IT之家11月9日消息，软件开发商Veritas本周发布安全通告，声称其 Windows 平台网络备份系统工具NetBackup存在一项提权漏洞，黑客可利用该漏洞远程执行代码IT之家获悉，该漏洞CVSS评分为7.8分，主要影响NetBackup客户端10.0至10.4.0.1版本，如果黑客获得安装NetBackup的磁盘根目录的写入权限，就可以利用该漏洞部署恶意DLL文件，一旦

IT之家11月7日消息，德国联邦司法部11月4日发布了一项计算机刑法草案，旨在明确IT安全研究人员“白帽黑客”的某些行为不会受到计算机刑法的惩罚。“任何想要检测并弥补IT安全漏洞的人都不应该面临刑事责任的风险。”德国联邦司法部长Dr.MarcoBuschmann在新闻稿中表示：“那些想要弥补IT安全漏洞的人应该得到认可，而不是一封检察官的来信……通过这项法律草案，我们将消除承担这一重要任务的人员承

AI首次发现真实世界中的重大安全漏洞？SQLite中的一个漏洞，幸运地被谷歌研究者的AIAgent发现了，修复后并未造成任何损失。莫非AI再进化一番，微软的全球蓝屏事故就可以永久避免了？这个可能性令人激动不已。LLM居然在真实世界的代码中，发现了一个漏洞？想象一下，AI正在默默地守护着我们日常使用的软件。忽然，它发现了一个你我可能从未察觉的安全隐患，并且悄无声息地把它修复了！就在刚刚，谷歌的Big

感谢IT之家网友KylinDemons、输入法、koraori、Coje_He的线索投递！IT之家9月27日消息，Linux圈曝出严重远程代码执行（RCE）漏洞，已存在10多年，几乎影响所有GNU/Linux发行版，目前尚未有修复补丁，不过可以缓解。软件开发人员SimoneMargaritelli于9月23日在X平台发布推文，率先曝料了这些RCE漏洞，目前已经通知相关开发团队，并会在未来两周内完全

IT之家9月13日消息，根据CVE官网当地时间本月4日发布的记录信息（编号CVE-2024-42642），采用M3CR046固件的英睿达MX500固态硬盘容易受到缓冲区溢出的影响，可通过将特定ATA数据包从主机发送至固态硬盘主控的方式触发缓冲区溢出。CVE-2024-42642指向的Github页面显示，该漏洞与固态硬盘主控对固件更新的处理有关。MX500是英睿达的一款经典中高端SATA6Gbps

IT之家8月27日消息，网络安全公司Flashpoint发布最新报告，称2024年上半年（1-6月）累计发现17518个漏洞，数量同比增加11%，其中超过45%的漏洞CVSSv3中被评为“高危”或“关键”。IT之家援引报道称，信息窃取类恶意软件不断增加，今年上半年有1300多万台设备受到感染，5300多万个凭证被泄露。Redline是最多产的信息窃取软件，感染了300多万台主机，流出了1000多万

IT之家8月20日消息，据AMD官网安全公告和简报页面，该企业已于当地时间19日为代号“Matisse”的锐龙3000系列台式机处理器推送了Sinkclose漏洞缓解补丁。AMD是在当地时间8月9日公布Sinkclose这一编号为CVE-2023-31315的高危漏洞的。根据描述，该漏洞是因为处理器的MSR（特殊模块寄存器）中存在不正确验证，可能允许具有ring0访问权限的恶意程序在启用SMM（系

IT之家8月20日消息，谷歌宣布将于8月底终止其运行近7年的GooglePlay安全奖励计划（GPSRP）。谷歌在近日发送给开发者的邮件中表示，由于Android操作系统安全性的整体提升和功能加固工作的进展，可供安全研究人员挖掘的漏洞数量减少，因此决定结束GPSRP计划。该计划将于8月31日正式终止，此前提交的漏洞报告将在9月15日前进行评估，最终奖励决定将于9月底做出。据IT之家了解，GPSRP

IT之家8月12日消息，据外媒Wired报道，三位谷歌安全研究人员当地时间本月9日在美国拉斯维加斯举行的DEFCON32安全会议上演示了超过9个高通AdrenoGPU驱动漏洞。IT之家了解到，AdrenoGPU驱动程序负责协调GPU硬件同Android等操作系统的通信，在系统内核中拥有深层权限。而Android手机上的应用程序可直接同高通AdrenoGPU驱动通信，不存在沙箱、额外权限检查。攻击者

IT之家8月10日消息，安全公司Bitdefender发布报告披露宁波德业（Deye）公司生产的太阳能逆变器系统存在严重漏洞，黑客可利用这些漏洞对地区电网稳定性产生影响，甚至可造成大规模电力中断或基础设施过载爆炸事故。据悉，宁波德业公司生产的太阳能逆变器系统销售遍布全球190多个国家，涵盖多达1000万座发电设施，合计可产生 19.5 亿千瓦的电力，占全球太阳能发电总量的五分之

