- 综合排序
- 最热优先
- 最新优先
- 来自专栏代码人生
ES 解决 log4j 安全漏洞
概论 Apache Log4j 2 被披露出存在严重代码执行漏洞，目前官方已发布正式安全公告及版本，漏洞编号：CVE-2021-44228，漏洞被利用可导致服务器被入侵等危害。 公司 ES 使用 Log4j 2 组件，存在安全问题，升级 ES 镜像中的 Log4j 2 版本解决该问题。 原理 java 项目只用替换编译出来的 jar 包就可以。 快速教程 下载 log4j-core-2.16.jar 和 log4j-api-2.16.jar https://repo.maven.apache.org/maven2/org/apache/logging /log4j/log4j-core/2.16.0/ https://repo.maven.apache.org/maven2/org/apache/logging/log4j/log4j-api/2.16.0 log4j-api-*.jar
1.6K10编辑于 2021-12-16 - 来自专栏绿盟科技安全情报
【安全更新】微软4月安全更新多个产品高危漏洞通告
通告编号:NS-2021-0015 2021-04-14 TAG： 安全更新、Windows、Office、Exchange、Edge、Visual Studio 漏洞危害： 攻击者利用本次安全更新中的漏洞 版本： 1.0 1 漏洞概述 4月14日，微软发布4月安全更新补丁，修复了114个安全漏洞，涉及Windows、Office、Edge (Chromium-based) 、Visual Studio 1607 for x64-based SystemsWindows 10 Version 1607 for 32-bit SystemsWindows 10 for x64-based Systems 4漏洞防护 声明 本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。 绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。
1.2K30发布于 2021-04-26 - 来自专栏云鼎实验室的专栏
2025年4月企业必修安全漏洞清单
腾讯云安全中心参考“安全漏洞的危害及影响力、漏洞技术细节披露情况、该漏洞在安全技术社区的讨论热度”等因素，综合评估该漏洞在攻防实战场景的风险。 当漏洞综合评估为风险严重、影响面较广、技术细节已披露，且被安全社区高度关注时，就将该漏洞列入必修安全漏洞候选清单。 腾讯云安全中心定期发布安全漏洞必修清单，以此指引企业安全运维人员修复漏洞，从而避免重大损失。 以下是2025年4月份必修安全漏洞清单： 一、Vite 任意文件读取漏洞（CVE-2025-31486） 二、Vite 任意文件读取漏洞（CVE-2025-32395） 三、Langflow 远程代码执行漏洞 临时缓解方案： - 利用安全组设置仅对可信地址开放 - 为该接口设置鉴权 四、 Dify 任意密码重置漏洞 漏洞概述 腾讯云安全近期监测到关于Dify的风险公告，漏洞编号为TVD-2024-41101
62510编辑于 2026-04-09 - 来自专栏代码人生
Elasticsearch 解决 log4j 安全漏洞 - 升级镜像
一、概论 Apache Log4j 2 被披露出存在严重代码执行漏洞，目前官方已发布正式安全公告及版本，漏洞编号：CVE-2021-44228，漏洞被利用可导致服务器被入侵等危害。 公司 ES 使用 Log4j 2 组件，存在安全问题，升级 ES 镜像中的 Log4j 2 版本解决该问题。 1.1 原理 java 项目只用替换编译出来的 jar 包就可以。 二、快速教程 2.1 判断 ES 是否存在漏洞 进入 ES 容器，查找 log4j 版本，使用find 命令查找 docker run -it --user root devops-docker.pkg.codingcorp.net log4j-api-*.jar 如果版本小于 2.17.jar，就需要升级 2.2 下载物料 下载 log4j-core-2.16.jar 和 log4j-api-2.16.jar https:// /maven2/org/apache/logging/log4j/log4j-api/2.16.0/ 2.3 创建镜像目录结构 新建 static 目录，将下载的 jar 放入 static 文件夹
2K10编辑于 2023-02-26 - 来自专栏渗透测试专栏
渗透测试XSS漏洞原理与验证(4)——HTTP协议安全
Session利用的实质:由于SessionlD是用户登录之后持有的唯一认证凭证，因此黑客不需要再攻击登陆过程(比如密码)，就可以轻易获取访问权限，无需登录密码直接进入特定用户界面，进而查找其他漏洞如XSS 协议上个世纪90年代中期，网景公司(NetScape)为了解决HTTP协议明文传送的安全性问题，设计了SSL(Secure Sockets Layer 安全套接层)协议。 ，简单来说是HTTP的安全版。 4、HTTP的连接很简单，是无状态的;HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比HTTP协议安全。 SSL协议组成1、记录协议(Record Protocol)2、握手协议(Handshake Protocol)3、警告协议(Alert Protocol)4、密码规范改变协议(Change Cipher
52110编辑于 2024-11-05 - 来自专栏CODING DevOps
