安全研究
安全漏洞
-
- 1.2014-09-25 GNU Bash 环境变量远程命令执行漏洞(CVE-2014-6271)
- NSFOUCS ID: 27942
- 综述:
GNU Bash（Bourne again shell）是一个为GNU计划编写的Unix shell。
GNU Bash 4.3及之前版本在处理某些构造的环境变量时存在安全漏洞，向环境变量值内的函数定义后添加多余的字符串会触发此漏洞。 - 危害:
- 攻击者可利用此漏洞改变或绕过环境限制，以执行shell命令。
-
- 2.2014-09-10 Microsoft Internet Explorer远程内存破坏漏洞(CVE-2014-2799)(MS14-052)
- NSFOUCS ID: 27751
- 综述:
Internet Explorer是微软公司推出的一款网页浏览器。
Internet Explorer 6, 7, 8, 9, 10, 11版本不正确地访问内存中的对象时，存在远程执行代码漏洞。 - 危害:
- 远程攻击者可以通过诱使受害者打开恶意网页来利用此漏洞，从而控制受害者系统。
-
- 3.2014-09-18 Google Android Browser同源策略安全限制绕过漏洞(CVE-2014-6041)
- NSFOUCS ID: 27847
- 综述:
Android是基于Linux开放性内核的操作系统，是Google公司在2007年11月5日公布的手机操作系统。
Android浏览器应用4.2.1版本在实现上存在安全限制绕过漏洞，远程攻击者通过包含\u0000字符的构造属性，利用此漏洞可绕过同源策略。 - 危害:
- 攻击者可以利用此漏洞窃取受害者访问过的网站的敏感信息。
-
- 4.2014-09-18 Adobe Reader及Acrobat堆缓冲区溢出漏洞(CVE-2014-0561)
- NSFOUCS ID: 27849
- 综述:
Adobe Reader是美国Adobe公司开发的一款优秀的PDF文档阅读软件。
Adobe Reader 多个版本在实现上存在堆溢出漏洞，成功利用后可导致代码执行。 - 危害:
- 攻击者可以通过诱使受害者打开恶意pdf文件来利用此漏洞，从而控制受害者系统。
-
- 5.2014-09-10 Google Chrome多个安全漏洞(CVE-2014-3179)
- NSFOUCS ID: 27782
- 综述:
Google Chrome是由Google开发的一款Web浏览工具。
Google Chrome 37.0.2062.120之前版本存在多个漏洞，目前细节未知。 - 危害:
- 远程攻击者可以通过诱使受害者打开恶意网页来利用此漏洞，从而控制受害者系统。
-
- 6.2014-09-10 Adobe Flash Player及AIR堆缓冲区溢出漏洞(CVE-2014-0556)
- NSFOUCS ID: 27780
- 综述:
Adobe Flash Player是一个集成的多媒体播放器。Adobe AIR是针对网络与桌面应用的结合所开发出来的技术，可以不必经由浏览器而对网络上的云端程式做控制。
Adobe Flash Player, Adobe AIR, Adobe AIR SDK的多个版本存在缓冲区溢出漏洞，可使攻击者执行任意代码或造成拒绝服务。 - 危害:
- 攻击者可以通过诱使受害者打开恶意swf文件来利用此漏洞，从而控制受害者系统。
-
- 7.2014-09-18 WebKit多个内存破坏漏洞
- NSFOUCS ID:
- 综述:
WebKit是一个开源的浏览器引擎，也是苹果Mac OS X 系统引擎框架版本的名称。
WebKit在实现上存在多个内存破坏漏洞，攻击者可利用此漏洞在受影响浏览器上下文中执行任意代码，或者造成拒绝服务。 - 危害:
- 远程攻击者可以通过诱使受害者打开恶意网页来利用此漏洞，从而控制受害者系统。
-
- 8.2014-09-11 Apache Tomcat任意文件上传漏洞(CVE-2013-4444)
- NSFOUCS ID: 27758
- 综述:
Apache Tomcat是一个流行的开源JSP应用服务器程序。
Tomcat 7.0.0-7.0.39版本在某些涉及到废弃java.io.File代码和自定义JMX配置情况下，允许攻击者上传恶意JSP到Tomcat服务器，并触发执行这些JSP代码。 - 危害:
- 远程攻击者可以通过向服务器发送恶意请求来利用此漏洞，从而控制服务器。
-
- 9.2014-09-04 WordPress Advanced Access Manager插件任意文件覆盖漏洞（CVE-2014-6059）
- NSFOUCS ID: 27684
- 综述:
Advanced Access Manager插件是访问控制和安全增强工具，可对单个博客或多站点网络进行灵活的控制。
Advanced Access Manager 2.8.2及其他版本允许对任意文件写入任意内容，根据服务器配置，这有可能导致任意代码执行、覆盖核心文件或者上传目录内的文件。 - 危害:
- 远程攻击者可以通过向服务器发送恶意请求来利用此漏洞，从而控制服务器。
-
- 10.2014-09-19 Zend Framework "Zend_Db_Adapter_Sqlsrv"空字节SQL注入漏洞
- NSFOUCS ID:
- 综述:
Zend Framework (ZF) 是一个开放源代码的 PHP5 开发框架，可用于来开发 web 程序和服务。
Zend Framework 1.12.9、2.2.8、2.3.3之前版本没有正确过滤"Zend_Db_Adapter_Sqlsrv"类(/Db/Adapter/Sqlsrv.php)内的某些输入，如果含有URL编码的空字节，则可导致注入任意SQL代码，操纵SQL查询。 - 危害:
- 远程攻击者可以通过向服务器发送恶意请求来利用此漏洞，从而控制服务器。
本安全漏洞由绿盟科技翻译整理，版权所有，未经许可，不得转载
绿盟科技给您安全的保障
绿盟科技给您安全的保障