IT之家8月9日消息，德国亥姆霍兹信息安全中心的研究团队发现，阿里巴巴旗下平头哥半导体推出的两款RISC-V内核玄铁C910与玄铁C920存在被命名为GhostWrite的架构漏洞。玄铁C910被用于平头哥曳影TH1520 SoC；玄铁C920则被用于64核心的算能算丰SG2042处理器；研究团队表示， GhostWrite漏洞允许无特权攻击者读取和写入计算机内存的任何部分，并

IT之家8月7日消息，三星现公布了一项“重要场景漏洞计划(ISVP)”，鼓励开发者为三星各种移动设备挖掘安全漏洞。其中，本地任意执行代码类漏洞的奖励在30万美元左右，远程代码执行漏洞的奖励为100万美元（IT之家备注：当前约715.4万元人民币）。对于三星RichOS，找到一个本地代码执行漏洞可获15万美元（当前约107.3万元人民币），远程代码执行漏洞最高奖励30万美元，首次解锁成功并提取到数据

IT之家6月24日消息，谷歌在最新的Pixel月度更新中披露了一个严重的安全漏洞(CVE-2024-32896)，该漏洞可能正被攻击者利用。更令人担忧的是，这是一个零日漏洞，意味着谷歌在漏洞被发现时并不知情，也没有修复方案。谷歌将此漏洞列为“高危漏洞”。据福布斯报道，此漏洞的严重性让美国政府感到不安，他们要求所有持有Pixel手机的联邦雇员在7月4日之前更新手机，否则需“停止使用该产品”。虽然该警

IT之家6月18日消息，韩国安全研究团队曝光了名为TIKTAG的全新推测执行攻击手段，以ARM的内存标记扩展（MTE）为目标，可以绕过防止内存损坏的关键保护机制，且成功率高达95%以上。MTE是ARMv8.5-A架构（及后续版本）新增的一项功能，主要是检测和防止内存损坏。系统采用低开销标签技术（Loweroverheadtagging），分配4bits来标记16byte（1byte=8bits）内

IT之家6月1日消息，美国网络安全与基础设施安全局（CISA）今天更新其已知漏洞（KEV）目录，要求联邦机构在2024年6月20日之前打上补丁，修复追踪编号为CVE-2024-1086的Linux内核权限提升漏洞。CVE-2024-1086是一个高危use-after-free漏洞，于2024年1月31日首次披露，存在于netfilter:nf_tables组件中，相关漏洞代码于2014年2月的一

感谢IT之家网友石原里美幸福的线索投递！IT之家5月25日消息，西工大官方宣布，该校网络空间安全学院胡伟教授团队在RISC-VSonicBOOM处理器设计中挖掘出中危漏洞，并得到国家计算机网络与应急技术处理协调中心（CNCERT）点名。据介绍，这是国内首个自主挖掘的RISC-V处理器设计上可远程利用的中危漏洞，也是国内首个处理器硬件安全领域国家重点研发计划项目——纳米级芯片硬件综合安全评估关键技术

IT之家5月24日消息，开源代码托管平台GitLab昨日发布公告，修复了1个高危和6个中危漏洞，并敦促用户尽快升级到最新版本。本次公告的高危漏洞追踪编号为CVE-2024-4835，存在于VS代码编辑器（WebIDE）中，攻击者利用该漏洞使用跨站脚本（XSS）可以完全接管用户账号。这种攻击不需要身份验证，但仍需要用户交互，从而增加了攻击的复杂性。IT之家翻译GitLab公告部分内容如下我们今天发布

IT之家5月21日消息，英特尔本月例行更新共修复了41个漏洞，与以往仅修复处理器漏洞不同，本次英特尔更新重点修复了旗下用于模型压缩的开源 Python 库“NeuralCompressor”一项提权漏洞CVE-2024-22476。根据英特尔的安全公告，这项编号为CVE-2024-22476 的漏洞CVSS 评级为满分10分，主要与“输入验证不当”有关，黑客

IT之家5月20日消息，据彭博社报道，谷歌正试图利用微软最近备受关注的网络安全漏洞，通过大幅折扣优惠来吸引企业和政府机构客户转投其旗下办公协作软件GoogleWorkspace的怀抱，而非微软的Office系列产品。谷歌Workspace部门产品管理高级总监安迪・温(AndyWen)表示，对于迁移500个以上用户至GoogleWorkspace企业增强版(EnterprisePlus)并签约三年的

IT之家5月16日消息，英特尔昨天发布41份安全公告，修复了90个漏洞，涵盖旗下多款产品。本次曝光的漏洞主要存在于软件方面，其中一个存在于NeuralCompressor的漏洞危险程度最高，在CVSS评分中得分为10.0“满分”，攻击者利用该漏洞可以提升权限并远程执行任意攻击。IT之家注：NeuralCompressor是一款优化人工智能语言模型、减小LLMs大小和提高LLMs速度的工具。其余漏洞