受欢迎的开源漏洞扫描仪核Nuclei被发现是脆弱的本身，使Crooks允许Crooks经过扫描仪的恶意代码，该漏洞是在2024年9月固定的，但许多用户仍未更新
发现一种脆弱性扫描工具本身是脆弱的，使骗子可以经过守门人的恶意代码。
盖伊·戈登伯格（Guy Goldenberg）的网络安全研究人员在调查了开源漏洞扫描仪之后，于2024年8月发现了ProjectDiscovery和Rsquoo的Nuclei中的一个错误，该漏洞旨在自动化使用基于YAML的基于YAML的模板的各种协议，系统和应用程序的安全问题。
该错误被跟踪为CVE-2024-43405，并获得7.8（高）的严重程度得分。在版本3.0.0-3.3.2中，Nuclei模板签名验证系统中的漏洞使恶意参与者可以绕过签名检查，并可能通过自定义代码模板运行恶意代码。
你可能喜欢
美国政府警告机构确保其备份免受Nakivo安全问题的安全
Ivanti产品再次以危险恶意软件为目标
ESET安全扫描仪漏洞用于部署TCESB恶意软件
升级和解决方法
修复程序于2024年9月初发布，制造了3.3.2版，这是第一个干净的版本。敦促用户立即应用该修复程序，因为预计网络犯罪分子现在开始扫描脆弱的端点。那些不能及时应用补丁的人应停止使用自定义模板，而仅使用受信任的，经过验证的模板。
“那些无法升级Nuclei的人应禁用运行自定义代码模板作为解决方法，”它在NVD网页上进行了解释。
Wiz还指出，应在虚拟机或孤立的环境中使用核。
尽管通常认为开源软件是安全的（如果没有其他的话，那么由于无数的目光一直在看代码），但其受欢迎程度和易于访问性也使其成为对软件供应链攻击感兴趣的犯罪分子的流行目标。尽管无法确定核用户的确切数量，但我们可以说这是一个流行的解决方案，因为它在Github上有21,000颗恒星，并与大约2,600叉配对。
你是专业人士吗？订阅我们的新闻通讯
注册techradar Pro新闻通讯，以获取您的业务成功所需的所有首选，意见，功能和指导！取得成功！请与我联系我们的其他未来品牌的新闻，并代表我们值得信赖的合作伙伴或Sponsorsby提交您的信息，您同意您同意的条款和隐私政策，并年龄在16岁或超过16岁之间。
此外，Nuclei项目拥有700多名贡献者，并促进了5000万个每月扫描，表明网络安全社区内广泛采用。
通过BleepingComputer
您可能还喜欢
专家警告说，对开源软件的更多威胁可能很快就会出现。
