深入探析jdk7u21到jdk8u20原生反序列化 文章详细探讨了Java反序列化漏洞在JDK7u21和8u20版本中的利用方法及修复策略。通过反射修改TemplatesImpl字段并结合AnnotationInvocationHandler动态代理，在HashMap中触发恶意代码执行。针对8u20版本，则需调整序列化数据结构并利用BeanContextSupport类绕过安全机制。文章还提供了工具和技术细节以辅助分析与防御。... 2025-5-14 09:24:18 | 阅读: 4 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com importjava writeobject

关于360数字安全公众号对于迪奥20万数据泄露的合理推测 这篇文章批评了360数字安全公众号在报道迪奥用户数据泄露事件时的数据来源不实问题。文中指出，所谓的20万用户数据泄露实际是香奈儿的事件，并非迪奥官方所称的具体情况。作者推测360可能误引用了AI生成的文章标题，并未核实内容准确性。最终，360修改了推文标题以修正错误。... 2025-5-14 03:35:14 | 阅读: 12 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 数据 迪奥 信息

CISA将TeleMessage漏洞列入高危漏洞目录 要求三周内完成修复 美国网络安全机构CISA将TeleMessage即时通讯应用的严重漏洞列入已知被利用目录，要求联邦机构三周内修复。该应用曾被特朗普政府官员使用，在数据泄露后暂停服务。安全研究员发现其加密模型存在重大缺陷，导致聊天记录未完全加密。CISA此举旨在警告该软件安全隐患，并敦促政府机构采取行动。... 2025-5-13 12:35:43 | 阅读: 3 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 漏洞 加密 kev telemessage

Windows DWM 零日漏洞允许攻击者提权至系统权限 微软修复了Windows桌面窗口管理器（DWM）中的一个关键零日漏洞（CVE-2025-30400），该漏洞可使攻击者获得SYSTEM级权限。该漏洞源于内存管理缺陷，在野外被积极利用。微软已发布修复程序，并建议用户立即更新以降低风险。... 2025-5-13 10:59:22 | 阅读: 4 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 漏洞 windows 攻击 攻击者

FortiVoice 零日漏洞遭野外利用执行任意代码 Fortinet披露关键级缓冲区溢出漏洞CVE-2025-32756，影响其多款安全产品。该漏洞允许远程未认证攻击者通过特制HTTP请求执行任意代码或命令。已确认有攻击者针对FortiVoice系统实施野外利用，进行内网扫描、窃取凭证等恶意活动。 Fortinet已发布安全补丁，并提供入侵指标和检测方法。建议用户立即更新至最新版本或采取临时缓解措施以降低风险。... 2025-5-13 08:54:44 | 阅读: 6 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 漏洞 fcgi 攻击 fortivoice

ENISA：欧盟新漏洞数据库将作为CVE计划的补充而非竞争者 欧盟上线了新的漏洞数据库EUVD（欧盟漏洞数据库），旨在补充CVE计划，并为涉及欧洲企业的漏洞分配独立编号。该数据库由ENISA运营，并与CVE建立交叉引用关系。专家对此褒贬不一，认为其可能提升安全标准但也带来协调难题。目前EUVD仍处于测试阶段。... 2025-5-13 08:43:17 | 阅读: 4 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 漏洞 euvd 数据 数据库

Ivanti ITSM 曝出CVSS 9.8认证绕过漏洞，可获取完全管理员权限 Ivanti修复了Neurons for ITSM中的关键漏洞（CVE-2025-22462），CVSS评分9.8分。该漏洞允许未经身份验证的攻击者获取管理员权限。仅影响本地部署版本，已发布安全补丁并建议实施安全配置以降低风险。... 2025-5-13 08:37:14 | 阅读: 4 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 ivanti 漏洞 itsm neurons

FreeBuf早报 | AI工具沦为木马载体；朝鲜APT37隐秘攻击手法曝光 文章概述了全球网络安全事件与技术动态：AI工具被用于传播木马与窃密程序；朝鲜APT37组织利用钓鱼邮件实施攻击；Roblox被指控非法收集儿童数据；Windows 11提供蓝屏故障排查指南；华硕DriverHub和macOS存在远程代码执行漏洞；.NET恶意软件隐藏载荷；GNU Screen有本地提权风险；Linux系统面临ClickFix攻击测试；虚拟首席信息安全官（vCISO）职业兴起。... 2025-5-13 06:38:5 | 阅读: 3 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 漏洞 安全 数据 攻击 木马

用友 U8Cloud MeasureQueryByToolAction SQL注入漏洞分析 U8cloud系统MeasureQueryByToolAction接口存在SQL注入漏洞，影响多个版本。攻击者可通过构造恶意`query_id`参数执行任意SQL语句，导致敏感信息泄露。修复建议包括安装补丁或使用占位符避免注入。... 2025-5-13 03:25:11 | 阅读: 0 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com strrepid strmq cks mqcondvos

英特尔CPU新型漏洞可泄露特权内存敏感数据 文章介绍了一种名为"分支特权注入"（CVE-2024-45332）的新漏洞，影响第九代及之后的英特尔CPU。该漏洞利用分支预测器的竞态条件问题，在用户模式切换到内核模式时破坏隔离机制，使攻击者可窃取敏感数据如密码和加密密钥。研究人员开发的攻击方法在Ubuntu系统上成功读取机密文件。英特尔已发布微码更新修复漏洞，但修复可能导致性能下降约1.6%至8.3%。... 2025-5-13 03:0:0 | 阅读: 3 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 攻击 lake 漏洞 数据