Apache Log4j 2 报高危漏洞，CODING 联手腾讯安全护卫软件安全
腾讯安全第一时间将该漏洞收录至腾讯安全漏洞特征库中，CODING 制品扫描基于该漏洞特征库，对引用了受影响版本的 Log4j 2 制品进行了精准定位，并给出修复建议，同时可禁止下载含有该安全漏洞的制品， Apache Log4j 2 漏洞详情 Apache Log4j 2 是一个基于 Java 的日志记录工具。 漏洞详情： 漏洞名称 Apache Log4j 2 任意代码执行漏洞 威胁等级 高危 漏洞详情 已公开 POC 已知 EXP 已知 漏洞威胁 Apache Log4j 2 影响范围 Apache Log4j 2 2.0 - 2.14.1 漏洞编号 暂无 在野利用 已发现 安全版本 Log4j-2.15.0-rc2 Log4j 2 的使用极为广泛，可能受影响的应用及组件（包括但不限于）：Apache Solr 可信漏洞特征库 「腾讯安全开源组件漏洞特征库」是腾讯基于自身安全研究与国内外通用开源漏洞库信息搭建的漏洞特征库，由专业安全团队持续运营，为用户提供准确、及时、易懂的安全信息。
1.8K30编辑于 2021-12-10 - 来自专栏安全攻防团队
腾讯安全威胁情报中心推出2024年4月必修安全漏洞清单
腾讯安全威胁情报中心参考“安全漏洞的危害及影响力、漏洞技术细节披露情况、该漏洞在安全技术社区的讨论热度”等因素，综合评估该漏洞在攻防实战场景的风险。 腾讯安全威胁情报中心定期发布安全漏洞必修清单，以此指引政企客户安全运维人员修复漏洞，从而避免重大损失。 以下是2024年4月份必修安全漏洞 一、kkFileView任意文件上传致远程代码执行漏洞 二、IP-guard WebServer 权限绕过漏洞 三、Oracle WebLogic T3/IIOP反序列化漏洞 Connect Secure <= 9.1 r18 22.1 <= Ivanti Connect Secure <= 22.6 9.0 <= Ivanti Policy Secure <= 9.0 r4 通用的漏洞修复、防御方案建议 腾讯安全专家推荐用户参考相关安全漏洞风险通告提供的建议及时升级修复漏洞，推荐企业安全运维人员通过腾讯云原生安全产品检测漏洞、防御漏洞武器攻击。
2.2K10编辑于 2024-05-14 - 来自专栏囍楽云博客
bash 安全漏洞-bash代码注入的安全漏洞
你看bash 安全漏洞，一个代码注入就这样完成了。这就是bash的bug——函数体外面的代码被默认地执行了。 就像这个安全漏洞的测试脚本一样： env VAR='() { :;}; echo Bash is vulnerable!' bash -c "echo 如果你看到了vulnerable字样说明你的bash有安全问题" OK，你应该明白这个漏洞是怎么一回事了吧。 bash漏洞的影响有多大 在网上看到好多人说这个漏洞不大，还说这个事只有那些陈旧的执行CGI脚本的网站才会有，现在已经没有网站用CGI了。我靠，这真是无知者无畏啊。 我们还知道，现在的HTTP服务器基本上都是以子进程式的bash 安全漏洞，所以，其中必然会存在export 一些环境变量的事，而有的环境变量的值是从用户端来的，比如：这样的环境变量，只由浏览器发出的。
1.7K20编辑于 2022-12-29 - 来自专栏阿杰
跟踪一下log4j2的安全漏洞
跟踪一下log4j2的安全漏洞 总结 bug出现的根源 解决方案 官方网站对LookUp介绍 代码跟踪 pom依赖 日志格式 Main方法 rmi本地服务 bug的源码定位 总结 开源项目不易,功能少了推广不动 (很有意思的时,这次的安全问题大多数人都不知道日志框架有这功能…),功能多了容易出bug;充分考虑扩展性的同时容易误触碰到一些严重安全问题 难呀!!! 或者jdk 大于 jdk8 8u191(网上说的,没深究)的没有安全问题 升级log4j 的sdk版本;升级到 2.15.0 控制服务器出口白名单,如果服务器只是内部在调用不访问外部那么严重程度就大大降低 (一般生产环境网关才对外暴露) log4j2.formatMsgNoLookups=true;源码类: org.apache.logging.log4j.core.util.Constants 注释如下 -- https://mvnrepository.com/artifact/org.apache.logging.log4j/log4j-core --> <dependency> <groupId
87720编辑于 2022-02-21 - 来自专栏Rust 编程
Rust生态安全漏洞总结系列 Part 4 | 请用 time 代替 chrono
本期主要是侧重于 ` Chrono`[2] 里面的一个情况比较复杂的漏洞分析。 TL;DR : 请使用 time 代替 Chrono 。 建议不要使用 `std::env::set_var`[4]。 发现这个漏洞的是 `tokio-rs/io-uring`[6] 作者 quininer。 这个安全漏洞目前有一些限制，所以无法修复。 Chrono 必须支持系统本地时区（Local::now()）等。 该系统本地时区必须与 C 的 localtime* 返回的内容相匹配。 /chrono [3] rustsec.org : RUSTSEC-2020-0159: https://rustsec.org/advisories/RUSTSEC-2020-0159.html [4]
1.8K30发布于 2021-11-10 - 来自专栏安恒信息
安全漏洞公告
