CVE-2022-3602和CVE-2022-3786 -高严重性OpenSSL漏洞最终公布
2022年11月2日
我们是怎么走到这一步的?10月25日，OpenSSL团队宣布，OpenSSL 3.0.7将修复一个影响OpenSSL 3.x的严重漏洞。在11月1日之前，有关该漏洞的全部细节都被封锁。由于OpenSSL严重问题的罕见性和压倒性的流行…
我们是怎么走到这一步的?10月25日，OpenSSL团队宣布，OpenSSL 3.0.7将修复一个影响OpenSSL 3.x的严重漏洞。在11月1日之前，有关该漏洞的全部细节都被封锁。由于OpenSSL严重问题的罕见性和压倒性的流行…
JFrog安全研究团队持续监控开源软件(OSS)中报告的漏洞，以帮助我们的客户和更广泛的社区了解潜在的软件供应链安全威胁及其影响。在这样做的过程中，我们经常注意到值得强调的重要趋势和关键经验。以下是对在…中发现的漏洞的分析
几周前，Fastjson发布了一个新版本(1.2.83)，它修复了一个据称允许攻击者在远程机器上执行代码的安全漏洞。根据一些出版物，该漏洞允许攻击者绕过Fastjson中的“AutoTypeCheck”机制并实现远程代码执行。这个Fastjson…
几天前，安全研究员Neil Madden发表了一篇博客文章，其中他提供了一个新发现的Java漏洞CVE-2022-21449或“心灵签名”的细节。此安全漏洞源于Java 15中引入的ECDSA签名验证算法的不正确实现。此漏洞允许攻击者潜在地拦截通信…
几天前有报道称，新的Go版本1.18.1和1.17.9包含了对encoding/pem内置包中Decode函数中的堆栈溢出漏洞的修复。鉴于Go在我们的客户和整个行业中非常受欢迎，这次更新让我们调查了…
3月29日，cyberkendra安全博客发布了一篇关于Spring框架中log4shell等效远程代码执行(RCE)零日漏洞的轰动文章，但没有任何关于漏洞本身的可靠细节。这个安全漏洞被昵称为“SpringShell”(或“Spring4Shell”)，因为据称它的重要性与臭名昭著的“Log4Shell”相似。一天后，三月……
几天前，据报道，新的Apache版本2.4.53包含了几个错误的修复，这些错误暴露了众所周知的HTTP服务器的用户攻击:CVE-2022-22719涉及mod_lua模块中的一个错误，该错误可能导致从随机内存区域读取后拒绝服务，CVE-2022-22720暴露…
几天前，安全研究员Max Kellermann发布了一个名为DirtyPipe的漏洞，其编号为CVE-2022-0847。这个漏洞影响Linux内核，如果被利用，可以允许本地攻击者获得根权限。该漏洞受到了媒体的广泛关注，因为它影响了所有基于linux的5.8或更高内核的系统，没有…
最近，在4.13.17之前的Samba版本中披露了一个严重的越界漏洞，分配为CVE-2021-44142。Samba漏洞携带9.9的关键CVSS，并允许攻击者在运行具有易受攻击配置的Samba服务器的机器上远程执行代码。该漏洞是Pwn2Own奥斯汀竞赛的一部分，研究人员……
上周，一个被确定为CVE-2022-0185的严重漏洞被披露，影响Linux内核版本5.1到5.16.1。安全漏洞是Filesystem Context模块中的整数下流，允许本地攻击者在内核上下文中运行任意代码，从而导致特权升级、容器环境逃逸或拒绝…
