提前防范 NGINX 和微软 Windows SMB 远程过程调用服务中的软件漏洞
在安全和保护数据方面，快速响应最新进展至关重要。毕竟，黑客攻击和威胁随时可能出现，因此保持警惕很重要。这里在 安全代码勇士，我们努力向您提供有关最新漏洞、应采取哪些措施来降低风险以及如何保护您的用户的最新信息。就像最近的公告一样，可以帮助你 Spring 库漏洞，我们在这里讨论两个新发现的漏洞。
今天，我们将重点关注两个新漏洞：第一个是微软的服务器消息块，被称为 “Windows RPC RCE”，第二个是被称为 “LDAP 参考实现” 的 NGINX。
请继续阅读，了解我们到目前为止对这些漏洞的了解以及您可以采取哪些措施来降低风险。
微软 Windows RPC RCE-CVE-2022-26809
在四月的周二补丁中，微软 披露了一个漏洞 在其服务器消息块 (SMB) 功能中，特别是零件处理 RPC。这听起来可能很熟悉，因为该漏洞与 CVE-2003-0352 类似，后者使用了这种漏洞 蠕虫冲击波 一直追溯到 2003 年！
被剥削的风险和可能性是多少？
微软的公告表明 “攻击复杂度” “低”，并进行了评估 剥削风险 成为 “剥削的可能性更大”，这是在未经证实的野外剥削的情况下的最高水平。
当前，尚无已知的漏洞，但由于攻击复杂性低以及 “更有可能” 的漏洞评估，有人担心恶意行为者可以通过Blaster攻击快速轻松地利用这一优势。
研究人员已经在公共互联网上发现了大量可访问端口139/445的主机，如果要进行大规模探索，这非常令人担忧。
Welche Maßnahmen sollten Nutzer ergreifen, um das Risiko zu verringern?
幸运的是，降低被此漏洞利用的风险相对容易。
- 确保阻止从互联网访问端口 139 和 445，并在需要访问时，将其限制为仅限内部访问。你可以从微软的文档中找到更多细节 这里。
- 应用微软于 2022 年 4 月 12 日发布的补丁。
NGINX-LDAP 参考实现 RCE
NGINX 披露 2022年4月11日，出现了一个名为 “LDAP参考实现RCE” 的新漏洞，该漏洞允许在系统上远程执行代码（RCE）。
漏洞是什么？
此漏洞是独一无二的，因为它不影响用于生产或常见敏感系统的代码。相反，正如名称中的 “参考实现” 所示，代码的目的是演示 LDAP 集成如何在 NGINX 设置中工作。
谁处于危险之中，你应该怎么做才能保护你的代码？
幸运的是，默认情况下，NGINX 不易受到攻击。主要风险是安装 LDAP 扩展时。即便如此，还需要满足其他多个条件才能利用该漏洞。我们建议采取的一项措施是，如果您使用参考实现，请务必切换到使用可用于生产的实现。
有关完整详情，请查看 NGINX 披露。
漏洞让你感到暴露在外？我们可以提供帮助。
从今天的 Windows RPC RCE 和 NGINX-LDAP 参考实现 RCE 到上个月的 Spring 漏洞，很明显 软件漏洞 永远存在。
大多数公司都专注于快速响应策略，以降低代码和客户的风险，但这是一种被动的方法，尽管很重要，但可能会使您处于风险之中。我们认为，主动制定策略来构建安全代码、提高开发人员的技能以及创建以安全为中心的文化是保护自己免受威胁的最佳方式。
在软件开发生命周期开始时强调开发人员驱动的安全性将增强保护，提高代码部署的效率，并为您节省时间和金钱。
Secure Code Warrior 在这里为我们提供独一无二的帮助 训练平台 从教育内容到亲身实践应用您的团队正在学习的新技能。
探索如何做 安全代码勇士学习平台 可以帮助培训您的开发人员掌握安全编码。
最近，NGINX 披露了一个未修补的漏洞。大约在同一时间，微软披露了另一个严重漏洞——Windows RPC RCE漏洞。在这篇文章中，你可以了解谁面临这两个问题的风险，以及我们如何降低风险。
Secure Code Warrior kann Ihrem Unternehmen dabei helfen, Code während des gesamten Softwareentwicklungszyklus zu schützen und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, Chief Information Security Officer oder in einem anderen sicherheitsrelevanten Bereich tätig sind – wir können Ihrem Unternehmen dabei helfen, die mit unsicherem Code verbundenen Risiken zu minimieren.
