•  Palo Alto Networks PAN-OS 系统身份验证绕过与远程代码执行漏洞
Authentication Bypass and Remote Code Execution Vulnerabilities in PAN-OS System

近日,Palo Alto Networks 的 PAN-OS 安全系统曝出一系列重要漏洞,CVE-2024-0012 允许未授权攻击者通过网络访问管理界面获取管理员权限或篡改配置文件。此外,CVE-2024-5910 及 CVE-2024-9464 组合形成致命的远程代码执行链条,加剧了安全态势。这些漏洞正在遭受积极的野外攻击,且已有IoC指标公布。

•  VMware vCenter Server 遭遇远程代码执行与权限提升双重威胁
Dual Threat of RCE and Privilege Escalation Strikes VMware vCenter Server

中国Matrix杯CTF比赛中，研究小组TZL成员zbl和srs发现了影响VMware vCenter Server的关键漏洞，包括一个CVSS评级达9.8的远程代码执行(RCE)漏洞以及一个允许特权提升到root级别的漏洞(CVSS评分7.5)，这些漏洞已在现实世界中遭到活跃利用。博通公司发出警报，呼吁企业迅速采取行动，部署最新的安全修补程序。

•  ZIP串联文件攻击
Concatenated ZIP File Attacks

近期出现一种名为"ZIP串联文件"的新型网络攻击手段，黑客利用这一复杂策略针对Windows系统用户发动攻击。他们通过将多个含有恶意软件的ZIP文件组合成单一大文件，使反病毒软件难以识别出其中潜伏的危害。研究表明，在处理这类特殊结构的ZIP文件时，包括7zip、WinRAR和Windows资源管理器在内的主流解压缩工具表现不一，导致检测效率下降。

•  D-Link NAS设备远程命令执行漏洞(CVE-2024-10914)
Remote Command Execution Vulnerability in D-Link NAS Devices (CVE-2024-10914)

本次事件聚焦于D-Link NAS系列产品中的一项严重安全缺陷——CVE-2024-10914。该漏洞属于远程命令执行类型，使得非授权攻击者能通过特定接口向目标设备发出恶意指令，从而达到控制系统或者植入木马的目的。尽管制造商宣布不再为这些老旧模型提供支持，但全球仍有大量设备处于易受攻击状态。

•  易思智能物流系统多处SQL注入漏洞分析与防护
Analysis and Protection Against Multiple SQL Injection Vulnerabilities in Easi Smart Logistics Systems

针对近期曝光的易思智能物流系统中多个SQL注入漏洞进行了全面解析，这些漏洞分别位于无认证状态下可访问的/Sys_ReportFile/ExportReport接口、ApproveServlet界面以及PhoneLogin模块内。若遭恶意利用，则会导致企业核心数据外泄甚至服务器权限丢失的风险加剧。为应对这一系列安全隐患，专家们提出了一系列加固措施，涵盖对输入参数的有效过滤、使用预编译语句防止SQL拼接攻击、定期更新软件版本消除已知漏洞等方面。

•  利用shiro反序列化注入冰蝎内存马 - 先知社区
In-depth Analysis of Injecting IceScorpion Memory Horse via Shiro Deserialization

本文详细介绍了如何使用Shiro反序列化漏洞注入冰蝎内存马来实现持久化的攻击策略。最大的亮点是展示了将恶意代码嵌入至Tomcat服务器的滤波器配置中，并且通过Shiro框架的漏洞实现了远程控制和执行任意命令的能力。

•  CVE-2024-45216 Apache Solr 身份验证绕过漏洞简析
In-depth Analysis of the Latest Identity Bypass Vulnerability in Apache Solr and Its Implementation Mechanism

本文深入剖析了近期曝出的Apache Solr身份绕过漏洞，详细介绍了如何重现此漏洞并提供了详细的步骤和技术细节。最大的亮点在于其不仅覆盖了理论上的解释，还包含了实际环境中构建测试案例的具体指导，包括Docker Compose配置、安全性JSON文件设定及调试流程，使得读者能够全面理解漏洞机制。

* 查看或搜索历史推送内容请访问：
https://sectoday.tencent.com/
* 新浪微博账号： 腾讯玄武实验室
https://weibo.com/xuanwulab
* 微信公众号： 腾讯玄武实验室