Archive For 五月, 2018

3 articles

天融信关于PGP与S/MIME信息泄露漏洞预警

一、背景介绍

PGP(Pretty Good Privacy),是一个基于对称加密算法IDEA的邮件加密软件。可以用它对邮件保密以防止非授权者阅读,它还能对邮件加上数字签名从而使收信人可以确认邮件的发送者,并能确信邮件没有被篡改。它可以提供一种安全的通讯方式,而事先并不需要任何保密的渠道用来传递密匙。它采用了一种RSA和传统加密的杂合算法,用于数字签名的邮件文摘算法,加密前压缩等,还有一个良好的人机工程设计。它的功能强大,有很快的速度。

S/MIME是从PEM和MIME发展而来的。S/MIME是利用单向散列算法(如SHA-1、MD5等)和公钥机制的加密体系。 S/MIME的证书格式[......]

Read more

Nagiosxi漏洞分析与验证

一、背景介绍

Nagios是一个流行的电脑系统和网络监控程序,它检测主机和服务,当异常发生和解除时能提醒用户。nagiosxi是一个企业级服务器和网络监控软件。

1.1 漏洞描述

近日,nagiosxi系统被爆了四个CVE漏洞,并且如果将这四个漏洞连起来使用,就能以root权限执行远程代码。

1.2 受影响的系统版本

Nagios XI 5.2.6 < 5.2.9 / 5.3 / 5.4

1.3 漏洞编号

CVE-2018-8734

CVE-2018-8733

CVE-2018-8735

CVE-2018-8736

二、漏洞细节

[......]

Read more

GitStack 远程命令执行漏洞分析

一、背景介绍

GitStack是一款可以在Windows上设置自己的专用Git服务器的软件。利用它可以创建一个前沿版本控制系统,而无需任何Git知识。 GitStack也使得安全并保持服务器更新变得非常简单。 GitStack构建在真正Git for Windows的顶部,并且与任何其他Git客户端兼容。 GitStack对于小型团队来说是完全免费的。

1.1漏洞描述

在GitStack <=13.1.0版本中,程序没有严格控制用户权限,导致攻击者可进行任意添加用户等操作,并且由于没有严格控制并过滤用户的输入,导致攻击者可构造恶意payload,造成命令执行漏洞。[......]

Read more