Demo buchen
在安全和保护数据方面，快速响应最新进展至关重要。毕竟，黑客攻击和威胁随时可能出现，因此保持警惕很重要。这里在 安全代码勇士，我们努力向您提供有关最新漏洞、应采取哪些措施来降低风险以及如何保护您的用户的最新信息。就像最近的公告一样，可以帮助你 Spring 库漏洞，我们在这里讨论两个新发现的漏洞。
今天，我们将重点关注两个新漏洞：第一个是微软的服务器消息块，被称为 “Windows RPC RCE”，第二个是被称为 “LDAP 参考实现” 的 NGINX。
请继续阅读，了解我们到目前为止对这些漏洞的了解以及您可以采取哪些措施来降低风险。
微软 Windows RPC RCE-CVE-2022-26809
在四月的周二补丁中，微软 披露了一个漏洞 在其服务器消息块 (SMB) 功能中，特别是零件处理 RPC。这听起来可能很熟悉，因为该漏洞与 CVE-2003-0352 类似，后者使用了这种漏洞 蠕虫冲击波 一直追溯到 2003 年！
被剥削的风险和可能性是多少？
微软的公告表明 “攻击复杂度” “低”，并进行了评估 剥削风险 成为 “剥削的可能性更大”，这是在未经证实的野外剥削的情况下的最高水平。
当前，尚无已知的漏洞，但由于攻击复杂性低以及 “更有可能” 的漏洞评估，有人担心恶意行为者可以通过Blaster攻击快速轻松地利用这一优势。
研究人员已经在公共互联网上发现了大量可访问端口139/445的主机，如果要进行大规模探索，这非常令人担忧。
Welche Maßnahmen sollten Nutzer ergreifen, um das Risiko zu verringern?
幸运的是，降低被此漏洞利用的风险相对容易。
- 确保阻止从互联网访问端口 139 和 445，并在需要访问时，将其限制为仅限内部访问。你可以从微软的文档中找到更多细节 这里。
- 应用微软于 2022 年 4 月 12 日发布的补丁。
NGINX-LDAP 参考实现 RCE
NGINX 披露 2022年4月11日，出现了一个名为 “LDAP参考实现RCE” 的新漏洞，该漏洞允许在系统上远程执行代码（RCE）。
漏洞是什么？
此漏洞是独一无二的，因为它不影响用于生产或常见敏感系统的代码。相反，正如名称中的 “参考实现” 所示，代码的目的是演示 LDAP 集成如何在 NGINX 设置中工作。
谁处于危险之中，你应该怎么做才能保护你的代码？
幸运的是，默认情况下，NGINX 不易受到攻击。主要风险是安装 LDAP 扩展时。即便如此，还需要满足其他多个条件才能利用该漏洞。我们建议采取的一项措施是，如果您使用参考实现，请务必切换到使用可用于生产的实现。
有关完整详情，请查看 NGINX 披露。
漏洞让你感到暴露在外？我们可以提供帮助。
从今天的 Windows RPC RCE 和 NGINX-LDAP 参考实现 RCE 到上个月的 Spring 漏洞，很明显 软件漏洞 永远存在。
大多数公司都专注于快速响应策略，以降低代码和客户的风险，但这是一种被动的方法，尽管很重要，但可能会使您处于风险之中。我们认为，主动制定策略来构建安全代码、提高开发人员的技能以及创建以安全为中心的文化是保护自己免受威胁的最佳方式。
在软件开发生命周期开始时强调开发人员驱动的安全性将增强保护，提高代码部署的效率，并为您节省时间和金钱。
Secure Code Warrior 在这里为我们提供独一无二的帮助 训练平台 从教育内容到亲身实践应用您的团队正在学习的新技能。
探索如何做 安全代码勇士学习平台 可以帮助培训您的开发人员掌握安全编码。
