首页 文章 精选 留言 我的

精选列表

搜索[AI提效],共10000篇文章
优秀的个人博客,低调大师

OSCS开源安全周报第10期:Linux openvswitch 内核模块提权漏洞 poc 公开

本周安全态势综述 OSCS 社区共收录安全漏洞37个,公开漏洞值得关注的是 Linux Kernel openvswitch 模块权限提升漏洞(CVE-2022-2639),Apache IoTDB grafana-connector 模块存在未授权漏洞(CVE-2022-38370),Indy-Node 远程代码执行漏洞(CVE-2022-31020),Rancher 存在授权不当漏洞(CVE-2022-31247)和 Apache James 存在 IMAP 指令注入漏洞(CVE-2022-28220)。 针对 NPM 仓库,共监测到 4 次投毒事件,涉及 57 个不同版本的 NPM 组件,投毒组件中绝大多数行为是尝试获取主机敏感信息。 重要安全漏洞列表 Linux Kernel openvswitch 模块权限提升漏洞(CVE-2022-2639) 在 Linux Kernel openvswitch 模块中的 reserve_sfa_size 方法存在整数溢出错误,在给定足够多的 actions 时,可能会导致越界写入访问。攻击者可利用此漏洞获取系统 root 权限。 注意:该漏洞 POC、EXP 均已公开,影响从3.13至5.18以前的linux 内核。 参考链接:https://www.oscs1024.com/hd/MPS-2022-53208 Apache IoTDB grafana-connector 模块存在未授权漏洞(CVE-2022-38370) Apache IoTDB是针对时间序列数据收集、存储与分析一体化的数据管理引擎。 在Apache IoTDB grafana-connector 0.13.0 版本中DatabaseConnectController存在未授权漏洞,攻击者可以未授权访问/query、/search接口,进而通过web服务可能会获取数据库的内部结构。 参考链接:https://www.oscs1024.com/hd/MPS-2022-55568 Indy-Node 远程代码执行漏洞(CVE-2022-31020) Indy-Node 是分布式账本的服务端。 受影响版本 Indy-Node 中的 pool-upgrade 请求处理程序允许未经正确身份验证的攻击者在网络内的节点上远程执行代码。攻击者可利用该漏洞进行远程代码执行。 参考链接:https://www.oscs1024.com/hd/MPS-2022-11050 Rancher 存在授权不当漏洞(CVE-2022-31247) Rancher 是一个 Kubernetes 管理平台。 Rancher 的受影响版本中存在授权不当漏洞,任何有权创建/编辑集群角色模板绑定或项目角色模板绑定的用户都可以利用这个漏洞,在同一集群中的另一个项目中或在不同下游集群中的另一个项目中获得所有者权限。 参考链接:https://www.oscs1024.com/hd/MPS-2022-11287 Apache James 存在 IMAP 指令注入漏洞(CVE-2022-28220) Apache James 是用Java编写的开源SMTP和POP3邮件传输代理和NNTP新闻服务器。 Apache James 的受影响版本容易在中间人攻击的情况下受到 IMAP 指令注入的攻击,中间人攻击者在服务端收到客户端的激活 STARTTLS 和 开启 SSL 之间通过条件竞争进行 IMAP 指令注入,导致泄露邮件内容中的敏感信息。 参考链接:https://www.oscs1024.com/hd/MPS-2022-7272 *查看漏洞详情页,支持免费检测项目中使用了哪些有缺陷的第三方组件 投毒风险监测 OSCS针对 NPM 仓库监测的恶意组件数量如下所示。 本周新发现 57 个不同版本的恶意组件,其中 100%的投毒组件为:获取主机敏感信息(获取了主机的用户名、IP 等敏感信息发送给恶意服务器) 其他资讯 微软和云提供商开始禁止基本身份验证 https://www.darkreading.com/cloud/microsoft-cloud-providers-ban-basic-authentication EvilProxy 将反向代理策略用于网络钓鱼,绕过 2FA https://www.darkreading.com/vulnerabilities-threats/evilproxy-commodifies-reverse-proxy-tactic-phishing-bypassing-2fa 情报订阅 OSCS(开源软件供应链安全社区)通过最快、最全的方式,发布开源项目最新的安全风险动态,包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务,社区用户可通过配置飞书、钉钉、企业微信机器人,及时获得一手情报信息推送: https://www.oscs1024.com/?src=osc 具体订阅方式详见: https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