WebSocket 安全测试入门实践 文章介绍了WebSocket协议的全双工通信机制及握手过程，分析了其安全隐患如未授权访问和跨站脚本攻击，并总结了常见漏洞测试方法及安全建议。... 2025-5-13 02:48:31 | 阅读: 3 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 数据 漏洞 攻击 攻击者 安全

人工智能攻防战：网络安全专家如何以彼之矛攻彼之盾 文章探讨了自主人工智能（Agentic AI）在网络安全中的双刃剑效应及其与代理服务器的协同防御机制。自主AI可优化决策并执行多样化任务，但也可能被用于恶意活动如深度伪造钓鱼攻击。同时，AI可作为防御工具，例如通过聊天机器人消耗诈骗分子精力。代理服务器在网络安全中具有双重作用：既可能被用于攻击如僵尸网络和DDoS攻击，也可用于防御如沙箱环境中的威胁检测和情报收集。AI与代理技术的结合可提升网络监测、威胁预检和智能学习能力。尽管存在伦理和技术风险，但自主AI和代理技术的应用展示了巨大的防御潜力，并正在重塑网络安全的攻防平衡。... 2025-5-12 22:0:57 | 阅读: 3 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 代理 网络 攻击 威胁

漏洞预警：CVE-2025-31258 macOS远程视图服务沙箱逃逸漏洞PoC已公开 苹果修复macOS漏洞CVE-2025-31258，该漏洞可致恶意应用突破沙箱限制获取未授权访问权限。已在macOS Sequoia 15.5版本中修复，建议用户立即更新。... 2025-5-12 18:37:17 | 阅读: 5 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 漏洞 苹果 修复 补丁

GNU Screen 曝多漏洞：本地提权与终端劫持风险浮现 SUSE安全团队发现GNU Screen工具存在多处严重漏洞，包括本地提权至root权限、终端重连竞争条件、默认全局可写PTY等问题。这些漏洞影响Screen 5.0.0及4.9.x版本，在Arch Linux、NetBSD等系统中尤为突出。建议避免以setuid-root权限安装Screen，并修复权限管理模型以提升安全性。... 2025-5-12 16:45:58 | 阅读: 5 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 漏洞 setuid 46802 suse

2025年API安全防护：安全团队必备的十大最佳实践 文章探讨了2025年API安全的重要性，提出通过认证授权、加密传输、威胁检测等措施构建防护体系，并强调持续测试和事件响应的重要性。... 2025-5-12 16:11:21 | 阅读: 3 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 数据 加密 攻击 控制

像素隐匿：.NET恶意软件将载荷藏身位图资源 Palo Alto Networks团队发现一种利用隐写术的高级混淆技术，攻击者将恶意软件隐藏在合法.NET应用程序的位图资源中，并通过恶意垃圾邮件传播。该技术分四阶段感染链释放远程访问木马（RAT），最终载荷为Agent Tesla变种。防御建议利用调试接口检测可疑行为。... 2025-5-12 16:5:44 | 阅读: 3 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 位图 攻击 攻击者 数据

Roblox 遭集体诉讼：被指控通过隐蔽追踪手段牟取儿童数据利益 知名儿童青少年平台Roblox因涉嫌未经同意秘密采集未成年用户数据而面临集体诉讼。原告指控其通过内置追踪代码收集键盘输入、聊天内容等敏感信息，并将数据与第三方广告商共享以牟利，违反《儿童在线隐私保护法案》（COPPA）。案件若成立将面临巨额罚款及更严格监管。安全专家建议家长重视设备安全防护。... 2025-5-12 15:31:34 | 阅读: 5 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 数据 roblox 家长 指控

VPC1红队内网渗透靶场-PHPRCE-永恒之蓝-防火墙上线-密码喷射-DC域控提权-weblogic 本文记录了一次靶场实战演练的详细过程，包括环境搭建、信息收集、漏洞利用（如PHP-CGI、永恒之蓝）、权限提升及内网横向移动等环节。通过实践巩固了对常见漏洞的理解，并提升了实际操作中的问题解决能力。... 2025-5-12 13:8:2 | 阅读: 6 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 windows 上线 php 信息

Java 代码审计漏洞深度剖析：XStream 反序列化漏洞全解析 这篇文章介绍了XStream在Java中的功能及其反序列化漏洞。XStream支持对象与XML/JSON的高效互转，但其反序列化过程存在安全风险。攻击者可利用动态代理和隐式方法调用触发恶意代码执行。文章还分析了历史漏洞案例（如CVE-2013-7285和CVE-2021-39149）及防御机制的局限性。... 2025-5-12 12:31:15 | 阅读: 3 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 代理 漏洞 proxy

华硕DriverHub漏洞允许恶意网站以管理员权限执行命令 华硕DriverHub驱动管理工具存在远程代码执行漏洞（CVE-2025-3462/CVE-2025-3463），攻击者可利用恶意网站诱使用户设备执行任意命令。该漏洞影响所有安装DriverHub的设备，华硕已发布修复补丁建议用户更新以避免风险。... 2025-5-12 09:26:46 | 阅读: 3 | 收藏 | FreeBuf网络安全行业门户 - www.freebuf.com 安全 driverhub 华硕 漏洞 攻击