murphysec

在数字化的现代时代，供应链网络攻击的威胁日益严重，对各行各业和各个规模的组织构成了即将到来且隐蔽的威胁。去年，供应链攻击占所有违规行为的19%，显示出其惊人的威力。进入2023年，像三月份臭名昭著的3CX黑客攻击这样的重大事件进一步证明了加强供应链网络安全的必要性。 那么，是什么让供应链成为攻击者的诱人目标呢？云技术的增长和数字化先导战略的采用使得供应链变得…

软件供应链风险管理（SSCRM）是指识别、评估和减轻与集成到软件产品中的第三方软件组件和服务相关的风险的过程。SSCRM包括了解这些组件可能产生的潜在漏洞，并采取措施减少对软件系统或最终用户的利用或损害的风险。 为什么软件供应链攻击越来越普遍 由于几个因素，软件供应链攻击变得越来越普遍： 供应链安全和DevSecOps DevSecOps是一种将安全性整合到…

Thehackernews 发文称一名涉嫌与中国有关的黑客组织利用最近披露的巴拉克达网络电子邮件安全网关（ESG）设备的零日漏洞，作为一项全球间谍活动的一部分，入侵了政府、军事、国防和航空航天、高科技行业以及电信领域。 追踪该活动的Mandiant公司将威胁行为称为“UNC4841”，并描述该威胁行为者“对防御措施高度敏感”，并能够主动调整其作案方式以保持对…

漏洞类型 反序列化 发现时间 2023-08-29 漏洞等级 高危 MPS编号 MPS-qkdx-17bc CVE编号 CVE-2023-40195 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Airflow Spark Provider是Apache Airflow项目的一个插件，用于在Airflow中管理和调度Apache Spark作业。…

再次表明开发者仍然是软件供应链攻击的目标，一些恶意包在Rust编程语言的crate注册表上被发现。 据上周发布的一份报告称，这些库是由一个名为”amaperf”的用户在2023年8月14日至16日期间上传的。这些包的名称如下：postgress、if-cfg、xrvrv、serd、oncecell、lazystatic和envlogg…

漏洞类型 原型污染 发现时间 2023/7/1 漏洞等级 中危 MPS编号 MPS-esyq-56vx CVE编号 – 漏洞影响广度 一般 漏洞危害 OSCS 描述 tough-cookie 是一个用于处理 HTTP cookie 的 JavaScript 库。受影响版本中的 rejectPublicSuffixes=false 模式下使用 Co…

漏洞类型 代码注入 发现时间 2023/6/30 漏洞等级 中危 MPS编号 MPS-2023-0703 CVE编号 CVE-2023-22886 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Airflow 是一个开源的任务和工作流管理平台，JDBC Provider负责提供与关系型数据库的连接和交互功能。Apache Airflow JDBC…

漏洞类型 反序列化 发现时间 2023/6/6 漏洞等级 严重 MPS编号 MPS-x09i-fgr6 CVE编号 – 漏洞影响广度 广 漏洞危害 OSCS 描述 Nacos是一个用于动态服务发现和配置以及服务管理的平台。攻击者可以在Nacos集群处理某些Jraft请求时利用Hessian进行无限制的反序列化，从而造成远程代码执行。由于Nacos…

漏洞类型 反序列化 发现时间 2023/6/13 漏洞等级 高危 MPS编号 MPS-y8rd-wenb CVE编号 CVE-2023-34212 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache NiFi 是一个开源的数据流处理和自动化工具， JndiJmsConnectionFactoryProvider 控制器组件用于配置 JMS 连接地址。…

漏洞类型 代码注入 发现时间 2023/6/13 漏洞等级 高危 MPS编号 MPS-v4am-pz0t CVE编号 CVE-2023-34468 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache NiFi 是一个开源的数据流处理和自动化工具，DBCPConnectionPool 和 HikariCPConnectionPool 是两个控制器服务，…