增强 Nginx 的 SSL 安全性

2016年10月21日 12 阅读

本文向你介绍如何在 nginx 服务器上设置健壮的 SSL 安全机制。我们通过禁用 SSL 压缩来降低 CRIME 攻击威胁；禁用协议上存在安全缺陷的 SSLv3 及更低版本，并设置更健壮的加密套件（cipher suite）来尽可能启用前向安全性（Forward Secrecy）；此外，我们还启用了 HSTS 和 HPKP。这样我们就拥有了一个健壮而可经受考验的 SSL 配置，并可以在 Qually Labs 的 SSL 测试中得到 A 级评分。如果不求...

Apple iOS AppleUSBNetworking内存破坏漏洞（CVE-2016-1734）

2016年10月21日 13 阅读

Apple iOS AppleUSBNetworking内存破坏漏洞（CVE-2016-1734）发布日期：2016-03-21更新日期：2016-03-22受影响系统：Apple iOS < 9.3描述：CVE（CAN） ID: CVE-2016-1734iOS是由苹果公司为移动设备所开发的操作系统，支持的设备包括iPhone、iPod touch、iPad、Apple TV。iOS 9.3之前版本在AppleUSBNetworking的实现中存在...

HP Operations Orchestration任意代码执行漏洞（CVE-2016-1997）

2016年10月21日 11 阅读

HP Operations Orchestration任意代码执行漏洞（CVE-2016-1997）发布日期：2016-03-18更新日期：2016-03-22受影响系统：HP Operations Orchestration 〈 10.51描述：CVE（CAN） ID: CVE-2016-1997HP Operations Orchestration是一款运维手册自动化平台，可实现客户端设备和数据中心基础设施变更、部署的自动化。HP Operations...

IBM WebSphere Process Server访问限制绕过漏洞（CVE-2015-7454）

2016年10月21日 11 阅读

IBM WebSphere Process Server访问限制绕过漏洞（CVE-2015-7454）发布日期：2016-03-18更新日期：2016-03-22受影响系统：IBM WebSphere Process Server 6.1.2.0 － 7.0.0.5IBM Business Process Manager Advanced 8.5.6.x － 8.5.6.2IBM Business Process Manager Advanced 8.5....

Apple iOS IOHIDFamily内存破坏漏洞（CVE-2016-1748）

2016年10月21日 11 阅读

Apple iOS IOHIDFamily内存破坏漏洞（CVE-2016-1748）发布日期：2016-03-21更新日期：2016-03-22受影响系统：Apple iOS < 9.3描述：CVE（CAN） ID: CVE-2016-1748iOS是由苹果公司为移动设备所开发的操作系统，支持的设备包括iPhone、iPod touch、iPad、Apple TV。iOS 9.3之前版本在IOHIDFamily的实现中存在内存破坏安全漏洞，可导致内存...

Apple iOS HTTPProtocol远程代码执行漏洞（CVE-2015-8659）

2016年10月21日 11 阅读

Apple iOS HTTPProtocol远程代码执行漏洞（CVE-2015-8659）发布日期：2016-03-21更新日期：2016-03-22受影响系统：Apple iOS < 9.3描述：CVE（CAN） ID: CVE-2015-8659iOS是由苹果公司为移动设备所开发的操作系统，支持的设备包括iPhone、iPod touch、iPad、Apple TV。iOS 9.3之前版本在HTTPProtocol的实现中，nghttp2 1.6...

Apple iOS FontParser内存破坏漏洞（CVE-2016-1740）

2016年10月21日 11 阅读

Apple iOS FontParser内存破坏漏洞（CVE-2016-1740）发布日期：2016-03-21更新日期：2016-03-22受影响系统：Apple iOS < 9.3描述：CVE（CAN） ID: CVE-2016-1740iOS是由苹果公司为移动设备所开发的操作系统，支持的设备包括iPhone、iPod touch、iPad、Apple TV。iOS 9.3之前版本在FontParser的实现中存在安全漏洞，恶意构造的PDF文件可...

HPE Service Manager （SM）任意命令执行漏洞（CVE-2016-1998）

2016年10月21日 11 阅读

HPE Service Manager （SM）任意命令执行漏洞（CVE-2016-1998）发布日期：2016-03-21更新日期：2016-03-23受影响系统：HP Service Manager （SM） 9.4x<9.41.P2HP Service Manager （SM） 9.3x<9.35 P4描述：CVE（CAN） ID: CVE-2016-1998HPE Service Manager （SM）是IT服务管理软件。HPE Se...

Apple iOS Kernel竞争条件漏洞（CVE-2016-1757）

2016年10月21日 11 阅读

Apple iOS Kernel竞争条件漏洞（CVE-2016-1757）发布日期：2016-03-21更新日期：2016-03-23受影响系统：Apple iOS < 9.3描述：CVE（CAN） ID: CVE-2016-1757iOS是由苹果公司为移动设备所开发的操作系统，支持的设备包括iPhone、iPod touch、iPad、Apple TV。iOS 9.3之前版本在Kernel的实现中存在新进程创建竞争条件安全漏洞，可导致以kernel...

Apple iOS Kernel内存破坏漏洞（CVE-2016-1755）

2016年10月21日 13 阅读

Apple iOS Kernel内存破坏漏洞（CVE-2016-1755）发布日期：2016-03-21更新日期：2016-03-23受影响系统：Apple iOS < 9.3描述：CVE（CAN） ID: CVE-2016-1755iOS是由苹果公司为移动设备所开发的操作系统，支持的设备包括iPhone、iPod touch、iPad、Apple TV。iOS 9.3之前版本在Kernel的实现中存在内存破坏安全漏洞，可导致以kernel权限执行任...

