SSD 安全公告-McAfee LiveSafe MiTM 注册表 修改导致远程执行命令漏洞

漏洞概要
以下安全公告描述了在 McAfee LiveSafe (MLS) 中存在的一个远程命令执行漏洞,该漏洞影响了McAfee LiveSafe(MLS)16.0.3 之前全部版本. 之前全部版本. 漏洞允许网络攻击者通过篡改 HTTP 后端响应, 进而修改与 McAfee 更新相关的 Windows 注册表值.

McAfee Security Scan Plus 是一个免费的诊断工具,通过主动地检查计算机中最新的防病毒软件、防火墙和网络安全软件更新,确保用户免受威胁,同时还会扫᧿正在运行程序中的威胁.

漏洞ᨀ交者
一家独立的安全研究公司 Silent Signal 向 Beyond Security 的 SSD 报告了该漏洞。

厂商响应
厂商已经发布针对该漏洞的补丁地址。获取更多信息: https://service.mcafee.com/webcenter/portal/cp/home/articleview?articleId=TS102714
CVE: CVE-2017-3898

Continue reading SSD 安全公告-McAfee LiveSafe MiTM 注册表 修改导致远程执行命令漏洞

SSD安全公告–Ametys CMS未经身份验证

漏洞概要
下面我们将描述在Ametys CMS 4.0.2版本中发现的密码重置漏洞。

Ametys是一个免费的开源内容管理系统(CMS),它基于JSR-170存储内容,有公开的小工具和一个面向xml的框架。

漏洞提交者
一位独立的安全研究人员—何塞·路易斯(Jose Luis),向Beyond Security的SSD报告了该漏洞。

厂商响应
Ametys已经发布了修补该漏洞的补丁-Ametys CMS 4.0.3

获取更多细节:https://issues.ametys.org/browse/RUNTIME-2582

Continue reading SSD安全公告–Ametys CMS未经身份验证

SSD安全公告 – Mac OS X 10.12隔离机制绕过漏洞

漏洞概要
Mac OS X存在一个漏洞,该漏洞允许攻击者绕过Apple的隔离机制,不受任何限制执行任意JavaScript代码.

漏洞提交者
来自WeAreSegment的安全研究者Filippo Cavallarin向Beyond Security的SSD报告了该漏洞.

厂商响应

苹果公司已于2017年6月27日收到了我们的报告,并和我们进行了多次沟通。苹果公司通知我们,在即将发布的High Sierra操作系统中会修补这个漏洞。这之后,苹果公司再没有提供任何其他信息 – 既没有链接公告,也没有提供关于CVE编号分配的任何信息.

我们已经验证在Mac OS X High Sierra中已不存在该漏洞。对于该漏洞的解决办法是升级到Mac OS X High Sierra,或者移除rhtmlPlayer.html文件修复该漏洞.

Continue reading SSD安全公告 – Mac OS X 10.12隔离机制绕过漏洞