在安全和保护数据方面，快速响应最新进展至关重要。毕竟，黑客攻击和威胁随时可能出现，因此保持警惕很重要。这里在 安全代码勇士，我们努力向您提供有关最新漏洞、应采取哪些措施来降低风险以及如何保护您的用户的最新信息。就像最近的公告一样，可以帮助你 Spring 库漏洞，我们在这里讨论两个新发现的漏洞。
今天，我们将重点关注两个新漏洞：第一个是微软的服务器消息块，被称为 “Windows RPC RCE”，第二个是被称为 “LDAP 参考实现” 的 NGINX。
请继续阅读，了解我们到目前为止对这些漏洞的了解以及您可以采取哪些措施来降低风险。
微软 Windows RPC RCE-CVE-2022-26809
在四月的周二补丁中，微软 披露了一个漏洞 在其服务器消息块 (SMB) 功能中，特别是零件处理 RPC。这听起来可能很熟悉，因为该漏洞与 CVE-2003-0352 类似，后者使用了这种漏洞 蠕虫冲击波 一直追溯到 2003 年！
被剥削的风险和可能性是多少？
微软的公告表明 “攻击复杂度” “低”，并进行了评估 剥削风险 成为 “剥削的可能性更大”，这是在未经证实的野外剥削的情况下的最高水平。
当前，尚无已知的漏洞，但由于攻击复杂性低以及 “更有可能” 的漏洞评估，有人担心恶意行为者可以通过Blaster攻击快速轻松地利用这一优势。
研究人员已经在公共互联网上发现了大量可访问端口139/445的主机，如果要进行大规模探索，这非常令人担忧。
Welche Maßnahmen sollten Nutzer ergreifen, um das Risiko zu verringern?
幸运的是，降低被此漏洞利用的风险相对容易。
- 确保阻止从互联网访问端口 139 和 445，并在需要访问时，将其限制为仅限内部访问。你可以从微软的文档中找到更多细节 这里。
- 应用微软于 2022 年 4 月 12 日发布的补丁。
NGINX-LDAP 参考实现 RCE
NGINX 披露 2022年4月11日，出现了一个名为 “LDAP参考实现RCE” 的新漏洞，该漏洞允许在系统上远程执行代码（RCE）。
漏洞是什么？
此漏洞是独一无二的，因为它不影响用于生产或常见敏感系统的代码。相反，正如名称中的 “参考实现” 所示，代码的目的是演示 LDAP 集成如何在 NGINX 设置中工作。
谁处于危险之中，你应该怎么做才能保护你的代码？
幸运的是，默认情况下，NGINX 不易受到攻击。主要风险是安装 LDAP 扩展时。即便如此，还需要满足其他多个条件才能利用该漏洞。我们建议采取的一项措施是，如果您使用参考实现，请务必切换到使用可用于生产的实现。
有关完整详情，请查看 NGINX 披露。
漏洞让你感到暴露在外？我们可以提供帮助。
从今天的 Windows RPC RCE 和 NGINX-LDAP 参考实现 RCE 到上个月的 Spring 漏洞，很明显 软件漏洞 永远存在。
大多数公司都专注于快速响应策略，以降低代码和客户的风险，但这是一种被动的方法，尽管很重要，但可能会使您处于风险之中。我们认为，主动制定策略来构建安全代码、提高开发人员的技能以及创建以安全为中心的文化是保护自己免受威胁的最佳方式。
在软件开发生命周期开始时强调开发人员驱动的安全性将增强保护，提高代码部署的效率，并为您节省时间和金钱。
Secure Code Warrior 在这里为我们提供独一无二的帮助 训练平台 从教育内容到亲身实践应用您的团队正在学习的新技能。
探索如何做 安全代码勇士学习平台 可以帮助培训您的开发人员掌握安全编码。
Klicken Sie auf den folgenden Link und laden Sie die PDF-Datei dieser Ressource herunter.
