sona | CN-SEC 中文网

安全新闻

9年历史的NPM加密包被劫持用于窃取信息

软件供应链管理公司Sonatype报告称，多个用于区块链应用程序开发的NPM包已被劫持，用于传播信息窃取恶意软件。这些软件包为构建与区块链服务交互的应用程序的开发人员提供了合法功能，但其最新版本包含混...

04月09日14 views评论

阅读全文

安全新闻

Infostealer 活动入侵 10 个 npm 软件包，以开发人员为目标

昨天，十个 npm 包突然被更新为恶意代码，以窃取开发人员系统中的环境变量和其他敏感数据。该活动针对多个与加密货币相关的软件包，其中流行的“国家货币地图”软件包每周被下载数千次。该恶意代码是由 Son...

04月01日10 views评论

阅读全文

供应链安全

【供应链安全】利用恶意的npm软件包挖掘加密货币

0x00 风险概述2021年10月20日，Sonatype安全团队公开披露了其自动恶意软件检测系统本月在npm库中发现的3个恶意软件包。这些恶意软件包伪装成合法的JavaScript库，但却发现在Wi...

12月28日8 views评论

阅读全文

供应链安全

2024软件供应链SCA赛道分析｜Forrester Wave

随着核心功能的商品化导致竞争加剧，Sonatype、Snyk 和 Black Duck 仍在 Forrester 的软件成分分析SCA排行榜上名列前茅。Forrester 高级分析师 Janet Wo...

12月23日9 views评论

阅读全文

安全新闻

研究人员警告称，Apache Struts 2 关键漏洞可能遭利用

导读研究人员警告说，在 Apache Struts 2 中的一个严重漏洞首次披露和修补几天后，攻击者就正在积极利用该漏洞。根据 Apache 的公告，该漏洞编号为CVE-2024-53677，涉及文...

12月22日10 views评论

阅读全文

安全文章

利用Sonatype API实现依赖检测工具

背景由于毕设答辩时间提前，导致迫不得已砍掉部分功能，而个人感觉功能有点少故添加了个依赖检测功能，大体原理利用Maven API解析提取上传的Pom文件中的依赖项，然后借助Sonatype进行安全检测。...

11月12日8 views评论

阅读全文

安全新闻

2024年恶意开源软件包出现爆炸式增长

开源开发环境中,恶意软件组件的比重日益攀升,使得企业对于软件供应链所面临的风险高度警觉。根据软件供应链管理公司 Sonatype 的最新报告，恶意软件正以前所未有的速度侵入开源软件的开发生态系统。自2...

10月18日97 views评论

阅读全文

供应链安全

确保开发基础设施安全：软件供应链安全的新前沿

软件供应链对于现代软件开发来说不可或缺，因为它们推动了各行业的创新和效率。然而，尽管这些供应链至关重要，但它们也是威胁和攻击的渠道。随着威胁行为者的进化，他们所使用的方法也发生了变化。他们已经从利用已...

09月09日21 views评论

阅读全文

程序逆向

Nexus Reposity3目录穿越漏洞CVE-2024-4956

1. 漏洞描述 Sonatype Nexus Repository 3（Sonatype Nexus 3）是一个由Sonatype开发的仓库管理工具，用于管理和托管各种软件构件（如Maven构件...

08月03日19 views评论

阅读全文

安全漏洞

Sonatype Nexus Repository CVE-2024-4956 任意文件读取【附poc】

fofa app="Nexus-Repository-Manager" 一、漏洞简述 Sonatype Nexus Repository3（Sonatype Nexus 3）是一个由So...

07月20日52 views评论

阅读全文

Nexus Repository Manager 路径遍历漏洞 CVE-2024-4956

系统介绍 Sonatype Nexus Repository 是美国Sonatype公司的一款存储库管理器，用于存储和分发软件组件、构建工件和 Docker 容器。它支持多种包格式，与 CI/CD 工...

07月15日安全漏洞26 views评论

阅读全文

安全漏洞

漏洞复现 | Nexus Repository 3 存在路径遍历漏洞（CVE-2024-4956）【附poc】

免责声明本文仅用于技术学习和讨论。请勿使用本文所提供的内容及相关技术从事非法活动，由于传播、利用此文所提供的内容或工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果均与...

06月06日88 views评论

阅读全文