每日安全动态推送(12-1)

Tencent Security Xuanwu Lab Daily News

• CVE-2022-44635: Apache Fineract Remote Code Execution:

   ・ Apache Fineract金融服务项目中的文件上传模块存在路径穿越问题，可导致远程命令执行。 – 

• Specialized Zero-Knowledge Proof failures:

   ・ 零知识证明实现不当而被绕过的案例 – 

• Microsoft Exchange ProxyNotShell Remote Code Execution:

   ・ 微软Microsoft Exchange ProxyNotShell RCE漏洞的Exploit公布 – 

• [Linux] Linux Kernel: Infoleak in Bluetooth L2CAP Handling:

   ・ Linux内核蓝牙模块信息泄漏漏洞细节（CVE-2022-42895），可用于远程泄漏内核地址。 – 

• New Flaw in Acer Laptops Could Let Attackers Disable Secure Boot Protection:

   ・ 宏碁修复了一个固件漏洞，攻击者利用该漏洞可禁用 Secure Boot – 

• com 组件的从 0 到 1:

   ・ 从安全角度介绍windows com组件的原理及研究方法 – 

• [Tools, Network] Subdomain Enumeration with DNSSEC:

   ・ DNSSEC 的响应机制会泄漏字典序排列的前后可用子域名称，利用该机制可枚举存在的子域名 – 

• [Linux] Linux Kernel: UAF in Bluetooth L2CAP Handshake:

   ・ Linux内核蓝牙模块UAF漏洞细节（CVE-2022-42896），可用于远程代码执行。 – 

• [Vulnerability] CVE-2022-46146: Authentication Bypass in Open-Source Prometheus Project:

   ・ CNCF的prometheus存在一个缓存投毒导致的认证绕过问题，攻击者可以通过污染计算密码hash的缓存，从而实现使用密码hash而不是密码就可以实现认证。 – 

* 查看或搜索历史推送内容请访问：

* 新浪微博账号：腾讯玄武实验室