走在NGINX和微软Windows SMB远程过程调用服务的软件漏洞前面
当涉及到安全和保护你的数据时，对最新发展的快速反应是至关重要的。毕竟，黑客和威胁可能在任何时候出现，所以保持警惕很重要。在这里 Secure Code Warrior我们努力为您提供有关最新漏洞的最新信息，采取什么措施来减少风险以及如何保护您的用户。就像最近公布的帮助你解决Spring库的漏洞一样，我们在这里讨论两个新发现的漏洞。
今天我们重点讨论2个新的漏洞：首先是微软的服务器信息块，称为 "Windows RPC RCE"；其次是NGINX，称为 "LDAP参考实现"。
请继续阅读，了解到目前为止我们对这些漏洞的了解，以及你可以做什么来减轻你的风险。
微软Windows RPC RCE - CVE-2022-26809
在四月的补丁星期二，微软披露了他们的服务器信息块（SMB）功能中的一个漏洞，特别是处理RPC的部分。这对你来说可能听起来很熟悉，因为该漏洞与CVE-2003-0352相似--这是2003年蠕虫病毒爆炸者使用的一个漏洞。
剥削的风险和可能性有多大？
微软的咨询表明，"攻击的复杂性 "是 "低"，并评估利用风险为 "更有可能被利用"，这是在没有被证实的野外利用情况下的最高级别。
目前，还没有已知的利用方法，但由于攻击复杂性低和 "更有可能 "的利用assessment ，人们担心恶意行为者可以通过Blaster攻击快速和容易地利用。
研究人员发现公共互联网上有大量的主机可以访问139/445端口，如果发生大规模的探索，这是相当令人担忧的。
用户应该采取什么措施来减少风险？
幸运的是，减轻被这一漏洞利用的风险是相对容易的。
- 确保你阻止来自互联网的139和445端口的访问，当需要访问时，仅限制为内部访问。你可以在这里从微软的文档中找到更多的细节。
- 应用微软在2022年4月12日发布的补丁。
NGINX - LDAP参考实施RCE
NGINX于2022年4月11日披露了一个名为 "LDAP参考实现RCE "的新漏洞，允许在系统上进行远程代码执行（RCE）。
漏洞是什么？
这个漏洞是独特的，因为它不影响用于生产或常见敏感系统的代码。相反，正如其名称中的 "参考实现 "所示，该代码的目的是演示LDAP集成如何在NGINX设置中工作。
哪些人面临风险，你应该如何保护你的代码？
幸运的是，NGINX在默认情况下是没有漏洞的。主要风险是在安装LDAP扩展时。即使如此，其他多个条件也需要为真，才能利用该漏洞。我们建议采取的一个行动是，如果你使用参考实现，确保切换到使用可生产的实现。
欲了解完整的细节，请查看NGINX的披露。
脆弱性让你感到暴露？我们可以提供帮助。
从今天的Windows RPC RCE和NGINX - LDAP Reference Implementation RCE到上个月的Spring漏洞，很明显，软件漏洞是永远存在的。
大多数公司专注于快速反应策略，以减轻代码和客户的风险，但这有一个被动的方法，虽然很重要，但会让你处于风险之中。我们相信，建立安全代码的积极策略，提高你的开发人员的技能，并创建一个注重安全的文化，是保护你们自己免受威胁的最好方法。
在软件开发生命周期的开始阶段就强调开发者驱动的安全，将导致保护力度的增强，更有效的代码部署，并为您节省时间和金钱。
Secure Code Warrior 通过我们独特的培训平台，从教育内容到您的团队正在学习的新技能的实践应用，我们在这里提供帮助。
发现如何 Secure Code Warrior learning platform可以帮助你的开发人员进行安全编码培训。
当涉及到安全和保护你的数据时，对最新发展的快速反应是至关重要的。毕竟，黑客和威胁可能在任何时候出现，所以保持警惕很重要。在这里 Secure Code Warrior我们努力为您提供有关最新漏洞的最新信息，采取什么措施来减少风险以及如何保护您的用户。就像最近公布的帮助你解决Spring库的漏洞一样，我们在这里讨论两个新发现的漏洞。