优秀的个人博客,低调大师

亚信安全童宁出席大数据产业峰会 首提"网络空间平安城市"理念

"大数据是'钻石矿',人在干、数在转、云在算"。在今天召开的中国大数据产业峰会上,李克强总理这样强调大数据的意义。而推进大数据、云计算、物联网的发展不仅将实现数据、经济双受益,也推动着平安城市的建设。在峰会下午举办的"中国智慧城市数据安全与产业合作高峰论坛"上,亚信安全业务发展及产品研发总经理童宁首次提出"网络空间平安城市"理念,并强调要将网络安全防护系统纳入到智慧城市管理系统之中。 【图示:亚信安全业务发展及产品研发总经理童宁首次提出"网络空间平安城市"理念】 智慧城市不是说建就建 安全威胁如影随形 国家互联网应急中心公布的第15期安全周报显示,我国境内感染网络病毒主机数量达到86.8万,同比增长13.8%,境内被植入后门网站总数为4441个,同比大增71.1%,新增信息安全漏洞数量为106,同比增长14.0%.....童宁在论坛上表示:"这么一连串触目惊心的数字,并不简单,暗藏着可以威胁智慧城市建设的巨大阴影。例如,通过信息安全漏洞,黑客可能会攻击交通、水利、电力等基础设施系统,造成经济损失、社会秩序混乱乃至威胁国家安全,智慧城市的建设目标自然也就无从谈起。" 童宁认为:"平安城市不仅仅是指治安管理、灾难预警、安全生产、社会监控等城市物理空间安全,同样也应该指网络空间的安全性。而目前我国城市级网络空间安全管理的现状并不容乐观,其问题突出体现在缺少城市一级的总体安全态势监控、对公众网络安全意识教育投入不够、网络安全人员培养体系缺乏、网络安全管理边界对象不清晰等,这些问题导致城市网络安全管理存在着大量漏洞,安全威胁很容易乘虚而入。" 打造主动式、立体式的网络安全防护体系 智慧城市的建设是一项巨大的工程,牵涉众多信息化子系统的建设,其中任何一个环节出现问题都可能影响城市的整体安全防护。而且,智慧城市是一个政府、企业、公众有机衔接的城市体系,必须要整合各方力量,打造主动式、立体式的网络安全防护体系。 童宁建议:"在建设智慧城市的过程中,政府最好建立网络威胁的预警防护体系以及城市一级的总体安全态势监控,一旦发生安全威胁能够及时进行处理。城市管理者还应该加强公众网络安全教育,让公众认识到网络安全的严重威胁,并能在生活中主动强化安全防御意识。此外,智慧城市还应该建立网络安全人才培养基地,为平安城市的构建提供充足的人才资源支撑。" 强化城市级网络空间态势感知 亚信安全在行动 从智慧城市的实践来看,强化城市级网络空间态势感知至关重要,这要求智慧城市打造高效的公共安全服务平台,能够及时感知网络安全威胁的变化,提供病毒木马、钓鱼诈骗、网络安全预警、漏洞报告在内的安全情报,帮助政府单位、企业、个人应对安全风险。 亚信安全正在通过以云安全实验室为核心的安全威胁情报搜集系统,来帮助政府强化网络空间态势能力。云安全实验室整合了全球云安全资源以及完全本地化的安全服务,能提供及时的安全威胁响应服务。此外,亚信安全还与成都市政府等地方政府进行广泛合作,通过建设高级威胁情报中心、培养网络安全人才、强化公众网络安全教育、网络安全联合研究等措施,全面提升智慧城市的网络安全防护能力。 关于亚信安全 亚信安全是亚信集团"领航产业互联网"版图中的重要业务板块,于2015年由亚信科技对全球最大的独立网络安全软件提供商趋势科技中国区业务进行收购重组,专注于产业互联网安全服务领域,是中国领先的云与大数据安全技术、产品、方案和服务供应商。亚信安全在中国北京和南京设有独立研发中心,拥有超过2000人的专业安全团队,以"护航产业互联网"为使命,以"云与大数据的安全技术领导者"为战略愿景,亚信安全坚持"产品、服务、运营三位一体"的经营模式 ,助力客户构建"立体化主动防御体系",为国家提供网络安全与云产业安全保障,推动实施自主可控战略。 本文出处:畅享网 本文来自云栖社区合作伙伴畅享网,了解相关信息可以关注vsharing.com网站。

