GitHub删除概念验证漏洞利用代码引发争议-低调大师

GitHub删除概念验证漏洞利用代码引发争议

2021-03-18 659

近日，GitHub删除了安全研究人员Nguyen Jang发布的概念验证(PoC)漏洞利用代码，该漏洞利用了最近成为业界焦点的微软Exchange软件漏洞。

GitHub的决定立即引发了网络安全行业的争论，即安全研究人员何时应避免发布软件漏洞，以及GitHub之类的软件代码平台应如何管理其用户。

这是一个异常敏感的案例：研究人员发布的是众多国家黑客正在利用的Exchange Server中的漏洞，分析人士担心，网络罪犯在滥用这些漏洞方面也会“不甘人后”。一些安全分析师担心的是，研究人员Nguyen Jang发布的概念验证漏洞可能使其他恶意攻击者能够利用这些漏洞。但Nguyen辩称，发布将促使组织进行漏洞修补。

GitHub发言人表示，删除代码是因为它违反了平台禁止上传“活动”软件漏洞的政策。

GitHub发言人说：“我们知道，概念验证漏洞利用代码的发布和分发对安全社区具有教育和研究价值，我们的目标是在利益与保持更广泛的生态系统之间取得平衡。”

但是Luta Security的首席执行官Katie Moussouris认为，概念验证漏洞利用代码可能起到敦促组织修补漏洞的作用。其他分析师则反驳说，一些小型组织没有足够的资源来快速应用这些修复程序。

一些安全专家说，这并非零和游戏，研究人员其实可以在不公开利用这些漏洞的情况下对其进行探索。安全公司Red Canary的研究主管Matt Graeber敦促研究人员不要发布漏洞利用代码，而应根据他们对漏洞利用的了解，建议用户采取防御措施。

【本文是51CTO专栏作者“安全牛”的原创文章，转载请通过安全牛（微信公众号id:gooann-sectv）获取授权】

戳这里，看该作者更多好文

【责任编辑：赵宁宁 TEL：（010）68476606】

微信关注我们

原文链接：http://zhuanlan.51cto.com/art/202103/650616.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

微软正调查Exchange服务器攻击事件

据外媒，微软目前正在进行内部调查，以明确日益严重的Exchange服务器攻击是否源于潜在的漏洞。确定是否有安全渠道的合作伙伴泄露了该公司私下发送给MAPP项目成员的概念验证代码。 MAPP全称为Microsoft Active Protections Program，目前已有大约80个组织成员。3月初的时候，微软发布了针对Exchange邮件服务器以及正在被积极利用的四个零日漏洞的紧急补丁。 Exchange攻击中使用的某些工具，与其私有代码具有一定程度的相似性。相关攻击波及全美至少3万个机构，其中包括了许多知名企业。尽管该代码很快被移除，但仅一天之后，安全研究人员和联邦机构就开始发出警告，称相关漏洞已被用于在受感染机器上部署勒索软件。【责任编辑：赵宁宁 TEL：（010）68476606】

2021-03-18

552

“成人、长袖、长裤、男、上身深紫色。” 以上特征是人脸识别软件对路人随机抓取的信息，每个人在技术归拢下成了一条条数据，无处遁形。 2019年2月，某人脸识别公司有256万条个人数据泄露，泄露的信息除了包括上述信息，还包括身份证信息、人脸识别图像及捕捉地点。当下流行的刷脸支付使用的关键技术正是人脸识别，它将采集用户的人脸、虹膜、指纹和声纹等信息存储在服务器中。但这些具有唯一性的生物特征数据一旦泄露，买卖、欺诈、钓鱼等安全威胁随之而来。 “在网络上不要轻易‘刷脸’。个人生物特征(人脸、指纹、DNA等)等关键数据，具有唯一性和不可再生性特征，一旦被窃取，无法追回并变更。“ 上海信息安全行业协会会长谈剑峰曾多次提示公众警惕人脸识别风险。好消息是，《个人信息保护法》草案已经在今年两会期间提请全国人大常委会审议，草案一旦通过审议，将对保护个人信息安全发挥重要作用。同时，谈剑峰在2021年两会期间也提交了一份提案，建议设立国家“数据银行”，加强对人脸、指纹等唯一性不可再生的关键数据的管控。保护个人数据和信息安全是当下各国的共识。2018年欧盟颁布的《通用数据保护条例》(GDPR)，被称为史上...

2021-03-18

720

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。