今天我们重点讨论2个新的漏洞：首先是微软的服务器信息块，称为 "Windows RPC RCE"；其次是NGINX，称为 "LDAP参考实现"。
请继续阅读，了解到目前为止我们对这些漏洞的了解，以及你可以做什么来减轻你的风险。
微软Windows RPC RCE - CVE-2022-26809
在四月的补丁星期二，微软披露了他们的服务器信息块（SMB）功能中的一个漏洞，特别是处理RPC的部分。这对你来说可能听起来很熟悉，因为该漏洞与CVE-2003-0352相似--这是2003年蠕虫病毒爆炸者使用的一个漏洞。
剥削的风险和可能性有多大？
微软的咨询表明，"攻击的复杂性 "是 "低"，并评估利用风险为 "更有可能被利用"，这是在没有被证实的野外利用情况下的最高级别。
目前，还没有已知的利用方法，但由于攻击复杂性低和 "更有可能 "的利用assessment ，人们担心恶意行为者可以通过Blaster攻击快速和容易地利用。
研究人员发现公共互联网上有大量的主机可以访问139/445端口，如果发生大规模的探索，这是相当令人担忧的。
用户应该采取什么措施来减少风险？
幸运的是，减轻被这一漏洞利用的风险是相对容易的。
- 确保你阻止来自互联网的139和445端口的访问，当需要访问时，仅限制为内部访问。你可以在这里从微软的文档中找到更多的细节。
- 应用微软在2022年4月12日发布的补丁。
NGINX - LDAP参考实施RCE
NGINX于2022年4月11日披露了一个名为 "LDAP参考实现RCE "的新漏洞，允许在系统上进行远程代码执行（RCE）。
漏洞是什么？
这个漏洞是独特的，因为它不影响用于生产或常见敏感系统的代码。相反，正如其名称中的 "参考实现 "所示，该代码的目的是演示LDAP集成如何在NGINX设置中工作。
哪些人面临风险，你应该如何保护你的代码？
幸运的是，NGINX在默认情况下是没有漏洞的。主要风险是在安装LDAP扩展时。即使如此，其他多个条件也需要为真，才能利用该漏洞。我们建议采取的一个行动是，如果你使用参考实现，确保切换到使用可生产的实现。
欲了解完整的细节，请查看NGINX的披露。
脆弱性让你感到暴露？我们可以提供帮助。
从今天的Windows RPC RCE和NGINX - LDAP Reference Implementation RCE到上个月的Spring漏洞，很明显，软件漏洞是永远存在的。
大多数公司专注于快速反应策略，以减轻代码和客户的风险，但这有一个被动的方法，虽然很重要，但会让你处于风险之中。我们相信，建立安全代码的积极策略，提高你的开发人员的技能，并创建一个注重安全的文化，是保护你们自己免受威胁的最好方法。
在软件开发生命周期的开始阶段就强调开发者驱动的安全，将导致保护力度的增强，更有效的代码部署，并为您节省时间和金钱。
Secure Code Warrior 通过我们独特的培训平台，从教育内容到您的团队正在学习的新技能的实践应用，我们在这里提供帮助。
发现如何 Secure Code Warrior learning platform可以帮助你的开发人员进行安全编码培训。
当涉及到安全和保护你的数据时，对最新发展的快速反应是至关重要的。毕竟，黑客和威胁可能在任何时候出现，所以保持警惕很重要。在这里 Secure Code Warrior我们努力为您提供有关最新漏洞的最新信息，采取什么措施来减少风险以及如何保护您的用户。就像最近公布的帮助你解决Spring库的漏洞一样，我们在这里讨论两个新发现的漏洞。
今天我们重点讨论2个新的漏洞：首先是微软的服务器信息块，称为 "Windows RPC RCE"；其次是NGINX，称为 "LDAP参考实现"。
