vulnerability
5,469 次浏览
17 人讨论中
热门
最新内容
查看原文
您的 Web3 合约安全吗？ 🔐
#Thirdweb ，一家智能合约开发公司，报告了广泛使用的开源库中的一个严重安全漏洞，影响了各种 Web3 智能合约，敦促立即采取行动。
影响 DropERC20 和 ERC721 等合约的 #vulnerability 仍未被利用，为预防提供了一个短暂的窗口。
Thirdweb 建议合约用户采取缓解措施或使用 #revoke.cash 进行保护。
该公司加强了安全措施，将漏洞赏金支出增加了一倍，并承诺为合同缓解提供资助，并在 A 轮融资中筹集了 2400 万美元。
超过 70,000 名开发人员在使用其服务，Thirdweb 的主动警告凸显了 Web3 中安全智能合约开发的迫切需求。
#Binance
#crypto2023
#Thirdweb ，一家智能合约开发公司，报告了广泛使用的开源库中的一个严重安全漏洞，影响了各种 Web3 智能合约，敦促立即采取行动。
影响 DropERC20 和 ERC721 等合约的 #vulnerability 仍未被利用，为预防提供了一个短暂的窗口。
Thirdweb 建议合约用户采取缓解措施或使用 #revoke.cash 进行保护。
该公司加强了安全措施，将漏洞赏金支出增加了一倍，并承诺为合同缓解提供资助，并在 A 轮融资中筹集了 2400 万美元。
超过 70,000 名开发人员在使用其服务，Thirdweb 的主动警告凸显了 Web3 中安全智能合约开发的迫切需求。
#Binance
#crypto2023
查看原文
Progress Software 已发布紧急补丁，以修复其 #LoadMaster 和 LoadMaster 多租户 (MT) 虚拟机管理程序产品中的关键 #vulnerability (CVE-2024-7591)。此漏洞的最高严重性评分为 10/10，由于输入验证不当，远程攻击者可利用精心设计的 #HTTP 请求执行任意命令。此漏洞影响 LoadMaster 版本 7.2.60.0 及更早版本以及 MT Hypervisor 版本 7.1.35.11 及更早版本，包括长期支持 (LTS) 分支。已通过附加包发布了修复程序，但未涵盖 LoadMaster 的免费版本。虽然尚未收到任何漏洞利用报告，但还是敦促用户应用此补丁并遵循安全强化措施来保护其系统。
查看原文
@7h3h4ckv157
CVE-2024-49112
严重的远程代码执行漏洞 #vulnerability 影响Windows LDAP客户端，CVSS评分为9.8。此漏洞可能允许一个没有特权的攻击者通过向服务器发送一组特殊的LDAP调用，在Active Directory服务器上运行任意代码。
微软建议所有Active Directory服务器配置为不接受来自不可信网络的远程过程调用（RPC），并修补此漏洞。
CVE-2024-49112
严重的远程代码执行漏洞 #vulnerability 影响Windows LDAP客户端，CVSS评分为9.8。此漏洞可能允许一个没有特权的攻击者通过向服务器发送一组特殊的LDAP调用，在Active Directory服务器上运行任意代码。
微软建议所有Active Directory服务器配置为不接受来自不可信网络的远程过程调用（RPC），并修补此漏洞。
查看原文
#vulnerability
Juniper警告关于针对会话智能路由器的Mirai僵尸网络攻击
#JuniperNetworks 已发布关于针对使用默认凭据的会话智能路由器的基于Mirai的#botnet 的安全警报。该恶意软件扫描易受攻击的设备，执行远程命令，并启用#DDoS 攻击。
关键的妥协指标包括暴力破解登录尝试、出站流量激增、设备行为不稳定以及对常见端口的扫描。Juniper敦促用户更换默认密码、更新固件、监控日志并部署防火墙。感染的设备必须重新映像，以确保完全消除威胁。
建议管理员采取强大的安全措施以防止进一步的攻击。
Juniper警告关于针对会话智能路由器的Mirai僵尸网络攻击
#JuniperNetworks 已发布关于针对使用默认凭据的会话智能路由器的基于Mirai的#botnet 的安全警报。该恶意软件扫描易受攻击的设备，执行远程命令，并启用#DDoS 攻击。
关键的妥协指标包括暴力破解登录尝试、出站流量激增、设备行为不稳定以及对常见端口的扫描。Juniper敦促用户更换默认密码、更新固件、监控日志并部署防火墙。感染的设备必须重新映像，以确保完全消除威胁。
建议管理员采取强大的安全措施以防止进一步的攻击。
查看原文
#Nvidia Container Toolkit 中的关键 #vulnerability （追踪为 CVE-2024-0132 ）对使用该工具包进行 #GPU 存取的 #AI爆发 个应用程式构成重大风险。此缺陷允许攻击者执行容器逃逸攻击，获得对主机系统的完全控制，这可能导致命令执行和资料外泄。此问题影响 NVIDIA Container Toolkit 版本 1.16.1 及更早版本以及 GPU Operator 24.6.1 及更早版本。