Microsoft Windows远程桌面协议安全限制绕过漏洞发布时间：2014-06-11漏洞编号：BUGTRAQ ID: 67865 CVE ID: CVE-2014-0296漏洞描述：Windows of Service (2962478) 链接： http://technet.microsoft.com/security/bulletin/MS14-031 4 Microsoft Lync Server Information Disclosure (2969258) 链接： http://technet.microsoft.com/security/bulletin/MS14-032 5 PHP acinclude.m4任意文件覆盖漏洞 PHP acinclude.m4任意文件覆盖漏洞发布时间：2014-06-05漏洞编号：CVE ID: CVE-2014-3981漏洞描述：PHP是广泛使用的通用目的脚本语言，特别适合于Web开发，可嵌入到 PHP 5.5.13及更早版本的配置脚本中使用的acinclude.m4存在安全漏洞，可使本地用户对 /tmp/phpglibccheck文件执行符号链接攻击，从而覆盖任意文件。
1.7K40发布于 2018-04-10 - 来自专栏安恒信息
安全漏洞公告
安全建议：目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：http://www.cacti.net/download_cacti.php 2 OpenX 'flowplayer-3.1.1 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： 3 Apache CloudStack多个跨站脚本漏洞 发布时间：2013-08-06 漏洞编号：BUGTRAQ ID: 61650 /html/Release_Notes/index.html 4 多个思科产品远程安全限制绕过漏洞 发布时间：2013-08-01 漏洞编号：BUGTRAQ ID: 61566 CVE(CAN) ID: 多个思科产品存在安全漏洞，该漏洞相关OSPF LSA数据库。此漏洞可使未经身份验证的攻击者完全控制OSPF AS域路由表、黑洞流量、中间流量等。 多个思科内容网络和视频传递产品漏洞在配置为中心管理模式中运行时，Web框架内存在安全漏洞。经过身份验证的远程攻击者虽然没有权限，但可以在受影响系统上、受影响系统管理的设备上执行任意代码。
1.8K30发布于 2018-04-09 - 来自专栏安恒信息
安全漏洞公告
安全建议：目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： http://httpd.apache.org/ Apache Solr 'SolrResourceLoader'目录遍历漏洞发布时间 安全建议：用户可联系供应商获得补丁信息： http://www.apache.org/ Apache Subversion mod_dontdothat路径匹配安全绕过漏洞发布时间：2013-11 Apache Subversion存在安全绕过漏洞。由于应用程序对配置的路径否认匹配时，未能正确地检查所提供的路径，攻击者可以利用漏洞来绕过预期的限制，例如：由于占用系统资源过多。 安全建议：用户可参考如下供应商提供的安全公告获得补丁信息： http://subversion.apache.org/security/CVE-2013-4505-advisory.txt JBoss 安全建议：用户可参考如下厂商提供的安全公告获得补丁信息： https://rhn.redhat.com/errata/RHSA-2013-1762.html HP 2620交换机'html/json.html
1.9K60发布于 2018-04-10 - 来自专栏安恒信息
安全漏洞公告
1 Apache Sling 'AbstractAuthenticationFormServlet'开放重定向漏洞 2 Apache Commons FileUpload ‘DiskFileItem’类空字节任意文件写入漏洞 3 Red Hat JBoss JBoss EAP 身份验证安全绕过漏洞 4 Red Hat JBoss EAP会话ID信息泄露漏洞 5 F5 BIG-IP Traffic Management Microkernel 远程拒绝服务漏洞 6 IBM Domino iNotes 跨站脚本漏洞 7 SAP Sybase ASE XML外部实体注入漏洞 8 Apache mod_fcgid fcgid_header_bucket_read 函数缓冲区溢出漏洞 9 Apache 'mod_accounting'模块SQL注入漏洞 =====================================
1.7K60发布于 2018-04-10 - 来自专栏安恒信息
安全漏洞公告
PHP 5.4.28之前版本在php-fpm.conf.in的实现上存在安全漏洞，本地攻击者可利用此漏洞获取提升的权限并执行任意代码。 ClassLoader篡改安全措施绕过漏洞 Apache Struts ClassLoader篡改安全措施绕过漏洞发布时间：2014-04-30漏洞号：BUGTRAQ ID: 67121 CVE(CAN 攻击者可利用此漏洞绕过某些安全限制并执行未授权操作。 'getClass()'方法安全限制绕过漏洞 Apache Struts 'getClass()'方法安全限制绕过漏洞发布时间：2014-04-29漏洞号：BUGTRAQ ID: 67081 CVE /WW/S2-021 补丁下载：http://struts.apache.org/download.cgi#struts23162 4 Websense多个产品Settings模块凭证泄露漏洞 Websense