Apple iOS Kernel空指针间接引用漏洞（CVE-2016-1756）

2016年10月21日 11 阅读

Apple iOS Kernel空指针间接引用漏洞（CVE-2016-1756）发布日期：2016-03-21更新日期：2016-03-23受影响系统：Apple iOS < 9.3描述：CVE（CAN） ID: CVE-2016-1756iOS是由苹果公司为移动设备所开发的操作系统，支持的设备包括iPhone、iPod touch、iPad、Apple TV。iOS 9.3之前版本在Kernel的实现中存在空指针间接引用安全漏洞，可导致以kerne...

Dropbear SSH CRLF注入漏洞（CVE-2016-3116）

2016年10月21日 11 阅读

Dropbear SSH CRLF注入漏洞（CVE-2016-3116）发布日期：2016-03-21更新日期：2016-03-23受影响系统：Dropbear SSH Dropbear SSH < 2016.72描述：CVE（CAN） ID: CVE-2016-3116Dropbear SSH是小型的SSH服务器及客户端。Dropbear SSH 2016.72之前版本存在CRLF注入漏洞，经验证的远程用户通过构造的X11l转发数据，可绕过auth...

Google微软雅虎联合开发新的电子邮件加密协议

2016年10月21日 11 阅读

独立安全研究人员和硅谷巨人联合提出了新的电子邮件加密协议SMTP STS （Strict Transport Security）。电子邮件传输协议SMTP从来就不是一个安全的协议，它诞生于1982年，当时在线监视还不是问题。科技公司后来提出了一个扩展STARTTLS去加密电子邮件，但设计缺陷让攻击者可以欺骗发送者不使用加密而是使用明文发送邮件，它容易受到中间人攻击。新的SMTP STS协议则设计堵上这个漏洞，避免加密降级和中间人攻击，类似用HSTS加固HT...

Foxit Reader XFA重合并释放后重利用远程代码执行漏洞

2016年10月21日 11 阅读

Foxit Reader XFA重合并释放后重利用远程代码执行漏洞发布日期：2016-03-23更新日期：2016-03-24受影响系统：Foxit Foxit Reader <= 7.3.0.118Foxit Phantom PDF <= 7.3.0.118描述：CVE（CAN） ID: Foxit Reader是一款小型的PDF文档查看器和打印程序。Foxit Reader在处理XFA表格中存在安全漏洞，可使已经释放在悬挂指针重新使用，攻...

Cisco IOS/IOS XE/Cisco Unified Communications Manager信息泄露漏洞（CVE-2016-1350）

2016年10月21日 11 阅读

Cisco IOS/IOS XE/Cisco Unified Communications Manager信息泄露漏洞（CVE-2016-1350）发布日期：2016-03-23更新日期：2016-03-24受影响系统：Cisco Unified Communications Manager 9.xCisco Unified Communications Manager 8.xCisco Unified Communications Manager 11....

Apple iOS Profiles欺骗漏洞（CVE-2016-1766）

2016年10月21日 11 阅读

Apple iOS Profiles欺骗漏洞（CVE-2016-1766）发布日期：2016-03-21更新日期：2016-03-24受影响系统：Apple iOS < 9.3描述：CVE（CAN） ID: CVE-2016-1766iOS是由苹果公司为移动设备所开发的操作系统，支持的设备包括iPhone、iPod touch、iPad、Apple TV。iOS 9.3之前版本在Profiles的实现中未正确验证证书，存在安全漏洞，攻击者可用构造的M...

Foxit PhantomPDF ListBox值释放后重利用远程代码执行漏洞

2016年10月21日 12 阅读

Foxit PhantomPDF ListBox值释放后重利用远程代码执行漏洞发布日期：2016-03-23更新日期：2016-03-24受影响系统：Foxit Foxit Reader <= 7.3.0.118Foxit Phantom PDF <= 7.3.0.118描述：CVE（CAN） ID: PhantomPDF是通用的PDF编辑器。PhantomPDF在处理ListBox值属性中存在安全漏洞，可使已经释放在悬挂指针重新使用，攻击者...

Foxit Reader 修订号释放后重利用远程代码执行漏洞

2016年10月21日 11 阅读

Foxit Reader 修订号释放后重利用远程代码执行漏洞发布日期：2016-03-23更新日期：2016-03-25受影响系统：Foxit Foxit Reader <= 7.3.0.118Foxit Phantom PDF <= 7.3.0.118描述：CVE（CAN） ID: Foxit Reader是一款小型的PDF文档查看器和打印程序。Foxit Reader在处理对象修订号中存在安全漏洞，可使已经释放在悬挂指针重新使用，攻击者可...

提前大肆宣传的神秘漏洞Badlock招致批评

2016年10月21日 11 阅读

Windows和Samba中发现了一个漏洞，漏洞的细节要到4月12日才公布，然而该漏洞已经有了个绰号叫Badlock，还有了网站（Badlock.org）和logo。提前几周大肆宣传神秘漏洞的做法在安全社区招致了批评。但注册Badlock域名的Johannes Loxen接受采访时表示这是双赢，能引起公众注意，而PR驱动的漏洞披露并不是新事物，以Heartbleed漏洞宣传为例，它就引起了许多新闻的报道，促使系统管理员快速做出反应，为有漏洞的系统打上补丁。...

CitusDB数据库开源

2016年10月21日 11 阅读

为PostgreSQL开发扩展功能的Citus Data宣布，它的分布式数据库CitusDB在AGPLv3许可证下开源。CitusDB之前是一个私有的数据库，为PostgreSQL加入了横向扩展和并行查询处理功能，它被云服务公司如CloudFlare用于扩展PostgreSQL，快速分析实时数据。Citus Data称，它的CitusDB 5.0只使用PostgreSQL扩展API，不修改底层数据库，用户能受益于PostgreSQL引入的新特性，继续使用现...