Secure Code Warrior kann Ihrem Unternehmen dabei helfen, Code während des gesamten Softwareentwicklungszyklus zu schützen und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, Chief Information Security Officer oder in einem anderen sicherheitsrelevanten Bereich tätig sind – wir können Ihrem Unternehmen dabei helfen, die mit unsicherem Code verbundenen Risiken zu minimieren.
Bericht anzeigenDemo buchen
在安全和保护数据方面，快速响应最新进展至关重要。毕竟，黑客攻击和威胁随时可能出现，因此保持警惕很重要。这里在 安全代码勇士，我们努力向您提供有关最新漏洞、应采取哪些措施来降低风险以及如何保护您的用户的最新信息。就像最近的公告一样，可以帮助你 Spring 库漏洞，我们在这里讨论两个新发现的漏洞。
今天，我们将重点关注两个新漏洞：第一个是微软的服务器消息块，被称为 “Windows RPC RCE”，第二个是被称为 “LDAP 参考实现” 的 NGINX。
请继续阅读，了解我们到目前为止对这些漏洞的了解以及您可以采取哪些措施来降低风险。
微软 Windows RPC RCE-CVE-2022-26809
在四月的周二补丁中，微软 披露了一个漏洞 在其服务器消息块 (SMB) 功能中，特别是零件处理 RPC。这听起来可能很熟悉，因为该漏洞与 CVE-2003-0352 类似，后者使用了这种漏洞 蠕虫冲击波 一直追溯到 2003 年！
被剥削的风险和可能性是多少？
微软的公告表明 “攻击复杂度” “低”，并进行了评估 剥削风险 成为 “剥削的可能性更大”，这是在未经证实的野外剥削的情况下的最高水平。
当前，尚无已知的漏洞，但由于攻击复杂性低以及 “更有可能” 的漏洞评估，有人担心恶意行为者可以通过Blaster攻击快速轻松地利用这一优势。
研究人员已经在公共互联网上发现了大量可访问端口139/445的主机，如果要进行大规模探索，这非常令人担忧。
Welche Maßnahmen sollten Nutzer ergreifen, um das Risiko zu verringern?
幸运的是，降低被此漏洞利用的风险相对容易。
- 确保阻止从互联网访问端口 139 和 445，并在需要访问时，将其限制为仅限内部访问。你可以从微软的文档中找到更多细节 这里。
- 应用微软于 2022 年 4 月 12 日发布的补丁。
NGINX-LDAP 参考实现 RCE
NGINX 披露 2022年4月11日，出现了一个名为 “LDAP参考实现RCE” 的新漏洞，该漏洞允许在系统上远程执行代码（RCE）。
漏洞是什么？
此漏洞是独一无二的，因为它不影响用于生产或常见敏感系统的代码。相反，正如名称中的 “参考实现” 所示，代码的目的是演示 LDAP 集成如何在 NGINX 设置中工作。
谁处于危险之中，你应该怎么做才能保护你的代码？
幸运的是，默认情况下，NGINX 不易受到攻击。主要风险是安装 LDAP 扩展时。即便如此，还需要满足其他多个条件才能利用该漏洞。我们建议采取的一项措施是，如果您使用参考实现，请务必切换到使用可用于生产的实现。
有关完整详情，请查看 NGINX 披露。
漏洞让你感到暴露在外？我们可以提供帮助。
从今天的 Windows RPC RCE 和 NGINX-LDAP 参考实现 RCE 到上个月的 Spring 漏洞，很明显 软件漏洞 永远存在。
大多数公司都专注于快速响应策略，以降低代码和客户的风险，但这是一种被动的方法，尽管很重要，但可能会使您处于风险之中。我们认为，主动制定策略来构建安全代码、提高开发人员的技能以及创建以安全为中心的文化是保护自己免受威胁的最佳方式。
在软件开发生命周期开始时强调开发人员驱动的安全性将增强保护，提高代码部署的效率，并为您节省时间和金钱。
Secure Code Warrior 在这里为我们提供独一无二的帮助 训练平台 从教育内容到亲身实践应用您的团队正在学习的新技能。
探索如何做 安全代码勇士学习平台 可以帮助培训您的开发人员掌握安全编码。
Verzeichnis
Secure Code Warrior kann Ihrem Unternehmen dabei helfen, Code während des gesamten Softwareentwicklungszyklus zu schützen und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, Chief Information Security Officer oder in einem anderen sicherheitsrelevanten Bereich tätig sind – wir können Ihrem Unternehmen dabei helfen, die mit unsicherem Code verbundenen Risiken zu minimieren.
