• 阿尔卡瑟：一款用于测试反病毒系统的恶意软件概念验证工具
GitHub – LordNoteworthy/al-khaser: Public malware techniques used in the wild: Virtual Machine, Emulation, Debuggers, Sandbox detection.
本文档详细介绍了一个名为al-khaser的PoC‘恶意软件’应用，其设计目的是测试和挑战现有的反病毒系统。通过模拟多种常见的恶意行为技巧，该工具能够帮助安全研究人员评估他们的防御机制是否有效，并识别可能存在的漏洞。这是对网络安全领域的重要贡献，因为它提供了一种实用的方法来增强系统的抗攻击能力。
• Zoom解决了两个高严重性的漏洞
Zoom Addresses Six Critical Vulnerabilities: Risks Include Privilege Escalation and Information Leakage
本文详细揭示了Zoom平台近期修复的六大安全漏洞，其中包括两个高危级别的漏洞，分别涉及缓冲区溢出与不当输入验证的问题，这些问题可能导致权限提升及敏感信息泄漏，对网络安全构成重大威胁。
• 谷歌AI平台漏洞泄露企业专有大语言模型
Google AI Platform Bugs Leak Proprietary Enterprise LLMs
本文揭示了谷歌AI平台Vertex AI中的两个关键漏洞，这些漏洞可能让攻击者窃取或污染企业专有的大型语言模型。此发现强调了恶意操纵人工智能技术对商业用户构成的威胁，并展示了在定制开发和部署大型语言模型时所面临的网络安全挑战。
• 区块链安全：Filecoin网络中利用整数溢出触发远程拒绝服务攻击的漏洞分析与修复
Killing Filecoin nodes
本文深入剖析了Filecoin网络中Lotus和Venus客户端的一个关键漏洞，该漏洞允许远程攻击者触发节点崩溃并造成拒绝服务。文章强调了在区块链开发中使用有符号整数的潜在风险，并通过实际案例展示了如何修复此类问题以增强代码安全性。
• Resin URL解析特性导致权限认证绕过分析
Study on Authorization Bypass Caused by Resin URI Normalization Characteristics
本文深度剖析了Resin服务器中因URI规范化特性和不当的权限验证策略所引发的认证绕过问题，揭示了一个鲜为人知的技术细节：即特定条件下，经规范化处理的URI能够意外匹配至预期之外的Servlet，进而规避既定的身份验证流程。
• 原创 Paper | Vigor3900 固件仿真及漏洞分析(CVE-2024-44844、CVE-2024-44845)
In-depth Exploration: Analysis of Command Injection Vulnerabilities CVE-2024-44844/44845 in DrayTek Vigor3900 Series Routers with Firmware Emulation Study
本文深入剖析了DrayTek Vigor3900路由器最新版固件中存在的严重后台命令注入漏洞（CVE-2024-44844/CVE-2024-44845），不仅详细介绍了固件逆向工程过程，还提供了详尽的技术细节以重现这些高危漏洞。
* 查看或搜索历史推送内容请访问：
https://sectoday.tencent.com/
* 新浪微博账号： 腾讯玄武实验室
https://weibo.com/xuanwulab
* 微信公众号： 腾讯玄武实验室
原文始发于微信公众号（腾讯玄武实验室）：每日安全动态推送(24/11/14)
