Questions tagged «vulnerabilities»

像我们许多人一样，我昨天花了很多时间来更新整个系统，以缓解Meltdown和Spectre攻击。据我了解，有必要安装两个软件包并重新启动： kernel-3.10.0-693.11.6.el7.x86_64 microcode_ctl-2.1-22.2.el7.x86_64 我有两个安装了这些软件包并重新引导的CentOS 7系统。 根据Red Hat，我可以通过检查这些sysctls并确保它们全部为1来检查缓解状态。但是，在这些系统上，它们并非全部为1： # cat /sys/kernel/debug/x86/pti_enabled 1 # cat /sys/kernel/debug/x86/ibpb_enabled 0 # cat /sys/kernel/debug/x86/ibrs_enabled 0 而且我也不能将它们设置为1： # echo 1 > /sys/kernel/debug/x86/ibpb_enabled -bash: echo: write error: No such device # echo 1 > /sys/kernel/debug/x86/ibrs_enabled -bash: echo: write error: No such device 我确认英特尔微码似乎已在启动时加载： # systemctl status microcode -l …

42 security  centos7  rhel7  vulnerabilities 

我打算用DNSSEC签名我的DNS区域。我的区域，注册商和我的DNS服务器（BIND9）都支持DNSSEC。唯一不支持DNSSEC的人是我的辅助名称服务器提供商（即buddyns.com）。 他们在其网站上声明有关DNSSEC的信息： BuddyNS不支持DNSSEC，因为它暴露了一些不适用于高容量DNS服务的漏洞。 好吧，我认为DNSSEC的使用目前存在某种问题，因为大多数解析器不会检查记录是否正确签名。我不知道的是-根据他们的说法-似乎提供它会暴露某种安全漏洞。 那些“脆弱生物”是什么？

28 domain-name-system  security  dnssec  vulnerabilities 

应用程序 我们有一个小型Java应用程序，它使用一些Camel路由从Web服务器上载上传的文件，对其进行处理并发送一些带有结果的电子邮件。 已取消运行该应用程序的服务器。现在，我们必须在功率不足的硬件上运行它，因为我不能说服管理员在Web服务器（实际上是多用途服务器）上安装JRE。 害怕 我本人是一名Java应用程序工程师，我为生活编写JEE代码，每周处理价值数万欧元的B2B交易。但是我很难找到可靠的资源来驳斥Java本身是不安全的神话。 管理员反对安装JRE的两个主要参数： Java应用程序耗尽了我所有的RAM Java充满漏洞 真相？ 当涉及到Java应用程序吃掉ram时。好吧...我想说我们必须为Xmx设置适当的值。做完了 现在，有许多资料谈到Java的许多漏洞。这些资源主要针对美国Redmond公司运行特定操作系统的最终用户。AFAIK对于未修补版本的Java Browser Plugin可能是正确的，该Java Browser Plugin配置为自动执行所有小程序，因此很有可能成为驱动器被感染的受害者。就像在通勤上班时在火车上与伊维酮进行无保护的性行为时，可能会传染性病。 但是，我在全球interwebz上找不到任何谈论服务器应用程序或无头运行的JRE的人。那是另一回事。 还是我在这里想念什么？ [edit 2014-08-28]澄清：我只关心服务器上的Java。我不在乎Java插件和/或用Java开发的特定软件的问题。

13 security  java  web  headless  vulnerabilities 

漏洞大规模发布后24小时，Rackspace对Spectre和Meltdown保持沉默。他们没有修补所有Xen虚拟机管理程序的计划。他们所有较新的平台服务器都是易受攻击的HVM服务器。较旧的PV服务器不容易受到攻击。 我已经更新了HVM guest虚拟机的Linux内核，但是Rackspace尚未更新其任何虚拟机管理程序。在未打补丁的管理程序上更新来宾内核会阻止“坏家伙” VM访问从打补丁的主机泄漏的内存吗？

12 linux  xen  cloud-computing  rackspace  vulnerabilities 

来自：http : //seclists.org/fulldisclosure/2009/Jul/0388.html 如果我从以下网站上的帖子中最好地理解它：http : //news.ycombinator.com/item?id=723798，Matasano团队让sshd可以访问Internet-从编程的角度来看，有什么建议的解决方案？

10 security  vulnerabilities  hacking 

在glibc中发现了此漏洞，有关更多信息，请参见此黑客新闻。 如debian Bug Tracker中所述，该漏洞已经在测试中修复并且不稳定。 我想尽早修补它，因此可以从其中一个版本安装修补后的软件包，如果可以，我该怎么做？

8 debian  package-management  vulnerabilities  vulnerability 

OpenSSL刚刚宣布了其内存例程中的另一个新漏洞。您可以在这里阅读所有内容：https：//www.openssl.org/news/secadv_20141015.txt 解决方法是禁用SSLv3。 这会完全禁用我们网站上的HTTPS吗？ 哪些客户端仍然依赖SSLv3，应该关心支持它们吗？

8 ssl  openssl  vulnerabilities 

Windows中是否可以检查“安全公告” MS**-***或CVE-****-*****已被修补？例如类似于RedHat的东西rpm -q --changelog service Windows 2008 R2 SP1

8 windows  pci-dss  vulnerabilities  security