请继续阅读，了解到目前为止我们对这些漏洞的了解，以及你可以做什么来减轻你的风险。
微软Windows RPC RCE - CVE-2022-26809
在四月的补丁星期二，微软披露了他们的服务器信息块（SMB）功能中的一个漏洞，特别是处理RPC的部分。这对你来说可能听起来很熟悉，因为该漏洞与CVE-2003-0352相似--这是2003年蠕虫病毒爆炸者使用的一个漏洞。
剥削的风险和可能性有多大？
微软的咨询表明，"攻击的复杂性 "是 "低"，并评估利用风险为 "更有可能被利用"，这是在没有被证实的野外利用情况下的最高级别。
目前，还没有已知的利用方法，但由于攻击复杂性低和 "更有可能 "的利用assessment ，人们担心恶意行为者可以通过Blaster攻击快速和容易地利用。
研究人员发现公共互联网上有大量的主机可以访问139/445端口，如果发生大规模的探索，这是相当令人担忧的。
用户应该采取什么措施来减少风险？
幸运的是，减轻被这一漏洞利用的风险是相对容易的。
- 确保你阻止来自互联网的139和445端口的访问，当需要访问时，仅限制为内部访问。你可以在这里从微软的文档中找到更多的细节。
- 应用微软在2022年4月12日发布的补丁。
NGINX - LDAP参考实施RCE
NGINX于2022年4月11日披露了一个名为 "LDAP参考实现RCE "的新漏洞，允许在系统上进行远程代码执行（RCE）。
漏洞是什么？
这个漏洞是独特的，因为它不影响用于生产或常见敏感系统的代码。相反，正如其名称中的 "参考实现 "所示，该代码的目的是演示LDAP集成如何在NGINX设置中工作。
哪些人面临风险，你应该如何保护你的代码？
幸运的是，NGINX在默认情况下是没有漏洞的。主要风险是在安装LDAP扩展时。即使如此，其他多个条件也需要为真，才能利用该漏洞。我们建议采取的一个行动是，如果你使用参考实现，确保切换到使用可生产的实现。
欲了解完整的细节，请查看NGINX的披露。
脆弱性让你感到暴露？我们可以提供帮助。
从今天的Windows RPC RCE和NGINX - LDAP Reference Implementation RCE到上个月的Spring漏洞，很明显，软件漏洞是永远存在的。
大多数公司专注于快速反应策略，以减轻代码和客户的风险，但这有一个被动的方法，虽然很重要，但会让你处于风险之中。我们相信，建立安全代码的积极策略，提高你的开发人员的技能，并创建一个注重安全的文化，是保护你们自己免受威胁的最好方法。
在软件开发生命周期的开始阶段就强调开发者驱动的安全，将导致保护力度的增强，更有效的代码部署，并为您节省时间和金钱。
Secure Code Warrior 通过我们独特的培训平台，从教育内容到您的团队正在学习的新技能的实践应用，我们在这里提供帮助。
发现如何 Secure Code Warrior learning platform可以帮助你的开发人员进行安全编码培训。
当涉及到安全和保护你的数据时，对最新发展的快速反应是至关重要的。毕竟，黑客和威胁可能在任何时候出现，所以保持警惕很重要。在这里 Secure Code Warrior我们努力为您提供有关最新漏洞的最新信息，采取什么措施来减少风险以及如何保护您的用户。就像最近公布的帮助你解决Spring库的漏洞一样，我们在这里讨论两个新发现的漏洞。
今天我们重点讨论2个新的漏洞：首先是微软的服务器信息块，称为 "Windows RPC RCE"；其次是NGINX，称为 "LDAP参考实现"。
请继续阅读，了解到目前为止我们对这些漏洞的了解，以及你可以做什么来减轻你的风险。
微软Windows RPC RCE - CVE-2022-26809
