OpenSSL承诺出问题时提前通知开发商 送沙包堵漏洞

2016年10月21日 11 阅读

鉴于前不久冒出来的Heartbleed漏洞，OpenSSL项目决定，OpenSSL发布安全相关的修正程序时，会提前通知那些使用OpenSSL流行加密包的Linux和Unix操作系统发行商。OpenSSL项目决定，附有OpenSSL的操作系统发行商会在修正程序发布前收到通知——通过openssl-announce list电邮群收到通知，但不会提供问题的细节。尽管OpenSSL项目的维护人员决定重要的漏洞有必要尽量“暗箱&...

Apache Tomcat任意文件上传漏洞（CVE-2013-4444）

2016年10月21日 11 阅读

发布日期：2014-09-10更新日期：2014-09-11受影响系统：Apache Group Tomcat不受影响系统：Apache Group Tomcat 7.0.0-7.0.39描述：BUGTRAQ ID: 69728CVE（CAN） ID: CVE-2013-4444Apache Tomcat是一个流行的开源JSP应用服务器程序。Tomcat 7.0.0-7.0.39版本在某些情况下，允许攻击者上传恶意JSP到Tomcat服务器，并触发执行这些...

IBM Initiate Master Data Service跨站请求伪造漏洞（CVE-2014-4783）

2016年10月21日 11 阅读

发布日期：2014-09-09更新日期：2014-09-11受影响系统：IBM Initiate Master Data Service描述：BUGTRAQ ID: 69693CVE（CAN） ID: CVE-2014-4783IBM Initiate Master Data Service是主数据管理的平台。IBM Initiate Master Data Service 9.5.093013之前版本、9.7.093013之前版本、10.0.093013...

Google Chrome多个安全漏洞（CVE-2014-3179）

2016年10月21日 11 阅读

发布日期：2014-09-09更新日期：2014-09-11受影响系统：Google Chrome < 37.0.2062.94描述：BUGTRAQ ID: 69710CVE（CAN） ID: CVE-2014-3179Google Chrome是由Google开发的一款Web浏览工具。Google Chrome 37.0.2062.120之前版本存在多个漏洞，目前细节未知。<*来源：Google链接：http://secunia.com/ad...

Adobe Flash Player及AIR堆缓冲区溢出漏洞（CVE-2014-0556）

2016年10月21日 10 阅读

发布日期：2014-09-09更新日期：2014-09-11受影响系统：Adobe Flash Player Adobe AIR描述：BUGTRAQ ID: 69696CVE（CAN） ID: CVE-2014-0556Adobe Flash Player是一个集成的多媒体播放器。Adobe AIR是针对网络与桌面应用的结合所开发出来的技术，可以不必经由浏览器而对网络上的云端程式做控制。Adobe Flash Player 13.0.0.244之前版本、1...

Google Chrome释放后重利用远程代码执行漏洞（CVE-2014-3178）

2016年10月21日 11 阅读

发布日期：2014-09-09更新日期：2014-09-11受影响系统：Google Chrome < 37.0.2062.94描述：BUGTRAQ ID: 69709CVE（CAN） ID: CVE-2014-3178Google Chrome是由Google开发的一款Web浏览工具。Google Chrome 37.0.2062.120之前版本存在远程代码执行漏洞，攻击者可利用此漏洞在受影响应用上下文中执行任意代码。<*来源：miaubiz...

MySQL MyISAM不安全临时文件创建漏洞

2016年10月21日 11 阅读

发布日期：2014-08-04更新日期：2014-09-12受影响系统：mysql MyISAM描述：BUGTRAQ ID: 69732CVE（CAN） ID: CVE-2014-4274MySQL MyISAM是MySQL关系型数据管理系统5.5之前版本的默认存储引擎。MySQL MyISAM在实现上存在临时文件创建漏洞，攻击者可利用此漏洞在MySQL服务器上下文中执行任意代码。<*来源：vendor*>建议：厂商补丁：mysql-----目...

PowerDNS Recursor畸形数据包序列拒绝服务漏洞

2016年10月21日 11 阅读

发布日期：2014-09-10更新日期：2014-09-12受影响系统：PowerDNS PowerDNS Recursor 3.6.0描述：CVE（CAN） ID: CVE-2014-3614PowerDNS Recursive Server是高端名称解析服务器。PowerDNS Recursor 3.6.0版本在处理数据包时存在错误，攻击者通过发送一系列构造的畸形数据包到受影响服务器，利用此漏洞可造成崩溃。<*来源：PowerDNS*>建议...

IBM WebSphere Portal任意文件上传漏洞（CVE-2014-4792）

2016年10月21日 11 阅读

发布日期：2014-09-09更新日期：2014-09-12受影响系统：IBM Websphere Portal描述：BUGTRAQ ID: 69734CVE（CAN） ID: CVE-2014-4792IBM WebSphere Portal是一个框架——包括运行时服务器、服务、工具和许多其他特性——您可以使用这些特性将企业集成到单个称为门户的可自定义界面中。IBM WebSphere Portal在实现上...

CacheGuard OS跨站请求伪造漏洞（CVE-2014-4865）

2016年10月21日 11 阅读

发布日期：2014-09-10更新日期：2014-09-12受影响系统：CacheGuard CacheGuard OS 5.7.7描述：BUGTRAQ ID: 69731CVE（CAN） ID: CVE-2014-4865CacheGuard OS是web流量管理解决方案。CacheGuard OS v5.7.7没有有效验证请求来源，在/gui/password-wadmin.apl的实现上存在跨站请求伪造漏洞，未经身份验证的远程攻击者可利用此漏洞修改设...

