渊龙Sec安全团队博客

2023-7-11阅读(4024)评论(0)

1# 漏洞概述 泛微协同管理应用平台e-cology是一套兼具企业信息门户、知识文档管理、工作流程管理、人力资源管理、客户关系管理、项目管理、财务管理、资产管理、供应链管理、数据中心功能的企业大型协同管理平台。 近期，发现各家安全厂商对漏洞发出通告，我们团队也跟进信息 该漏洞为渊龙Sec安全团队，提交给360BugCloud平台的原创漏洞...

2023-5-17阅读(4486)评论(0)

1# 漏洞概述 用友 NC 是一款企业级 ERP 软件。提供了一系列的业务管理模块，包括财务会计、采购管理、销售管理、物料管理、生产计划、人力资源管理等，可以帮助企业实现信息化管理和数字化转型。 2023 年 5 月 16 日 ， 团队情报部门和师傅发现出现用友NC相关服务出现失陷情况，紧急分析后猜测可能出现相关0Day漏洞。 2023 年 5...

2023-4-19阅读(2073)评论(0)

1# 漏洞概述 WebLogic是美国Oracle公司出品的一个application server，是一个基于JAVAEE架构的中间件，WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。 2023 年 4 月 19 日 ， Oracle 发 布 安 全 补 丁 修 复 WebLogic 中 ...

2022-8-30阅读(1891)评论(0)

1# 事件概述 用友畅捷通 T+是一款基于互联网的新型企业管理软件，功能模块包括：财务管理、采购管理、库存管理等。主要针对中小型工贸和商贸企业的财务业务一体化应用，融入了社交化、移动化、物联网、电子商务、互联网信息订阅等元素。 8月30日凌晨，针对用友畅捷通T+软件客户遭受勒索病毒攻击一事，畅捷通方面在官方微信公号“畅捷通”发布了相关说明，称仅有少数...

2022-5-23阅读(1515)评论(0)

1#漏洞概述 近日Fastjson Develop Team 发现 fastjson 1.2.80及以下存在新的风险，攻击者可以利用该漏洞攻击远程服务器, 可能会造成任意命令执行。 Fastjson 是一个 Java 库，可用于将 Java 对象转换为其 JSON字符串表示形式, 还可用于将 JSON 字符串转换为等效的 Java 对象。 2#...

2022-3-30阅读(3783)评论(0)

1#漏洞概述 3月29日，Spring框架曝出RCE 0day漏洞。已经证实由于 SerializationUtils#deserialize 基于 Java 的序列化机制，可导致远程代码执行 (RCE)，使用JDK9及以上版本皆有可能受到影响。 相关监测发现该漏洞可能已被远程攻击者利用，广东省网络安全应急响应中心连夜发布预警通知，考虑到Spring...

2022-3-27阅读(1633)评论(0)

1#漏洞描述 Google已经为Windows、Mac和Linux用户发布了Chrome 99.0.4844.84，以解决一个在外部被利用的高严重性零日漏洞。浏览器供应商在周五发布的安全公告中说："Google已经得知CVE-2022-1096的一个漏洞存在于外部。" 近日，Edge 和 Chrome 浏览器都收到了一个紧急补丁，以修补 Chromi...

2022-3-26阅读(5312)评论(0)

1#漏洞描述 近日，网络安全圈子内有关于 Spring Cloud Function远程代码执行漏洞的细节被流传，团队成员拿到后，经过分析后确认漏洞存在且有效。 Spring Cloud Function 是基于 Spring Boot 的函数计算框架，它抽象出所有传输细节和基础架构，允许开发人员保留所有熟悉的工具和流程，并专注于业务逻辑。 由于S...

2022-3-24阅读(3668)评论(0)

0#前言 说到底，事件才是网络安全的第一驱动力 没有事件，即便是超危漏洞也无人问津 1#漏洞描述 WPS Office是由北京金山办公软件股份有限公司自主研发的一款办公软件套装，可以实现办公软件最常用的文字、表格、演示，PDF阅读等多种功能。具有内存占用低、运行速度快、云功能多、强大插件平台支持、免费提供在线存储空间及文档模板的优点。 北京...

2021-12-28阅读(1166)评论(0)

0#前言 近日，网络上出现 Apache APISIX Dashboard 身份验证绕过漏洞，攻击者可通过该漏洞绕过身份验证过程并通过某些 API 端点未经授权访问应用程序。 1#漏洞描述 Apache APISIX 是一个动态、实时、高性能的 API 网关， 提供负载均衡、动态上游、灰度发布、服务熔断、身份认证、可观测性等丰富的流量管理功能。Ap...