哥哥干 常见的聚积高危罅隙
[2017.03.07] Struts2 Jakarta插件高危而已代码实践罅隙哥哥干
罅隙形色：
Apache Struts 2被曝存在而已高唱实践罅隙，罅隙编号S2-045，CVE编号CVE-2017-5638，在使用基于Jakarta插件的文献上传功能时，有可能存在而已高唱实践，导致系统被黑客入侵。
影响版块：
Struts 2.3.5 - Struts 2.3.31
Struts 2.5 - Struts 2.5.10
罅隙等第：
高危
开发提议：
1、升级Struts 到Struts 2.3.32 或 Struts 2.5.10.1 版块。
[2017.01.12] PHPMailer纵情文献读取罅隙
罅隙形色：
PHPMailer是大家最流行邮件发送类，其大家规模内的用户量松弛有900万，被诸多开源技俩所接纳，包括WordPress、Drupal、1CRM、Joomla!等。PHPMailer <= 5.2.21版块存在职意文献读取罅隙（CVE-2017-5223），成效哄骗该罅隙，可获取办事器中的纵情文献执行。
影响版块：
PHPMailer <= 5.2.21
罅隙等第：
高危
开发提议：
1、升级到莫得罅隙版块。
[2016.10.27] 大华、雄迈（DVR/DVS等）开采存在弱口令罅隙宣布
罅隙形色：
Mirai是近期尽头热点的僵尸聚积，Mirai法例的肉鸡主如果驱动着特定armlinux系统的物联网开采，包含安防监控开采，录像头，路由开采等。
安全指数通过开采指纹进行分析，估算出大华开采（DVR/DVS/NVR/IP Cameras），包含其他OEM厂商，有60万以上的开采存在多组Web弱口令（凭据之前安全东谈主员Z-0ne的弱口令的探伤效果），况且存在多个高唱实践罅隙。雄迈科技开采（DVR/DVS/NVR），包含其他OEM的厂商，在互联网有50万开采存在弱口令。原因为其开采内置的root密码无法蜕变，况且存在多个口令绕过罅隙。
百度安全将进一步温雅被哄骗开采情况，并对开采IP进行识别，对受影响的开采进行报复风险标注。
开发提议：
1、升级固件，蜕变弱口令包含web经管口令。
2、关闭外网绽放的端口。
3、若发现土产货监听了48101 ,请对碰到报复现象进行排查。
[2016.09.13] MySQL高危代码实践0Day罅隙
罅隙形色：
罅隙编号：CVE-2016-6662与CVE-2016-6663，报复者不错而已和土产货哄骗罅隙ROOT权限实践代码，统统法例MySQL数据库。报复者仅需有FILE权限即可落幕ROOT提权，进而法例办事器。
影响版块：
<=5.7.15
罅隙等第：
高危
开发提议：
1、0Day罅隙暂无厂商开发决策。临时缓解决策：确保MySQL树立文献不在mysql用户手中，并建立root权限、不使用的、伪装的my.cnf文献。
[2016.08.18] zabbix高危SQL注入罅隙宣布
罅隙形色：
zabbix是一个开源的企业级性能监控科罚决策。近日，zabbix的jsrpc的profileIdx2参数存在insert花式的SQL注入罅隙，报复者无需授权登陆即可登陆zabbix经管系统，也可通过script等功能苟且径直获取zabbix办事器的操作系统权限。
影响版块：
2.2.x, 3.0.0-3.0.3
罅隙等第：
高危
开发提议：
1、尽快升级到最新版，3.0.4以上版块已开发该罅隙。
[2016.07.19] HTTPoxy高危CGI环境变量劫握罅隙宣布
罅隙形色：
当某个办事在CGI模式大略一样环境中驱动时，在苦求头部加入PROXY Header，CGI门径会把http header中的执行写入到环境变量中如HTTP_PROXY字段由于环境变量的变动，可导致办事器向外发起的苦求不错被代理，从而监听以及改削流量。受影响的言语包括：PHP、Python、Go等。
影响版块：
无
罅隙等第：
高危
开发提议：
1、禁用统统苦求中的 Proxy Header。
[2016.07.14] Drupal多个模块高危而已高唱实践罅隙宣布
罅隙形色：
Drupal的RESTWS、Coder、Webform Multiple File Upload三个模块存在高危而已代码实践罅隙。
影响版块：
Webform Multifile 7.x-1.x至7.x-1.3
Coder module 7.x-1.x至7.x-1.2
Coder module 7.x-2.x至7.x-2.5
RESTful Web Services 7.x-2.x至7.x-2.5
RESTful Web Services 7.x-1.x至7.x-1.6哥哥干
罅隙等第：
高危
开发提议：
丝袜色情1、升级模块至最新版块。
[2016.07.12] WordPress插件Mailpress高危而已高唱实践罅隙宣布
罅隙形色：
Mailpress是一个相比流行的WordPress邮件插件，由于存在越权调用，在不登陆的情况下，不错调用系统某些挨次，变成而已高唱实践。
影响版块：
统统版块，现时最新版块5.4.3
罅隙等第：
高危
开发提议：
1、提议停用此插件。
[2016.07.01] phpwind9.x和8.7XSS注入以及经管后台剧本注入罅隙宣布