优秀的个人博客,低调大师

政府工作报告再提数字经济,中国科技已开始领跑全球

3月5日,在备受关注的2018年《政府工作报告》中,数字技术再度成为关键词。高铁网络、电子商务、移动支付、共享经济等引领世界潮流。数字技术不仅是发展智能产业、拓展智能生活的重要手段,也成为改造提升传统产业的新动能。正如《报告》所言,“快速崛起的新动能正在重塑经济增长格局,深刻改变生产生活方式,成为中国创新发展的新标志。” 《报告》称,将加快新旧发展动能接续转换,推动大数据、云计算、物联网广泛应用,新兴产业蓬勃发展,传统产业深刻重塑。 (图为阿里云在2018世界移动通信大会期间的展台吸引了众多参观者。) 在中国,云计算、人工智能和物联网技术已经在众多场景得到应用,互联网技术深入垂直产业,进入城市道路、工业车间、农业生产等物理空间,对城市交通管理、工业生产效率、农业产出效率进行优化,已经取得丰硕的成果。 在海外,中国的数字技术也受到欢迎。吉隆

优秀的个人博客,低调大师

亚信安全童宁出席大数据产业峰会 首提“网络空间平安城市”理念

5月25日消息,大数据是‘钻石矿’,人在干、数在转、云在算”。在今天召开的中国大数据产业峰会上,李克强总理这样强调大数据的意义。而推进大数据、云计算、物联网的发展不仅将实现数据、经济双受益,也推动着平安城市的建设。在峰会下午举办的“中国智慧城市数据安全与产业合作高峰论坛”上,亚信安全业务发展及产品研发总经理童宁首次提出“网络空间平安城市”理念,并强调要将网络安全防护系统纳入到智慧城市管理系统之中。 【图示: 亚信安全业务发展及产品研发总经理童宁 首次提出“网络空间平安城市”理念】 智慧城市不是说建就建 安全威胁如影随形 国家互联网应急中心公布的第15期安全周报显示,我国境内感染网络病毒主机数量达到86.8万,同比增长13.8%,境内被植入后门网站总数为4441个,同比大增71.1%,新增信息安全漏洞数量为106,同比增长14.0%.....童宁在论坛上表示:“这么一连串触目惊心的数字,并不简单,暗藏着可以威胁智慧城市建设的巨大阴影。例如,通过信息安全漏洞,黑客可能会攻击交通、水利、电力等基础设施系统,造成经济损失、社会秩序混乱乃至威胁国家安全,智慧城市的建设目标自然也就无从谈起。” 童宁认为:“平安城市不仅仅是指治安管理、灾难预警、安全生产、社会监控等城市物理空间安全,同样也应该指网络空间的安全性。而目前我国城市级网络空间安全管理的现状并不容乐观,其问题突出体现在缺少城市一级的总体安全态势监控、对公众网络安全意识教育投入不够、网络安全人员培养体系缺乏、网络安全管理边界对象不清晰等,这些问题导致城市网络安全管理存在着大量漏洞,安全威胁很容易乘虚而入。” 打造主动式、立体式的网络安全防护体系 智慧城市的建设是一项巨大的工程,牵涉众多信息化子系统的建设,其中任何一个环节出现问题都可能影响城市的整体安全防护。而且,智慧城市是一个政府、企业、公众有机衔接的城市体系,必须要整合各方力量,打造主动式、立体式的网络安全防护体系。 童宁建议:“在建设智慧城市的过程中,政府最好建立网络威胁的预警防护体系以及城市一级的总体安全态势监控,一旦发生安全威胁能够及时进行处理。城市管理者还应该加强公众网络安全教育,让公众认识到网络安全的严重威胁,并能在生活中主动强化安全防御意识。此外,智慧城市还应该建立网络安全人才培养基地,为平安城市的构建提供充足的人才资源支撑。” 强化城市级网络空间态势感知亚信安全在行动 从智慧城市的实践来看,强化城市级网络空间态势感知至关重要,这要求智慧城市打造高效的公共安全服务平台,能够及时感知网络安全威胁的变化,提供病毒木马、钓鱼诈骗、网络安全预警、漏洞报告在内的安全情报,帮助政府单位、企业、个人应对安全风险。 亚信安全正在通过以云安全实验室为核心的安全威胁情报搜集系统,来帮助政府强化网络空间态势能力。云安全实验室整合了全球云安全资源以及完全本地化的安全服务,能提供及时的安全威胁响应服务。此外,亚信安全还与成都市政府等地方政府进行广泛合作,通过建设高级威胁情报中心、培养网络安全人才、强化公众网络安全教育、网络安全联合研究等措施,全面提升智慧城市的网络安全防护能力。 原文发布时间为:2016-05-27 本文来自云栖社区合作伙伴至顶网,了解相关信息可以关注至顶网。