Wordpress WP Support Plus Responsive Ticket System多个漏洞

2016年10月21日 11 阅读

发布日期：2014-09-10更新日期：2014-09-12受影响系统：WordPress WP Support Plus Responsive Ticket System 2.0描述：BUGTRAQ ID: 69736CVE（CAN） ID: CVE-2014-3620WP Support Plus Responsive Ticket System是WordPress网站内使用的用户票证系统。WP Support Plus Responsive Tick...

Oracle MySQL Client yaSSL证书解码缓冲区溢出漏洞

2016年10月21日 11 阅读

发布日期：2014-09-10更新日期：2014-09-12受影响系统：Oracle MySQL不受影响系统：Oracle MySQL 5.6.20Oracle MySQL 5.5.39描述：BUGTRAQ ID: 69743MySQL是开源的数据库应用。MySQL 5.5.39、5.6.20之前版本没有对用户提供的数据进行有效的边界检查，在实现上存在缓冲区溢出漏洞，攻击者可利用此漏洞在受影响上下文中执行任意代码。<*来源：vendor*>建议...

Cisco TelePresence System MXP系列管理流创建拒绝服务漏洞

2016年10月21日 11 阅读

发布日期：2014-09-10更新日期：2014-09-12受影响系统：Cisco TelePresence Systems （CTS）描述：CVE（CAN） ID: CVE-2014-3362Cisco TelePresence是思科网真解决方案，提供了真人大小的超高清晰度视频画面（1080p）、CD 质量的音频、专门设计的环境以及互动组件，为远端的参会者提供了“面对面”的会议体验。Cisco TelePresence Syste...

Linux Kernel本地权限提升漏洞（CVE-2014-0205）

2016年10月21日 11 阅读

发布日期：2014-09-10更新日期：2014-09-12受影响系统：Linux kernel描述：BUGTRAQ ID: 69725CVE（CAN） ID: CVE-2014-0205Linux Kernel是Linux操作系统的内核。Linux kernel在实现上存在本地权限提升漏洞，本地攻击者可利用此漏洞获取提升的权限或造成内核崩溃。<*来源：Mateusz Guzik*>建议：厂商补丁：Linux-----目前厂商已经发布了升级补丁...

NetBSD Kernel “setsockopt（）”拒绝服务漏洞

2016年10月21日 11 阅读

发布日期：2014-09-10更新日期：2014-09-13受影响系统：NetBSD NetBSD 6.1－6.1.4NetBSD NetBSD 6.0－6.0.4描述：NetBSD是免费的具有高度可定制性的类Unix操作系统，适于多种平台，从64位元AMD Athlon服务器和桌面系统到手持设备和嵌入式设备。NetBSD 6.0－6.0.4、6.1－6.1.4版本在处理"setsockopt（）"系统调用时存在错误，攻击者通过构造的系统调用，利用此漏洞可...

cURL/libcURL Cookies处理远程安全绕过漏洞（CVE-2014-3620）

2016年10月21日 13 阅读

发布日期：2014-09-10更新日期：2014-09-13受影响系统：cURL cURL 7.31.0 - 7.37.1描述：BUGTRAQ ID: 69742CVE（CAN） ID: CVE-2014-3620cURL/libcURL是命令行传输文件工具，支持FTP、FTPS、HTTP、HTTPS、GOPHER、TELNET、DICT、FILE和LDAP。cURL/libcURL 7.31.0 - 7.37.1版本错误地为TLD设置了cookie，在实...

NetBSD Kernel “execve（）” 拒绝服务漏洞

2016年10月21日 12 阅读

发布日期：2014-09-10更新日期：2014-09-13受影响系统：NetBSD NetBSD 6.1－6.1.4NetBSD NetBSD 6.0－6.0.4描述：NetBSD是免费的具有高度可定制性的类Unix操作系统，适于多种平台，从64位元AMD Athlon服务器和桌面系统到手持设备和嵌入式设备。NetBSD 6.0－6.0.4、6.1－6.1.4版本在处理"execve（）"系统调用时存在错误，攻击者通过构造的ELF二进制文件，利用此漏洞可...

Cisco Cloud Portal空帧信息泄露漏洞

2016年10月21日 11 阅读

发布日期：2014-09-10更新日期：2014-09-14受影响系统：Cisco Cloud Portal 9.x描述：CVE（CAN） ID: CVE-2014-3352Cisco Cloud Portal是数据中心服务的云门户。Cisco Cloud Portal 9.x在处理某些空会话时出错，攻击者通过提交构造的数据包，利用此漏洞可获取某些敏感信息。<*来源：vendor*>建议：厂商补丁：Cisco-----目前厂商还没有提供补丁或者...

HAProxy “http_request_forward_body（）” 整数溢出漏洞

2016年10月21日 11 阅读

发布日期：2014-09-10更新日期：2014-09-14受影响系统：haproxy haproxy 1.5.x描述：CVE（CAN） ID: CVE-2014-6269HAProxy是TCP/HTTP负载平衡器。HAProxy 1.5.4之前版本在处理HTTP消息结构内的"start of value"变量时，"http_request_forward_body（）" 函数（src/proto_http.c） 存在整数溢出错误，通过构造的数据流，攻击者...

MantisBT空字节投毒LDAP身份验证绕过漏洞

2016年10月21日 11 阅读

发布日期：2014-09-12更新日期：2014-09-16受影响系统：mantisbt mantisbt <= 1.2.17描述：BUGTRAQ ID: 69780CVE（CAN） ID: CVE-2014-3077MantisBT是基于Web的bug跟踪系统。MantisBT 1.2.17及之前版本在实现上存在身份验证绕过漏洞，攻击者可利用此漏洞绕过身份验证进程，未授权访问受影响系统。<*来源：Matthew Daley*>建议：厂商...