Demo buchen下载Ressourcen, die Ihnen den Einstieg erleichtern
Themen und Inhalte der Sicherheitsschulung
Unsere branchenführenden Inhalte werden ständig weiterentwickelt, um sich an die sich wandelnde Softwareentwicklungslandschaft anzupassen und gleichzeitig Ihre Rolle zu berücksichtigen. Die Themen reichen von KI bis hin zu XQuery-Injection und sind für verschiedene Positionen geeignet, von Architekten und Ingenieuren bis hin zu Produktmanagern und QA-Mitarbeitern. Verschaffen Sie sich einen ersten Überblick nach Themen und Rollen und erfahren Sie, was unser Inhaltsverzeichnis zu bieten hat.
Die Kamer van Koophandel setzt Maßstäbe für entwicklergesteuerte Sicherheit in großem Maßstab
Die Kamer van Koophandel berichtet, wie sie sicheres Codieren durch rollenbasierte Zertifizierungen, Trust Score-Benchmarking und eine Kultur der gemeinsamen Verantwortung für Sicherheit in die tägliche Entwicklungsarbeit integriert hat.
%20(1).avif)
.avif)
Bedrohungsmodellierung mit KI: So wird jeder Entwickler zum Bedrohungsmodellierer
Sie werden besser gerüstet sein, um Entwicklern dabei zu helfen, Ideen und Techniken zur Bedrohungsmodellierung mit den KI-Tools zu kombinieren, die sie bereits verwenden, um die Sicherheit zu erhöhen, die Zusammenarbeit zu verbessern und von Anfang an widerstandsfähigere Software zu entwickeln.
Ressourcen, die Ihnen den Einstieg erleichtern
Cybermon ist zurück: Die KI-Mission zum Besiegen des Bosses ist jetzt auf Abruf verfügbar.
Cybermon 2025: Der Kampf gegen den Boss hat nun in SCW ganzjährig begonnen. Der Kampf um die Sicherheit von KI/LLM auf Stammesebene, die Entwicklung von Sicherheits-KI wird durch groß angelegte Modelle verstärkt.
Auslegung des Gesetzes zur Netzresilienz: Was bedeutet es, durch die Entwicklung von Design-Software Sicherheit zu erreichen?
Verstehen Sie die Anforderungen des EU-Gesetzes zur Netzresilienz (CRA), für wen es gilt und wie sich Ingenieurteams durch Designpraktiken, Schwachstellenprävention und Kompetenzaufbau für Entwickler darauf vorbereiten können.
Treibende Faktoren 1: Klare und messbare Erfolgskriterien
Enabler 1 ist der Auftakt zu unserer 10-teiligen Reihe über Erfolgsfaktoren. Er zeigt, wie sichere Codierung mit Geschäftsergebnissen wie Risikominderung und schnellerer Reifung langfristiger Pläne in Verbindung gebracht werden kann.
