走在NGINX和微软Windows SMB远程过程调用服务的软件漏洞前面
当涉及到安全和保护你的数据时，对最新发展的快速反应是至关重要的。毕竟，黑客和威胁可能在任何时候出现，所以保持警惕很重要。在这里 Secure Code Warrior我们努力为您提供有关最新漏洞的最新信息，采取什么措施来减少风险以及如何保护您的用户。就像最近公布的帮助你解决Spring库的漏洞一样，我们在这里讨论两个新发现的漏洞。
今天我们重点讨论2个新的漏洞：首先是微软的服务器信息块，称为 "Windows RPC RCE"；其次是NGINX，称为 "LDAP参考实现"。
请继续阅读，了解到目前为止我们对这些漏洞的了解，以及你可以做什么来减轻你的风险。
微软Windows RPC RCE - CVE-2022-26809
在四月的补丁星期二，微软披露了他们的服务器信息块（SMB）功能中的一个漏洞，特别是处理RPC的部分。这对你来说可能听起来很熟悉，因为该漏洞与CVE-2003-0352相似--这是2003年蠕虫病毒爆炸者使用的一个漏洞。
剥削的风险和可能性有多大？
微软的咨询表明，"攻击的复杂性 "是 "低"，并评估利用风险为 "更有可能被利用"，这是在没有被证实的野外利用情况下的最高级别。
目前，还没有已知的利用方法，但由于攻击复杂性低和 "更有可能 "的利用assessment ，人们担心恶意行为者可以通过Blaster攻击快速和容易地利用。
研究人员发现公共互联网上有大量的主机可以访问139/445端口，如果发生大规模的探索，这是相当令人担忧的。
用户应该采取什么措施来减少风险？
幸运的是，减轻被这一漏洞利用的风险是相对容易的。
- 确保你阻止来自互联网的139和445端口的访问，当需要访问时，仅限制为内部访问。你可以在这里从微软的文档中找到更多的细节。
- 应用微软在2022年4月12日发布的补丁。
NGINX - LDAP参考实施RCE
NGINX于2022年4月11日披露了一个名为 "LDAP参考实现RCE "的新漏洞，允许在系统上进行远程代码执行（RCE）。
漏洞是什么？
这个漏洞是独特的，因为它不影响用于生产或常见敏感系统的代码。相反，正如其名称中的 "参考实现 "所示，该代码的目的是演示LDAP集成如何在NGINX设置中工作。
哪些人面临风险，你应该如何保护你的代码？
幸运的是，NGINX在默认情况下是没有漏洞的。主要风险是在安装LDAP扩展时。即使如此，其他多个条件也需要为真，才能利用该漏洞。我们建议采取的一个行动是，如果你使用参考实现，确保切换到使用可生产的实现。
欲了解完整的细节，请查看NGINX的披露。
脆弱性让你感到暴露？我们可以提供帮助。
从今天的Windows RPC RCE和NGINX - LDAP Reference Implementation RCE到上个月的Spring漏洞，很明显，软件漏洞是永远存在的。
大多数公司专注于快速反应策略，以减轻代码和客户的风险，但这有一个被动的方法，虽然很重要，但会让你处于风险之中。我们相信，建立安全代码的积极策略，提高你的开发人员的技能，并创建一个注重安全的文化，是保护你们自己免受威胁的最好方法。
在软件开发生命周期的开始阶段就强调开发者驱动的安全，将导致保护力度的增强，更有效的代码部署，并为您节省时间和金钱。
Secure Code Warrior 通过我们独特的培训平台，从教育内容到您的团队正在学习的新技能的实践应用，我们在这里提供帮助。
发现如何 Secure Code Warrior learning platform可以帮助你的开发人员进行安全编码培训。
当涉及到安全和保护你的数据时，对最新发展的快速反应是至关重要的。毕竟，黑客和威胁可能在任何时候出现，所以保持警惕很重要。在这里 Secure Code Warrior我们努力为您提供有关最新漏洞的最新信息，采取什么措施来减少风险以及如何保护您的用户。就像最近公布的帮助你解决Spring库的漏洞一样，我们在这里讨论两个新发现的漏洞。
今天我们重点讨论2个新的漏洞：首先是微软的服务器信息块，称为 "Windows RPC RCE"；其次是NGINX，称为 "LDAP参考实现"。
请继续阅读，了解到目前为止我们对这些漏洞的了解，以及你可以做什么来减轻你的风险。