优秀的个人博客,低调大师

AE 影视后期特效工程师实战:表达式与脚本驱动的智能动效流程

Adobe After Effects(AE)是影视后期、动态图形和视觉效果的核心工具。多数特效师依赖关键帧手工动画,而技术型特效工程师则通过 表达式(Expression) 与 ExtendScript 脚本 实现参数化控制、批量处理和自动化工作流,大幅提升效率并实现手工难以企及的复杂效果。本文从实战出发,覆盖 表达式驱动物理动画、脚本自动化合成 以及 基于数据的动态图表生成,提供完整代码,助你从“手动师”进阶为“代码驱动”的特效工程师。

优秀的个人博客,低调大师

不止是冰山一角——阿里云效团队大规模代码构建技术实践

视频地址:https://yq.aliyun.com/webinar/play/216 什么是持续集成? 大师Martin Fowler认为持续集成是一种软件开发实践,在实践中团队开发成员会频繁的进行任务的集成,通常每个成员每天都会集成一次,也就意味着每天可能会发生多次集成。每次集成都通过自动化的构建来验证,从而尽快地发现集成错误,快速进行修复。 如上图所示,一个完整的持续集成环节包括:首先项目经理创建一个项目,将项目成员添加到项目中;开发人员在项目中拉取开发分支进行代码开发,在开发过程中,开发人员将代码提交到代码仓库(如SN、GIT);后端的持续集成任务会定时扫描代码仓库,如果发现代码有变更,马上触发一次CI构建,一次CI包括源码下载、代码编译、静态扫描、单元测试、覆盖率分析、sona检查、环境打包部署、自动化用例执行等;再以消息的

优秀的个人博客,低调大师

匿名安全研究员发现 Windows 两个零日漏洞:BitLocker 绕过与 SYSTEM 提权

匿名安全研究员 Nightmare-Eclipse(又称 Chaotic Eclipse)在微软 5 月 Patch Tuesday 之后又曝光了两个新的 Windows 零日漏洞。这是该研究者今年已公开的第五个零日漏洞。 第一个漏洞 YellowKey 可绕过 BitLocker 全磁盘加密。研究者描述这是"他发现的最疯狂的漏洞之一"——只需将特定文件加载到 USB 驱动器,攻击者在正确完成按键序列后即可获得 BitLocker 保护设备的无限制 shell 访问。安全专家 Rik Ferguson 警告:如果该漏洞成立,被盗笔记本就不再是硬件丢失问题,而是数据泄露通报事件。 第二个漏洞 GreenPlasma 为权限提升漏洞,可授予攻击者 SYSTEM 访问权限,但目前只能触发 UAC 同意提示,尚无法实现静默利用。安全专家 Knapp 指出,这类权限提升漏洞通常被攻击者在获得初始立足点后使用,用于横向移动和凭证窃取。 值得注意的是,Nightmare-Eclipse 还暗示 YellowKey 可能被用作后门——据称由微软注入,但安全厂商表示基于现有信息无法验证这一说法。 该研究者此前还泄露了 BlueHammer(CVE-2026-32201,已被微软在 4 月修补)、RedSun 和 UnDefend(Windows Defender 漏洞,至今未修复)。据 Huntress 称,RedSun 和 UnDefend 的 PoC 代码已被快速用于真实攻击。 安全专家警告,该研究者暗示还有更多漏洞即将发布,且拥有死开关机制确保在必要时公开剩余漏洞。 参考来源: https://www.theregister.com/security/2026/05/13/disgruntled-researcher-releases-two-more-microsoft-zero-days/5239758 https://github.com/Nightmare-Eclipse/YellowKey https://github.com/Nightmare-Eclipse/GreenPlasma

