墨菲安全
-
滚蛋吧，安全漏洞！这款 IDE 插件帮你轻松解决安全问题，核心引擎已开源
滚蛋吧，安全漏洞！这款 IDE 插件帮你轻松解决安全问题，核心引擎已开源 还记得去年爆发的log4j漏洞吗？还记得经常因为代码漏洞被安全工程师追着修复的场景吗？是不是不想花太多时间去修复漏洞，又或者是不知道怎么修。 最近我们推出了一款 IDE 插件，帮助各位开发者轻松解决代码安全问题，推荐给大家！ MurphySec Code Scan 简介 这款插件可以让…
-
这款牛逼的开源安全工具让我这个运维也变成“安全专家”
背景 我是一家互联网公司的 DevOps 工程师（其实就是运维），平常负责公司服务的上线发布流程。我和墨菲安全的这款开源的漏洞检测工具结缘，主要是因为前段时间 log4j2 的漏洞，最近我们公司的研发频繁的上线基本上都是修复 log4j2 的漏洞，我被他们整烦了。就找他们研发的负责人讨论是不是能够在上线前集成一些自动化的工具来检测这样的漏洞，比如 log4j…
-
10分钟对公司的gitlab代码仓库来一次安全体检
去年 log4j 漏洞爆发时候就已经很痛苦了，当时把所有的线上服务排查了一遍。没想到这都已经过去3个月了，上周又遇到了一个服务仍在使用低版本，被外部攻击，有点受伤。 这件事后，老板让我全量扫一遍我们的代码库，看还有哪些服务还在用老版本的 log4j，统一推一波修复，防止后续在发生此类事件。 方案调研 方案一（放弃） 当时我第一反应是写个脚本，遍历所有项目，再…
-
谈谈常见开源许可证合规风险及解决方案
因为我本身也在做开源，所以比较关注这个问题，最近因为工作需要，总结和分析了一下关于开源许可证相关的知识，也分享给大家一起讨论，希望得到大家的指导。 前言 2021年12月，抖音海外版 TikTok 上线了一款名为 TikTok Live Studio 的 APP，但不久其下载页面就被删除。TikTok 官方对此事做出回应，原因是该 APP 违反 GPL 许可…
-
Spring Cloud Function 3.0.0.RELEASE~3.2.2 版本SPEL表达式注入漏洞
漏洞发现时间 2022-03-24 漏洞验证时间 2022-03-25，已第一时间提交CNVD 标题 Spring Cloud Function 3.0.0.RELEASE~3.2.2 版本SPEL表达式注入漏洞 漏洞编号 MPS-2022-6799 发现方式 墨菲安全实验室情报预警监控 语言 java 影响组件及版本 org.springframework…
-
Spark 存在 shell 命令注入（CNVD-C-2022-163612）
漏洞简述 3月24日，墨菲安全实验室情报预警监控发现 spark 提交修复 shell 命令注入的代码，当上传文件名可以被攻击者控制时，就可以构造恶意文件名造成远程任意命令执行。 Spark 是用于大规模数据处理的统一分析引擎。 用户上传文件后，tar 文件会被 hadoop 的 tar 命令解压，如果文件名被用户恶意构造后，就会导致 shell 命令注入。…
-
开源无国界？vue-cli、node-ipc被投毒事件分析
开源无国界？vue-cli、node-ipc被投毒事件分析 简述 近日我们监测到Vue.js生态中的vue-cli包遭遇供应链投毒，而被投毒的node-ipc包在npm上每周下载量超百万，影响非常广泛。 被投毒的情况如下： （问题组件每周下载量截图） 事件时间线 3月7号 开发者RIAEvangelist在node-ipc包中添加名为ssl-geospec….
-
Log4j2漏洞背后是全球软件供应链风险面临失控
前言 Log4j2作为java代码项目中广泛使用的开源日志组件，它的一个严重安全漏洞对于全球的软件供应链生态来讲不亚于一场新冠病毒的影响，任何企业的代码项目沾上它都有可能给企业带来致命的安全风险。 全球新一轮的产业数字化升级对开源软件的依赖日益提升，从而催生开源生态的蓬勃发展，而开源软件的全球化和开放共享的特性使得任何一个非常底层和基础的开源组件的漏洞都有可…