2.5K50发布于 2018-04-10 - 来自专栏技术博文
日常漏洞安全更新
日常漏洞安全更新 系统：CentOs7.4 1 中危NSS 安全漏洞 RHSA-2021:4904: nss 安全更新 漏洞编号 影响分 漏洞公告（公告内会包含同一软件多个漏洞 CVE） CVE-2021 -43527 4.8 NSS 安全漏洞 #1 查看可更新的软件nss yum list updates |grep nss #2 如果有可更新软件，则进行更新 yum -y update nss.x86 _64 2 RHSA-2021:4788: krb5 安全更新 漏洞编号 影响分 漏洞公告（公告内会包含同一软件多个漏洞 CVE） CVE-2021-37750 3.2 MIT Kerberos 代码问题漏洞 yum list updates |grep openssh #2 如果有可更新软件，则进行更新 yum -y update openssh-7.4p1-22.el7_9.x86_64 4 RHSA- 2021:3889: java-1.8.0-openjdk 安全和BUG修复更新 漏洞编号 影响分 漏洞公告（公告内会包含同一软件多个漏洞 CVE） CVE-2021-35550 4.5 Oracle
99410编辑于 2021-12-30 - 来自专栏安恒信息
安全漏洞公告
1 McAfee Email Gateway存在未明任意命令执行漏洞 2 Zend Framework代理请求处理IP地址伪造漏洞 3Cisco ASA CX安全搜索策略绕过漏洞 4 Zabbix任意命令执行漏洞 5Apache Struts config-browser/actionNames.action namespace参数反射型跨站脚本漏洞
980100发布于 2018-04-10 - 来自专栏安恒信息
安全漏洞公告
多个IBM产品存在安全措施绕过漏洞，远程经过身份验证的攻击者可利用此漏洞绕过目标访问限制，读取通讯日志。 受影响产品如下：IBM Maximo Asset Management 7.x、SmartCloud Control Desk 7.x安全建议：目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载 uid=swg21670870 http://xforce.iss.net/xforce/xfdb/88364 4 IBM DB2及DB2 Connect权限提升漏洞 IBM DB2及DB2 Connect ：目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：http://www.ibm.com/support/fixcentral/ 5 Apache 'mod_wsgi' 模块本地权限提升漏洞 安全建议：目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：http://modwsgi.readthedocs.org/en/latest/release-notes/version-
1.9K60发布于 2018-04-10 - 来自专栏云攻略专区
Log4j 爆“核弹级”漏洞，腾讯安全支持检测拦截Log4j2远程代码执行漏洞风险
12 月 10 日凌晨，Apache 开源项目 Log4j 的远程代码执行漏洞细节被公开，由于 Log4j 的广泛使用，该漏洞一旦被攻击者利用会造成严重危害。 lookup 功能造成的漏洞 Log4j 是一款开源 Java 日志记录工具。 详细漏洞披露可查看：https://issues.apache.org/jira/projects/LOG4J2/issues/LOG4J2-3201? 史诗级Log4j漏洞已引起大规模入侵，目前腾讯T-Sec Web应用防火墙（WAF）、腾讯T-Sec高级威胁检测系统（NDR、御界）、腾讯T-Sec云防火墙已支持检测拦截利用Apache Log4j2远程代码执行漏洞的攻击活动 腾讯T-Sec主机安全（云镜）、腾讯容器安全服务（TCSS）已支持检测企业资产（主机、容器及镜像）是否存在Apache Log4j2远程代码执行漏洞。
1.9K51编辑于 2022-02-18 - 来自专栏安恒信息
安全漏洞公告
安全建议：Microsoft已经为此发布了一个安全公告（MS14-017）以及相应补丁: MS14-017：Vulnerabilities in Microsoft Word and Office Web Could Allow Remote Code Execution (2922229) 链接：http://technet.microsoft.com/security/bulletin/MS14-019 4 JBoss Enterprise Application Platform Java Security Manager Policy安全绕过漏洞 JBoss Enterprise Application Platform Java Security Manager Policy安全绕过漏洞发布时间：2014-04-09漏洞编号：BUGTRAQ ID: 66596 CVE ID:CVE-2014-0093 Red Hat JBoss Enterprise Application Platform (JBEAP)6.2.2版本中存在安全漏洞。
1.7K60发布于 2018-04-10
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号