此漏洞源自于容器化 GPU 和主机之间的隔离不充分，从而使容器能够存取主机档案系统和可写入 Unix 套接字的敏感部分。这种安全风险在超过 35% 的云端环境中普遍存在，特别是因为许多 AI 平台都预先安装了受影响的库。
Wiz Research 于 9 月 1 日向 NVIDIA 报告了该问题，NVIDIA 不久后也承认了这一问题，并于 9 月 26 日发布了修复程序。建议用户升级到NVIDIA Container Toolkit版本1.16.2和GPU Operator版本24.6.2。利用此漏洞的技术细节将在稍后发布，以便组织有时间缓解该问题（作者：Bill Toulas）
此漏洞源自于容器化 GPU 和主机之间的隔离不充分，从而使容器能够存取主机档案系统和可写入 Unix 套接字的敏感部分。这种安全风险在超过 35% 的云端环境中普遍存在，特别是因为许多 AI 平台都预先安装了受影响的库。
Wiz Research 于 9 月 1 日向 NVIDIA 报告了该问题，NVIDIA 不久后也承认了这一问题，并于 9 月 26 日发布了修复程序。建议用户升级到NVIDIA Container Toolkit版本1.16.2和GPU Operator版本24.6.2。利用此漏洞的技术细节将在稍后发布，以便组织有时间缓解该问题（作者：Bill Toulas）
查看原文
#CyversAlerts
我们的系统在几小时前检测到多个涉及未验证借贷合同的可疑交易，涉及 #Base。
攻击者最初进行了可疑交易，从这些未验证的合同中获得了约 $993K。大部分代币被交换并桥接到 #Ethereum 链上，约 $202K 被存入 #TornadoCash 。
攻击者通过利用同样的 #vulnerability 获得了额外的 $455K。根本原因似乎是通过过度借贷对 WETH 进行价格操纵。
我们的系统在几小时前检测到多个涉及未验证借贷合同的可疑交易，涉及 #Base。
攻击者最初进行了可疑交易，从这些未验证的合同中获得了约 $993K。大部分代币被交换并桥接到 #Ethereum 链上，约 $202K 被存入 #TornadoCash 。
攻击者通过利用同样的 #vulnerability 获得了额外的 $455K。根本原因似乎是通过过度借贷对 WETH 进行价格操纵。
查看原文
#AnciliaInc
似乎 #BSC 上的 #RDNTCapital 合约出现了问题。
我们注意到用户账户通过合约 0xd50cf00b6e600dd036ba8ef475677d816d6c4281 进行了多次转账。
请尽快撤销您的批准。似乎新实施有 #vulnerability 个功能。
似乎在此 tx 0xd97b93f633aee356d992b49193e60a571b8c466bf46aaf072368f975dc11841c 上部署了一个后门合约，似乎已转出 1600 万美元以上。
交易哈希
#HackerAlert
$BNB
似乎 #BSC 上的 #RDNTCapital 合约出现了问题。
我们注意到用户账户通过合约 0xd50cf00b6e600dd036ba8ef475677d816d6c4281 进行了多次转账。
请尽快撤销您的批准。似乎新实施有 #vulnerability 个功能。
似乎在此 tx 0xd97b93f633aee356d992b49193e60a571b8c466bf46aaf072368f975dc11841c 上部署了一个后门合约，似乎已转出 1600 万美元以上。
交易哈希
#HackerAlert
$BNB
查看原文
WazirX 骇客攻击：深入探讨价值 2.3 亿美元的加密货币窃盗案及其影响
介绍：
在快速发展的加密货币世界中，安全漏洞仍然是迫在眉睫的威胁。 2024 年的 #wazirX 骇客攻击是加密货币行业最大的骇客攻击之一，由于对交易所多重签名钱包系统的高度复杂的利用，超过 2.3 亿美元的数位资产被盗。这次攻击暴露了 WazirX 安全基础设施中的漏洞，导致用户陷入财务困境，重新引发了有关去中心化金融平台安全性的讨论。本文详细介绍了这次骇客攻击的细节、后果以及为保护加密货币交易所的未来所学到的经验教训。
在快速发展的加密货币世界中，安全漏洞仍然是迫在眉睫的威胁。 2024 年的 #wazirX 骇客攻击是加密货币行业最大的骇客攻击之一，由于对交易所多重签名钱包系统的高度复杂的利用，超过 2.3 亿美元的数位资产被盗。这次攻击暴露了 WazirX 安全基础设施中的漏洞，导致用户陷入财务困境，重新引发了有关去中心化金融平台安全性的讨论。本文详细介绍了这次骇客攻击的细节、后果以及为保护加密货币交易所的未来所学到的经验教训。
翻译
The developer of #LNbank has announced another critical #vulnerability in the software, urging users to upgrade to LNbank v1.9.2 immediately. This version addresses the specific vulnerability and also disables the sending functionality to prevent further issues.