微软Windows RPC RCE - CVE-2022-26809
在四月的补丁星期二，微软披露了他们的服务器信息块（SMB）功能中的一个漏洞，特别是处理RPC的部分。这对你来说可能听起来很熟悉，因为该漏洞与CVE-2003-0352相似--这是2003年蠕虫病毒爆炸者使用的一个漏洞。
剥削的风险和可能性有多大？
微软的咨询表明，"攻击的复杂性 "是 "低"，并评估利用风险为 "更有可能被利用"，这是在没有被证实的野外利用情况下的最高级别。
目前，还没有已知的利用方法，但由于攻击复杂性低和 "更有可能 "的利用assessment ，人们担心恶意行为者可以通过Blaster攻击快速和容易地利用。
研究人员发现公共互联网上有大量的主机可以访问139/445端口，如果发生大规模的探索，这是相当令人担忧的。
用户应该采取什么措施来减少风险？
幸运的是，减轻被这一漏洞利用的风险是相对容易的。
- 确保你阻止来自互联网的139和445端口的访问，当需要访问时，仅限制为内部访问。你可以在这里从微软的文档中找到更多的细节。
- 应用微软在2022年4月12日发布的补丁。
NGINX - LDAP参考实施RCE
NGINX于2022年4月11日披露了一个名为 "LDAP参考实现RCE "的新漏洞，允许在系统上进行远程代码执行（RCE）。
漏洞是什么？
这个漏洞是独特的，因为它不影响用于生产或常见敏感系统的代码。相反，正如其名称中的 "参考实现 "所示，该代码的目的是演示LDAP集成如何在NGINX设置中工作。
哪些人面临风险，你应该如何保护你的代码？
幸运的是，NGINX在默认情况下是没有漏洞的。主要风险是在安装LDAP扩展时。即使如此，其他多个条件也需要为真，才能利用该漏洞。我们建议采取的一个行动是，如果你使用参考实现，确保切换到使用可生产的实现。
欲了解完整的细节，请查看NGINX的披露。
脆弱性让你感到暴露？我们可以提供帮助。
从今天的Windows RPC RCE和NGINX - LDAP Reference Implementation RCE到上个月的Spring漏洞，很明显，软件漏洞是永远存在的。
大多数公司专注于快速反应策略，以减轻代码和客户的风险，但这有一个被动的方法，虽然很重要，但会让你处于风险之中。我们相信，建立安全代码的积极策略，提高你的开发人员的技能，并创建一个注重安全的文化，是保护你们自己免受威胁的最好方法。
在软件开发生命周期的开始阶段就强调开发者驱动的安全，将导致保护力度的增强，更有效的代码部署，并为您节省时间和金钱。
Secure Code Warrior 通过我们独特的培训平台，从教育内容到您的团队正在学习的新技能的实践应用，我们在这里提供帮助。
发现如何 Secure Code Warrior learning platform可以帮助你的开发人员进行安全编码培训。
当涉及到安全和保护你的数据时，对最新发展的快速反应是至关重要的。毕竟，黑客和威胁可能在任何时候出现，所以保持警惕很重要。在这里 Secure Code Warrior我们努力为您提供有关最新漏洞的最新信息，采取什么措施来减少风险以及如何保护您的用户。就像最近公布的帮助你解决Spring库的漏洞一样，我们在这里讨论两个新发现的漏洞。
今天我们重点讨论2个新的漏洞：首先是微软的服务器信息块，称为 "Windows RPC RCE"；其次是NGINX，称为 "LDAP参考实现"。
请继续阅读，了解到目前为止我们对这些漏洞的了解，以及你可以做什么来减轻你的风险。
微软Windows RPC RCE - CVE-2022-26809
在四月的补丁星期二，微软披露了他们的服务器信息块（SMB）功能中的一个漏洞，特别是处理RPC的部分。这对你来说可能听起来很熟悉，因为该漏洞与CVE-2003-0352相似--这是2003年蠕虫病毒爆炸者使用的一个漏洞。
剥削的风险和可能性有多大？
微软的咨询表明，"攻击的复杂性 "是 "低"，并评估利用风险为 "更有可能被利用"，这是在没有被证实的野外利用情况下的最高级别。
目前，还没有已知的利用方法，但由于攻击复杂性低和 "更有可能 "的利用assessment ，人们担心恶意行为者可以通过Blaster攻击快速和容易地利用。
研究人员发现公共互联网上有大量的主机可以访问139/445端口，如果发生大规模的探索，这是相当令人担忧的。