优秀的个人博客,低调大师

周鸿祎全国两会提四份提案 聚焦新基建网络安全

即将开播:5月20日,基于kubernetes打造企业级私有云实践 2020年全国两会在即。今年,全国政协委员、360集团董事长兼CEO周鸿�t将向两会提交四份提案,聚焦新基建的网络安全。“网络安全是我的‘老话题’,但是随着国家新基建战略的提出和实施,今年又有了不少‘新内容’”,周鸿�t表示。 周鸿�t提案的“新内容”,回答了新基建给网络安全出的新问题。四份提案分别建言尽早构建新基建网络安全防护体系,尽快制定《国家5G安全战略》,加快推进工业互联网安全保障,加强信创网络安全保障能力建设。 网络安全是新基建的基础型技术之一 今年以来,国家层面屡次提及“新基建”。4月29日,中共中央政治局常务委员会强调,要启动一批重大项目,加快传统基础设施和5G、人工智能等新型基础设施建设。 “新基建本质是数字化基建”,周鸿�t说,国家推动新基建,是很有前瞻性与魄力的决策,相当于我们又有机会比其他国家领先一步,尽快实现全社会、全行业数字化。 周鸿�t认为,随着新基建进一步促进网络空间与物理空间的连通和融合,加快了“大安全”时代的来临。网络安全不再只影响虚拟空间,而是扩展到了现实世界,对国家安全、社会安全、人身安全造成严重影响。 在周鸿�t看来,网络安全是新基建最重要的基础型技术之一,必须要在新基建推进过程中同步部署。只有构建新基建网络安全防护体系,才能保障新基建战略的顺利推进和数字经济的健康繁荣。 对此,周鸿�t提出四点建议: 一是要运用整体思维,规划新基建网络安全防护体系顶层设计; 二是要同步建设新基建的安全基础设施,聚焦新基建安全防能力构建; 三是要强化大数据平台安全,实现安全的大数据协同计算; 四是要开展常态化网络安全攻防对抗演习,持续检验和提升新基建安全能力 重点盯防关键基础设施与重度场景安全 在周鸿�t看来,网络安全贯穿新基建的战略安全、技术安全、应用安全和运行安全的始终,其中,最突出的是“一套关键基础设施”和“一个重度场景”的安全问题。 一套关键基础型设施指的是5G建设。“5G的价值并不简单地的是让我们手机看视频更快了,而是为我们整个产业互联网,整个物联网时代打造的。”周鸿�t说,作为新一代的数字基础设施,5G在赋能发展的同时也将引发新的网络安全风险,其安全性具有基础性和全局性意义。今年3月,工信部发布《关于推动5G加快发展的通知》,也明确表示,着力构建5G安全保障体系。 因此,周鸿�t建议,应当从战略高度审视5G网络安全的重大意义和紧迫性,加强5G安全的顶层设计,制定《国家5G安全战略》。 一个重度场景则指的是工业互联网。近年来,工业互联网备受重视。2018年,“发展工业互联网平台”首次写入政府工作报告;2019年政府工作报告明确指出“打造工业互联网平台,拓展‘智能+’,为制造业转型升级赋能”;今年,随着新基建的发展,工业互联网无疑将再次成为焦点。 “工业互联网是新基建最大的应用场景之一”,周鸿�t认为,保障新基建安全应重点“盯防”工业互联网的安全。对此,他建言加快推进工业互联网安全保障建设,为国家实体经济和社会保驾护航。 此外,周鸿�t还建议加强信创网络安全保障能力建设。信息技术创新应用作为我国信息技术领域打造自主创新生态的国家战略举措,也是新基建的重要抓手。他认为,未来3到5年,信创产品和解决方案将在更多领域规模化推广应用。其安全问题将面临前所未有的挑战,他建议要强化信创安全体系顶层设计、统筹构建安全保障体系。

优秀的个人博客,低调大师

工信部张峰就进一步做好5G研发提四建议

据工信部网站8日消息,2016年1月7日,5G技术研发试验启动会在北京举行。工业和信息化部总工程师张峰出席并致辞。 张峰指出,中共十八届五中全会通过了《关于制定国民经济和社会发展第十三个五年规划的建议》,明确提出要“加快构建高速、移动、安全、泛在的新一代信息基础设施”,要实施网络强国战略、国家大数据战略、“互联网+”行动计划,拓展网络经济空间,促进互联网和经济社会融合发展,这对我国信息通信业的发展提出了新的、更高的要求。5G是新一代移动通信技术发展的主要方向,不仅将进一步提升移动互联网用户体验,还将满足未来海量物联网设备联网需求,与工业、医疗、交通等重点行业深度融合,实现真正的“万物互联”,是未来新一代信息基础设施的重要组成部分。目前我国在5G概念和技术框架、关键技术研发、标准及频谱研究等方面取得了一定进展,为今后5G的应用和创新奠定了良好基础。今年,有关国际标准化组织将正式启动5G标准研究,在此重要时刻启动5G技术研发试验具有重要意义。 张峰就进一步做好5G研发与技术试验工作提出四点建议:一是加速推进,同步开展标准研制、产品研发和试验验证工作。二是聚集资源,形成合力,协同开展试验。三是注重开放,加强国际合作。四是注重应用牵引,加快融合发展。 本文转自d1net(转载)

资源下载

更多资源
Mario

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长,特征是大鼻子、头戴帽子、身穿背带裤,还留着胡子。与他的双胞胎兄弟路易基一起,长年担任任天堂的招牌角色。

腾讯云软件源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题,腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构,目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称,一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集,帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

WebStorm

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源,继承了IntelliJ IDEA强大的JS部分的功能。

用户登录
用户注册