取，从而造成经济的损失。
Bleeping Computer 网站披露，五眼联盟网络安全机构、CISA、美国国家安全局（NSA）和联邦调查局（FBI）联合发布了一份 2022 年最容易被利用的 12 个漏洞清单，五眼联盟网络安全机构呼吁全球各地的实体组织尽快部署补丁管理系统，解决安全漏洞问题，以最大限度降低潜在的网络风险。
1 Oracle MySQL Server远程安全漏洞 Oracle MySQL Server远程安全漏洞发布时间：2014-04-17漏洞编号：BUGTRAQ ID: 66863,66872 CVE(CAN) ID: CVE-2014-2450,CVE-2014-2434漏洞描述：Oracle MySQL Server是一个轻量的关系型数据库系统。 Oracle MySQL Server在MySQL Server组件的实现上存在远程安全漏洞，此漏洞可通过MySQL Server协议利用，经身份验证的远程
根据开放 Web 应用程序安全项目(OWASP)，大约三分之二的 Web 应用程序安全漏洞是由不安全的编码实践造成的。这意味着，如果你是一名开发人员，你编写的代码中至少包含一个安全漏洞的可能性很高。
对于企业内部的安全工程师来说，对漏洞一直又爱又怕，爱在，漏洞的发现与验证实现的过程，充满满满的成就感；怕在，不断的新系统上线，老系统版本更新迭代，造就一批批的漏洞如雨后春笋般争相露头，一段时间下来，好像漏洞无穷无尽，怎么都修不完。甚至部分开发人员，谈漏洞色变，让人颇为无奈。等到汇报的时候，不出事就是应该的，出了事就是安全工作没做到位。但殊不知，在企业安全建设前期阶段，安全漏洞管理是复杂繁琐、让人头痛的事情，漏洞录入、跟进、处理、验证、修复完成整个循坏下来，需要好的方法与技巧，不然着实让人充满疲惫与无力感。
本周BUF大事件还是为大家带来了新鲜有趣的安全新闻，谷歌多项服务全球大规模宕机：涵盖YouTube、Gmail等；猎头企业泄露了数以百万计的简历，客户私人数据；Android发布6月安全补丁：共修复22处安全漏洞；羊城通乘车码造恶意攻击 官方：已修复并报案。想要了解详情，来看本周的BUF大事件吧！
企业面临的安全挑战已经发生改变 如今，越来越多的企业选择部署移动技术和数字化来强化自己的业务，传统的业务模式在新的技术革命中面临新的安全问题和挑战。这些挑战集中体现在如下几个方面： 第一，固守网络边界安全难以达到预期的效果。传统的安全思路是，在网络边界实行严格的访问控制、部署网络防火墙、入侵检测以及入侵防御系统等，企业以为这么做足以高枕无忧，但实则是被安全的假象所包围。近年来，黑客渗透进入企业内网，绕过网络防火墙，通过IT系统漏洞获取最高执行权限、下载敏感数据，种植木马病毒等攻击事件层出不穷。 更何况，随着
墨墨导读：Oracle公司于2021年1月19日，发布了第一个年度安全预警。关于 Oracle 数据库部分，共 8个 安全警告，通过应用最新的 CPU 补丁可以修复这个安全漏洞。
新年新气象，可是对于英特尔来说，新年第2天就被曝出有重大安全漏洞，可谓开年遭棒打。 1月3日，英特尔被曝出其处理器存在一个底层设计缺陷，而要解决这一芯片级漏洞问题，必须得重新设计Windows、Linux内核系统。 据了解，此次被曝出的英特尔芯片漏洞，无法通过微代码更新进行弥补，需要与操作系统研发公司一起修补。而此次受到影响的包括Windows操作系统、Linux操作系统，以及苹果64位macOS等操作系统。 受到此次安全漏洞的影响，英特尔股价最高下跌了5.5%，创下了2016年10月以来最大的跌幅。 最直
https://gh0st.cn/Binary-Learning/%E5%88%9D%E7%BA%A7%E7%AF%87.html
Clair 是一款开源的容器漏洞扫描工具，专门用于识别容器镜像中的安全漏洞。在云计算和微服务架构中，容器化技术（如 Docker 和 Kubernetes）日益普及，容器安全成为重要议题。Clair 的出现就是为了应对这种需求，它可以帮助开发者和系统管理员发现和修复容器镜像中的安全漏洞。
“近日，为贯彻落实《网络安全法》，加强网络安全漏洞管理，工信部起草了《网络安全漏洞管理规定（征求意见稿）》，正式向社会公开征求意见，引起了整个网络安全圈的轰动。”
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