用户应该采取什么措施来减少风险？
幸运的是，减轻被这一漏洞利用的风险是相对容易的。
- 确保你阻止来自互联网的139和445端口的访问，当需要访问时，仅限制为内部访问。你可以在这里从微软的文档中找到更多的细节。
- 应用微软在2022年4月12日发布的补丁。
NGINX - LDAP参考实施RCE
NGINX于2022年4月11日披露了一个名为 "LDAP参考实现RCE "的新漏洞，允许在系统上进行远程代码执行（RCE）。
漏洞是什么？
这个漏洞是独特的，因为它不影响用于生产或常见敏感系统的代码。相反，正如其名称中的 "参考实现 "所示，该代码的目的是演示LDAP集成如何在NGINX设置中工作。
哪些人面临风险，你应该如何保护你的代码？
幸运的是，NGINX在默认情况下是没有漏洞的。主要风险是在安装LDAP扩展时。即使如此，其他多个条件也需要为真，才能利用该漏洞。我们建议采取的一个行动是，如果你使用参考实现，确保切换到使用可生产的实现。
欲了解完整的细节，请查看NGINX的披露。
脆弱性让你感到暴露？我们可以提供帮助。
从今天的Windows RPC RCE和NGINX - LDAP Reference Implementation RCE到上个月的Spring漏洞，很明显，软件漏洞是永远存在的。
大多数公司专注于快速反应策略，以减轻代码和客户的风险，但这有一个被动的方法，虽然很重要，但会让你处于风险之中。我们相信，建立安全代码的积极策略，提高你的开发人员的技能，并创建一个注重安全的文化，是保护你们自己免受威胁的最好方法。
在软件开发生命周期的开始阶段就强调开发者驱动的安全，将导致保护力度的增强，更有效的代码部署，并为您节省时间和金钱。
Secure Code Warrior 通过我们独特的培训平台，从教育内容到您的团队正在学习的新技能的实践应用，我们在这里提供帮助。
发现如何 Secure Code Warrior learning platform可以帮助你的开发人员进行安全编码培训。
当涉及到安全和保护你的数据时，对最新发展的快速反应是至关重要的。毕竟，黑客和威胁可能在任何时候出现，所以保持警惕很重要。在这里 Secure Code Warrior我们努力为您提供有关最新漏洞的最新信息，采取什么措施来减少风险以及如何保护您的用户。就像最近公布的帮助你解决Spring库的漏洞一样，我们在这里讨论两个新发现的漏洞。
今天我们重点讨论2个新的漏洞：首先是微软的服务器信息块，称为 "Windows RPC RCE"；其次是NGINX，称为 "LDAP参考实现"。
请继续阅读，了解到目前为止我们对这些漏洞的了解，以及你可以做什么来减轻你的风险。
微软Windows RPC RCE - CVE-2022-26809
在四月的补丁星期二，微软披露了他们的服务器信息块（SMB）功能中的一个漏洞，特别是处理RPC的部分。这对你来说可能听起来很熟悉，因为该漏洞与CVE-2003-0352相似--这是2003年蠕虫病毒爆炸者使用的一个漏洞。
剥削的风险和可能性有多大？
微软的咨询表明，"攻击的复杂性 "是 "低"，并评估利用风险为 "更有可能被利用"，这是在没有被证实的野外利用情况下的最高级别。
目前，还没有已知的利用方法，但由于攻击复杂性低和 "更有可能 "的利用assessment ，人们担心恶意行为者可以通过Blaster攻击快速和容易地利用。
研究人员发现公共互联网上有大量的主机可以访问139/445端口，如果发生大规模的探索，这是相当令人担忧的。
用户应该采取什么措施来减少风险？
幸运的是，减轻被这一漏洞利用的风险是相对容易的。
- 确保你阻止来自互联网的139和445端口的访问，当需要访问时，仅限制为内部访问。你可以在这里从微软的文档中找到更多的细节。
- 应用微软在2022年4月12日发布的补丁。
NGINX - LDAP参考实施RCE
NGINX于2022年4月11日披露了一个名为 "LDAP参考实现RCE "的新漏洞，允许在系统上进行远程代码执行（RCE）。
漏洞是什么？
这个漏洞是独特的，因为它不影响用于生产或常见敏感系统的代码。相反，正如其名称中的 "参考实现 "所示，该代码的目的是演示LDAP集成如何在NGINX设置中工作。
哪些人面临风险，你应该如何保护你的代码？