However, despite the fix, the developer has decided to discontinue the development of LNbank due to the inability to ensure its safety. This decision was made after considering the recent vulnerability reports and the potential risks involved in using the plugin. LNbank v1.9.2 will be the final version, and users are strongly advised to phase out its usage, particularly if it's publicly accessible.
The developer acknowledges the unexpected number of users using LNbank and emphasizes the importance of not risking significant funds with such plugins or nodes. The final version, v1.9.2, disables the sending functionality for added security, meaning users will need to manage their funds through Lightning node CLI or third-party tools.
For those having trouble upgrading to LNbank v1.9.2, the developer suggests uninstalling and then reinstalling the plugin. The data stored in the database will be retained during uninstallation, only removing the plugin code from the file system.
Any users requiring further assistance with the upgrade or other matters related to LNbank are encouraged to contact the developer (d11n) on their #Mattermost platform.
However, despite the fix, the developer has decided to discontinue the development of LNbank due to the inability to ensure its safety. This decision was made after considering the recent vulnerability reports and the potential risks involved in using the plugin. LNbank v1.9.2 will be the final version, and users are strongly advised to phase out its usage, particularly if it's publicly accessible.
The developer acknowledges the unexpected number of users using LNbank and emphasizes the importance of not risking significant funds with such plugins or nodes. The final version, v1.9.2, disables the sending functionality for added security, meaning users will need to manage their funds through Lightning node CLI or third-party tools.
For those having trouble upgrading to LNbank v1.9.2, the developer suggests uninstalling and then reinstalling the plugin. The data stored in the database will be retained during uninstallation, only removing the plugin code from the file system.
Any users requiring further assistance with the upgrade or other matters related to LNbank are encouraged to contact the developer (d11n) on their #Mattermost platform.
查看原文
Curve Finance 已向安全研究人员 Marco Croc 奖励 25 万美元，以奖励其系统内存在一个严重漏洞，该漏洞可能会给平台及其用户带来重大财务损失。
https://btc-pulse.com/curve-finance-rewards-security-researcher-250000/
@Curve Finance #vulnerability #hack
https://btc-pulse.com/curve-finance-rewards-security-researcher-250000/
@Curve Finance #vulnerability #hack
翻译
Via #AnciliaAlerts on X, @rugged_dot_art has identified a re-entrancy #vulnerability in a smart contract with address 0x9733303117504c146a4e22261f2685ddb79780ef, allowing an attacker to #exploit it and gain 11 #ETH . The attack transaction can be traced on #Etherscan at https://etherscan.io/tx/0x5a63da39b5b83fccdd825fed0226f330f802e995b8e49e19fbdd246876c67e1f. Despite reaching out to the owner three days ago, there has been no response.
The vulnerability resides in the targetedPurchase() function, where a user can input arbitrary swapParams, including commands to 4. This triggers the UNIVERSAL_ROUTER.execute() function, and as per Uniswap Technical Reference, command 4 corresponds to SWEEP, invoking the sweep() function. This function sends ETH back to the user's contract, leading to a re-entrancy issue.
