成都鏈安：Apache Tomcat 遠程代碼執行漏洞預警（CVE-2020-9484）_ETO:TOMCAT

鏈聞消息，成都鏈安威脅情報系統預警，ApacheTomcat遠程代碼執行存在漏洞，部分交易所仍然在使用此web服務器，黑客可利用此漏洞進行犯罪入侵，我們建議使用相關軟件的交易所及時自查并進行修復。漏洞威脅：高。受影響版本：ApacheTomcat10.0.0-M1至10.0.0-M1、ApacheTomcat9.0.0.M1至9.0.34、ApacheTomcat8.5.0至8.5.54、ApacheTomcat7.0.0至7.0.103。漏洞描述：1)?攻擊者可以通過此漏洞控制服務器以及計算機上的文件；2)?服務器將會被配置FileStore和PersistenceManager；3)?PersistenceManager配置有sessionAttributeValueClassNameFilter=「null」或不嚴謹的過濾器，允許攻擊者執行反序列化操作；4)?攻擊者知道從FileStore使用的存儲位置到攻擊者可以控制的文件的相對文件路徑；然后，使用特殊請求，攻擊者將能夠在其控制下通過反序列化文件來觸發遠程代碼執行。成都鏈安安全團隊建議根據官方提供的修復方案進行修復，修復方案如下：ApacheTomcat10.0.0-M1至10.0.0-M1版本建議升級到ApacheTomcat10.0.0-M5或更高版本；ApacheTomcat9.0.0.M1至9.0.34版本建議升級到ApacheTomcat9.0.35或更高版本；ApacheTomcat8.5.0至8.5.54版本建議升級到ApacheTomcat8.5.55或更高版本；ApacheTomcat7.0.0至7.0.103版本建議升級到ApacheTomcat7.0.104或更高版本。用戶也可以通過sessionAttributeValueClassNameFilter適當的值配置PersistenceManager，以確保僅對應用程序提供的屬性進行序列化和反序列化。

成都鏈安：Li.Finance遭受攻擊事件分析:金色財經消息，據成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，DEX聚合協議Li.Finance遭黑客攻擊損失約60萬美元，關于本次攻擊，成都鏈安團隊第一時間進行了分析發現：被攻擊合約中的swapAndStartBridgeTokensViaCBridge函數中存在call注入攻擊，可通過構造惡意的數據(_swapData)控制call調用的參數。在本次攻擊事件中，攻擊者惡意構建callTo地址為對應的代幣合約地址，并調用代幣合約的transferFrom函數轉走受害地址的代幣。[2022/3/21 14:08:55]

巧克力COCO智能合約已通過Beosin(成都鏈安）安全審計:據官方消息，Beosin（成都鏈安）近日已完成巧克力coco智能合約項目的安全審計服務。據介紹，巧克力COCO是基于波場底層打造的一個去中心化開放金融底層基礎設施。結合波場TICP跨鏈協議，訂單簿DEX，智能挖礦等等功能的創新和聚合，進而打造全面去中心化金融平臺。巧克力COCO無ICO、零預挖且零私募，社區高度自治。合約地址：THTpbtqfoGmL6HwqaGrWKd7aJAcUTbCnoC審計報告編號：202010042149[2020/10/5]

聲音 | 成都鏈安：使用鏈上合約輪詢開獎機制可能具有安全風險:今日早晨7點半，成都鏈安態勢感知系統鷹眼對某游戲合約交易發出預警，我們的安全人員對該預警進行分析發現，攻擊者正在使用一種新的途徑獲得隨機數種子，并通過合約不斷發起延時交易，嘗試預先計算或者得到游戲合約的開獎參數，安全團隊已通知項目方進行確認，建議具有類似基于線上合約定時開獎模式的項目方及時自查，避免遭到損失。望項目方看到本預警消息能夠及時聯系我們。[2019/6/12]

Tags：ETOTOMCCHETOMCATsafetoken幣Tomcat InuCHEE

歐易okex官網