每日安全动态推送(7-18)

渗透技巧 7个月前 admin
205 0 0
Tencent Security Xuanwu Lab Daily News

• GHSL-2023-120: Arbitrary File Read/Write during TAR extraction in Gradle:
https://securitylab.github.com/advisories/GHSL-2023-120_Gradle/

   ・ Gradle 8.1.1 存在路径穿越漏洞,能够操纵由 Gradle 脚本解压的 TAR 文件的攻击者可以覆盖任意文件  – SecTodayBot


• GitHub – tandasat/hvext: The Windbg extension that implements commands helpful to study Hyper-V on Intel processors.:
https://github.com/tandasat/hvext

   ・ hvext – 用于研究 Intel CPU 上的 hyper-v 的windbg扩展,由 @ergot86、@0vercl0k 和 @gerhart_ 实现 – SecTodayBot


• Docker Hub 的数千个镜像泄露了敏感数据 – FreeBuf网络安全行业门户:
https://www.freebuf.com/news/372226.html

   ・ Docker Hub 上托管的数以万计的容器镜像包含机密信息,使软件、在线平台和用户面临巨大的攻击面。 – SecTodayBot


• Xen Security Notice 1 v1 – winpvdrvbuild.xenproject.org potentially compromised:
https://seclists.org/oss-sec/2023/q3/37

   ・ Xen 安全声明 1 v1 – winpvdrvbuild.xenproject.org 已过时并且容易受到多个 CVE 的攻击。报告的一些问题包括远程代码执行。受影响的主机正在运行 Windows PV Drivers 子项目的 Jenkins 构建系统  – SecTodayBot


• GitHub – FourCoreLabs/LolDriverScan:
https://github.com/FourCoreLabs/LolDriverScan

   ・ LollDriverScan 是一个 golang 工具,允许用户发现系统上易受攻击的驱动程序。该工具从 API 中获取 loldrivers.io 列表,并扫描系统中是否存在任何易受攻击的驱动程序  – SecTodayBot


• WormGPT:一款可用来发动BEC攻击的无底线AI工具 – FreeBuf网络安全行业门户:
https://www.freebuf.com/news/372231.html

   ・ WormGPT 是 2021 年基于 GPTJ 语言模型开发的生成式人工智能模块,允许恶意行为者不受任何限制地进行各种非法活动,生成不当内容,甚至执行有害代码  – SecTodayBot


• Sysreptor – Fully Customisable, Offensive Security Reporting Tool Designed For Pentesters, Red Teamers And Other Security-Related People Alike:
http://www.kitploit.com/2023/07/sysreptor-fully-customisable-offensive.html

   ・ SysReptor – 完全可定制的攻击性安全报告工具,专为渗透测试者、红队成员和其他安全相关人员设计基于简单 Web 技术的简单且可定制的渗透测试报告创建器  – SecTodayBot


• GitHub – Yggdroot/LeaderF: An efficient fuzzy finder that helps to locate files, buffers, mrus, gtags, etc. on the fly for both vim and neovim.:
https://github.com/Yggdroot/LeaderF

   ・ LeaderF 一个高效的模糊查找器,有助于动态定位文件、缓冲区、mrus、gtag 等。- 用Python编写。支持模糊和正则表达式搜索。 – SecTodayBot


• Adversarial Prompting:
https://www.promptingguide.ai/risks/adversarial

   ・ 提示注入旨在通过使用改变模型行为的巧妙提示来劫持模型输出。这些攻击可能是有害的——西蒙·威利森 (Simon Willison) 将其定义为“一种安全漏洞形式”  – SecTodayBot


• Fake PoC on GitHub lures security researchers to download malware:
https://packetstormsecurity.com/news/view/34800

   ・ 向 GitHub 发布虚假概念验证 (POC)并埋藏后门,该后门实际上是利用 Linux Bash 脚本中的 CVE-2023-35829 漏洞伪装成内核级进程的后门。Bash 脚本是一个自动执行命令的简单文本文件。攻击者可以通过将 SSH 密钥添加到authorized_keys 文件中来获得对目标系统的完全访问权限  – SecTodayBot


* 查看或搜索历史推送内容请访问:
https://sec.today

* 新浪微博账号:腾讯玄武实验室
https://weibo.com/xuanwulab


原文始发于微信公众号(腾讯玄武实验室):每日安全动态推送(7-18)

版权声明:admin 发表于 2023年7月18日 下午2:09。
转载请注明:每日安全动态推送(7-18) | CTF导航

相关文章

暂无评论

您必须登录才能参与评论!
立即登录
暂无评论...