Within targetedPurchase(), a balance check is performed before and after calling _executeSwap(). Due to the re-entrancy problem, a user can stake tokens (e.g., from a flashloan) to satisfy the balance check, ensuring a successful purchase action where tokens are transferred to the user. The urgency of the situation is underscored by the ongoing waiting period for the owner's response, emphasizing the need for prompt attention to mitigate potential exploitation.
The vulnerability resides in the targetedPurchase() function, where a user can input arbitrary swapParams, including commands to 4. This triggers the UNIVERSAL_ROUTER.execute() function, and as per Uniswap Technical Reference, command 4 corresponds to SWEEP, invoking the sweep() function. This function sends ETH back to the user's contract, leading to a re-entrancy issue.
Within targetedPurchase(), a balance check is performed before and after calling _executeSwap(). Due to the re-entrancy problem, a user can stake tokens (e.g., from a flashloan) to satisfy the balance check, ensuring a successful purchase action where tokens are transferred to the user. The urgency of the situation is underscored by the ongoing waiting period for the owner's response, emphasizing the need for prompt attention to mitigate potential exploitation.
查看原文
针对 Apple Silicon CPU 的新 #GoFetch 攻击可以窃取 #crypto 个金钥。
一种名为「GoFetch」的新侧通道攻击被发现，影响 Apple M1、M2 和 M3 处理器。此攻击针对使用现代 Apple CPU 中的资料记忆体相关预取器 (DMP) 的恒定时间加密实现，允许攻击者从 CPU 快取中窃取秘密加密金钥。 GoFetch 由一组研究人员开发，他们于 2023 年 12 月向 Apple 报告了他们的发现。由于这是一个基于硬体的漏洞，因此受影响的 CPU 无法修复。虽然软体修复可以缓解该缺陷，但它们会降低加密效能。此攻击利用了 Apple DMP 系统实作中的缺陷，违反了恒定时间编程原则。建议受影响的 Apple 装置的拥有者养成安全的运算习惯，包括定期更新和谨慎安装软体。虽然苹果可能会透过软体更新引入缓解措施，但它们可能会影响效能。禁用 DMP 可能是某些 CPU 的选项，但不适用于 M1 和 M2。该攻击可以远端执行，这使其成为用户的严重担忧。苹果尚未就此事发表进一步评论。
#hack #exploit #vulnerability
一种名为「GoFetch」的新侧通道攻击被发现，影响 Apple M1、M2 和 M3 处理器。此攻击针对使用现代 Apple CPU 中的资料记忆体相关预取器 (DMP) 的恒定时间加密实现，允许攻击者从 CPU 快取中窃取秘密加密金钥。 GoFetch 由一组研究人员开发，他们于 2023 年 12 月向 Apple 报告了他们的发现。由于这是一个基于硬体的漏洞，因此受影响的 CPU 无法修复。虽然软体修复可以缓解该缺陷，但它们会降低加密效能。此攻击利用了 Apple DMP 系统实作中的缺陷，违反了恒定时间编程原则。建议受影响的 Apple 装置的拥有者养成安全的运算习惯，包括定期更新和谨慎安装软体。虽然苹果可能会透过软体更新引入缓解措施，但它们可能会影响效能。禁用 DMP 可能是某些 CPU 的选项，但不适用于 M1 和 M2。该攻击可以远端执行，这使其成为用户的严重担忧。苹果尚未就此事发表进一步评论。
#hack #exploit #vulnerability
查看原文
🔻🔻$BTC ________🔥 BTC 更新⏫️⏫️⏫️
研究发现 Apple M 系列芯片中存在允许黑客检索私钥的漏洞
比特币 - 卖出
原因：苹果 M 系列芯片的漏洞可能会导致人们对数字安全的信心下降，从而可能对比特币的市场情绪产生负面影响。
信号强度：高
信号时间：2024-03-23 05:08:59 GMT
#hackers
#Apple #vulnerability #BTCUSDT #SignalAlert
始终是迪尔。这不是财务建议，而是我们对事件中最有可能的资产变动的看法。你的是啥呢？
研究发现 Apple M 系列芯片中存在允许黑客检索私钥的漏洞
比特币 - 卖出
原因：苹果 M 系列芯片的漏洞可能会导致人们对数字安全的信心下降，从而可能对比特币的市场情绪产生负面影响。
信号强度：高
信号时间：2024-03-23 05:08:59 GMT
#hackers
#Apple #vulnerability #BTCUSDT #SignalAlert
始终是迪尔。这不是财务建议，而是我们对事件中最有可能的资产变动的看法。你的是啥呢？