在四月的补丁星期二，微软披露了他们的服务器信息块（SMB）功能中的一个漏洞，特别是处理RPC的部分。这对你来说可能听起来很熟悉，因为该漏洞与CVE-2003-0352相似--这是2003年蠕虫病毒爆炸者使用的一个漏洞。
剥削的风险和可能性有多大？
微软的咨询表明，"攻击的复杂性 "是 "低"，并评估利用风险为 "更有可能被利用"，这是在没有被证实的野外利用情况下的最高级别。
目前，还没有已知的利用方法，但由于攻击复杂性低和 "更有可能 "的利用assessment ，人们担心恶意行为者可以通过Blaster攻击快速和容易地利用。
研究人员发现公共互联网上有大量的主机可以访问139/445端口，如果发生大规模的探索，这是相当令人担忧的。
用户应该采取什么措施来减少风险？
幸运的是，减轻被这一漏洞利用的风险是相对容易的。
- 确保你阻止来自互联网的139和445端口的访问，当需要访问时，仅限制为内部访问。你可以在这里从微软的文档中找到更多的细节。
- 应用微软在2022年4月12日发布的补丁。
NGINX - LDAP参考实施RCE
NGINX于2022年4月11日披露了一个名为 "LDAP参考实现RCE "的新漏洞，允许在系统上进行远程代码执行（RCE）。
漏洞是什么？
这个漏洞是独特的，因为它不影响用于生产或常见敏感系统的代码。相反，正如其名称中的 "参考实现 "所示，该代码的目的是演示LDAP集成如何在NGINX设置中工作。
哪些人面临风险，你应该如何保护你的代码？
幸运的是，NGINX在默认情况下是没有漏洞的。主要风险是在安装LDAP扩展时。即使如此，其他多个条件也需要为真，才能利用该漏洞。我们建议采取的一个行动是，如果你使用参考实现，确保切换到使用可生产的实现。
欲了解完整的细节，请查看NGINX的披露。
脆弱性让你感到暴露？我们可以提供帮助。
从今天的Windows RPC RCE和NGINX - LDAP Reference Implementation RCE到上个月的Spring漏洞，很明显，软件漏洞是永远存在的。
大多数公司专注于快速反应策略，以减轻代码和客户的风险，但这有一个被动的方法，虽然很重要，但会让你处于风险之中。我们相信，建立安全代码的积极策略，提高你的开发人员的技能，并创建一个注重安全的文化，是保护你们自己免受威胁的最好方法。
在软件开发生命周期的开始阶段就强调开发者驱动的安全，将导致保护力度的增强，更有效的代码部署，并为您节省时间和金钱。
Secure Code Warrior 通过我们独特的培训平台，从教育内容到您的团队正在学习的新技能的实践应用，我们在这里提供帮助。
发现如何 Secure Code Warrior learning platform可以帮助你的开发人员进行安全编码培训。
资源
安全技能基准测试：简化企业安全设计
寻找有关 "按设计确保安全 "计划成功与否的有意义的数据是众所周知的难题。首席信息安全官（CISO）在试图证明投资回报率（ROI）和安全计划活动在人员和公司层面上的商业价值时，往往会面临挑战。更不用说，企业要深入了解自己的组织是如何以当前的行业标准为基准的，更是难上加难。美国总统的《国家网络安全战略》向利益相关者提出了 "通过设计实现安全和弹性 "的挑战。让 "按设计保证安全 "计划发挥作用的关键不仅在于为开发人员提供确保代码安全的技能，还在于向监管机构保证这些技能已经到位。在本演讲中，我们将分享大量定性和定量数据，这些数据来自多个主要来源，包括从超过 25 万名开发人员那里收集的内部数据点、数据驱动的客户洞察力以及公共研究。利用这些数据点的汇总，我们旨在传达一个跨多个垂直领域的 "按设计保证安全 "计划的现状。报告详细阐述了这一领域目前未得到充分利用的原因、成功的技能提升计划对降低网络安全风险的重大影响，以及消除代码库中各类漏洞的潜力。