幸运的是，NGINX在默认情况下是没有漏洞的。主要风险是在安装LDAP扩展时。即使如此，其他多个条件也需要为真，才能利用该漏洞。我们建议采取的一个行动是，如果你使用参考实现，确保切换到使用可生产的实现。
欲了解完整的细节，请查看NGINX的披露。
脆弱性让你感到暴露？我们可以提供帮助。
从今天的Windows RPC RCE和NGINX - LDAP Reference Implementation RCE到上个月的Spring漏洞，很明显，软件漏洞是永远存在的。
大多数公司专注于快速反应策略，以减轻代码和客户的风险，但这有一个被动的方法，虽然很重要，但会让你处于风险之中。我们相信，建立安全代码的积极策略，提高你的开发人员的技能，并创建一个注重安全的文化，是保护你们自己免受威胁的最好方法。
在软件开发生命周期的开始阶段就强调开发者驱动的安全，将导致保护力度的增强，更有效的代码部署，并为您节省时间和金钱。
Secure Code Warrior 通过我们独特的培训平台，从教育内容到您的团队正在学习的新技能的实践应用，我们在这里提供帮助。
发现如何 Secure Code Warrior learning platform可以帮助你的开发人员进行安全编码培训。
资源
Secure Code Warrior corporate overview
Secure Code Warrior is an AI Software Governance platform designed to enable organizations to safely adopt AI-driven development by bridging the gap between development velocity and enterprise security. The platform addresses the "Visibility Gap," where security teams often lack insights into shadow AI coding tools and the origins of production code.
安全代码培训主题和内容
Our industry-leading content is always evolving to fit the ever changing software development landscape with your role in mind. Topics covering everything from AI to XQuery Injection, offered for a variety of roles from Architects and Engineers to Product Managers and QA. Get a sneak peek of what our content catalog has to offer by topic and role.
资源
Observe and Secure the ADLC: A Four-Point Framework for CISOs and Development Teams Using AI
While development teams look to make the most of GenAI’s undeniable benefits, we’d like to propose a four-point foundational framework that will allow security leaders to deploy AI coding tools and agents with a higher, more relevant standard of security best practices. It details exactly what enterprises can do to ensure safe, secure code development right now, and as agentic AI becomes an even bigger factor in the future.