罅隙形色：
phpwind近期公布了2处安全罅隙，永别是富文本裁剪器发帖的xss注入（受影响版块8.7、9.X）以及经管后台添加新用户时的剧本注入（受影响版块8.7）。
影响版块：
phpwind 9.x以及8.7,8.7.1
罅隙等第：
高危
开发提议：
1、装配官方最新补丁。
[2016.06.23] Librachive多个高危溢露马脚宣布
罅隙形色：
开源压缩库Librachive存在以下几个罅隙，处理7-Zip文献时发生整数溢出（CVE-2016-4300），处理Mtree文献时缓冲区溢出（CVE-2016-4301）、处理RAR文献时堆溢出（CVE-2016-4302），报复者可哄骗这些罅隙在感染的开采上而已实践代码。
影响版块：
Librachive < v3.2.1
罅隙等第：
高危
开发提议：
1、升级到v3.2.1版块。
[2016.06.22] OpenSSL中危阻隔办事罅隙（CVE-2016-2177）宣布
罅隙形色：
OpenSSL是一种绽放源码的SSL落幕，用来落幕聚积通讯的高强度加密，目下被庸碌地用于多样聚积应用门径中。OpenSSL<=1.0.2h版块，堆缓冲区界限搜检中未正确使用指针，而已报复者哄骗此罅隙可变成阻隔办事。
影响版块：
OpenSSL <= 1.0.2h
罅隙等第：
中危
开发提议：
1、升级到高于1.0.2h版块。
2、装配官方补丁。
[2016.06.16] Struts2高危而已代码实践（S2-037）罅隙宣布
罅隙形色：
Struts 2再曝而已代码实践罅隙S2-037，CVE编号CVE-2016-4438。使用REST插件的用户会受到影响。
影响版块：
Struts 2.3.20-2.3.28.1
罅隙等第：
高危
开发提议：
1、升级到2.3.29版块。
[2016.06.14] Apache Continuum高危0Day高唱实践罅隙宣布
罅隙形色：
Apache Continuum握续集成器具，Linux平台版块存在高唱实践罅隙，报复者哄骗罅隙可实践纵情教唆。
影响版块：
<= 1.4.2（Linux版块）
罅隙等第：
高危
开发提议：
0Day罅隙暂无开发决策。提议添加网站至云不雅测，实时了解该罅隙的后续情况。
[2016.06.08] NagiosXI多个高危罅隙宣布
罅隙形色：
NagiosXI近期爆出多个罅隙,包括未经身份考证的SQL注入和认证绕过、纵情代码实践、特权晋升、办事器端苦求伪造和帐户劫握。详尽哄骗这些罅隙不错得到root权限而已实践代码。
影响版块：
NagiosXI<= 5.2.7
罅隙等第：
高危
开发提议：
1、升级到最新版块。
[2016.06.02] Discuz!X高危SSRF罅隙宣布
罅隙形色：
Discuz!X系列而已下载图片功能的文献后缀过滤和著述操作马上密钥算法被绕过导致SSRF罅隙。
影响版块：
< X3.2R20160601
罅隙等第：
高危
开发提议：
1、下载官方补丁升级到最新版块。
[2016.06.01] Struts2高危而已代码实践罅隙宣布
罅隙形色：
使用到REST插件的Struts2应用，在开启动态挨次调用（DMI）的情况下，会被报复者哄骗落幕而已代码实践报复。
影响版块：
Struts2.3.20-2.3.28 （2.3.20.3、2.3.24.3、2.3.28.1以外）
罅隙等第：
高危
开发提议：
1、禁用动态挨次调用（DMI），修改Struts2的树立文献struts.xml，将struts.enable.DynamicMethodInvocation确立为“false”。
2、升级到2.3.20.3、2.3.24.3大略2.3.28.1版块。
[2016.06.01] OGNL高危阻隔办事罅隙宣布
罅隙形色：
OGNL缓存投毒罅隙，报复者可哄骗该罅隙进行阻隔办事报复。
影响版块：
Struts2.0.0-2.3.24.1
罅隙等第：
高危
开发提议：
1、升级 OGNL到 3.0.12版块以上。
2、升级Struts到最新版。
[2016.05.30] ImageMagick再次爆出高危0Day高唱实践罅隙宣布
罅隙形色：
ImageMagick近日再次爆出而已高唱实践罅隙，报复者哄骗罅隙可而已落幕高唱实践，进而可能法例办事器。
影响版块：
<=7.0.1-6
罅隙等第：
高危
开发提议：
1、在官方还莫得提供开发决策的情况下，保举使用百度云加快，目下百度云加快WAF防火墙已不错成效注目该罅隙。
[2016.05.24] phpwind高危通讯秘钥安全罅隙宣布
罅隙形色：
phpwind9.x 通讯秘钥罅隙可导致前台Getshell。
影响版块：
9.x
罅隙等第：
高危
开发提议：
1、装配官方补丁包。
[2016.05.10] Wordpress高危XSS罅隙宣布
罅隙形色：
Wordpress官网发布了最新版4.5.2，其中形色了在最新版块中开发了一个之前存在的XSS罅隙。
影响版块：
<4.5.2
罅隙等第：
高危
开发提议：
1、升级到最新的4.5.2版块。
2、使用百度云加快WAF防火墙进行注目。
3、添加网站至云不雅测哥哥干，实时了解网站组件突发/0day罅隙。