SecEvery - Vulnerability Warning
2026-06-11
PeopleSoft Enterprise PeopleTools是Oracle公司开发的企业级应用开发工具套件，用于构建、部署和管理PeopleSoft应用程序，提供集成开发环境、应用服务器管理、安全控制及系统更新管理等功能，广泛应用于企业资源规划\(ERP\)系统。受影响版本8.61和8.62的更新环境管理组件存在安全缺陷，由于访问控制不当，未经身份验证的远程攻击者可通过发送特制的HTTP请求利用此漏洞，可能导致系统被完全控制，造成机密性、完整性和可用性的严重损失。
2026-06-09
Linux 内核是一款开源的操作系统内核，是绝大多数 Linux 发行版、服务器、嵌入式设备及云计算平台的核心基础组件。KVM 是 Linux 内核原生集成的虚拟化模块，主要用于实现硬件辅助虚拟化，能够在单台物理主机上创建并运行多台独立虚拟机，广泛应用于公有云、私有云、企业服务器虚拟化场景。arm64 为当前主流的服务器与终端硬件架构之一，大量新一代云服务器均采用该架构搭配 Linux KVM 使用。KVM 依托内核层实现虚拟化隔离，依靠中断管理、内存管理等子系统保障虚拟机与宿主机之间的安全边界，是云计算基础设施的核心技术之一。 该漏洞源于 vgic\_its\_invalidate\_cache\(\) 函数在遍历并清理 ITS 翻译缓存时存在竞争条件。该函数使用 xa\_for\_each\(\) 遍历缓存条目，并通过 vgic\_put\_irq\(\) 释放缓存引用，但释放的是迭代指针而非 xa\_erase\(\) 返回的值。由于该函数可在多个不互斥的上下文中被调用（ITS命令处理程序持有 its\_lock、GITS\_CTLR 写路径持有 cmd\_lock、清除 GICR\_CTLR 中 EnableLPIs...
2026-06-09
Ivanti Sentry是一款专为企业移动设备管理设计的安全网关解决方案，主要用于在移动设备与企业内部网络资源之间建立加密的通信隧道。该产品提供全面的移动安全策略执行、设备合规性检查、访问控制管理和数据加密保护功能，确保企业数据在移动办公环境中的安全性。作为Ivanti统一端点管理解决方案的核心组件，Sentry广泛应用于金融、医疗、制造等大型行业客户，支持iOS、Android等多种移动平台接入。它能够与企业的身份认证系统集成，实现单点登录和细粒度的应用级访问控制，有效保护企业敏感数据免受未授权访问。受影响版本包括R10.5.2、R10.6.2和R10.7.1之前的所有发布版本。该漏洞源于应用程序未能充分过滤和验证用户输入数据，导致远程攻击者可通过网络注入恶意操作系统命令。未经身份验证的攻击者利用此漏洞可在目标系统上执行任意命令，最终获得root权限并完全控制服务器。
2026-06-09
Chrome是一款由Google公司开发的免费的、快速的互联网浏览器软件，目标是为使用者提供稳定、安全、高效的网络浏览体验。Google Chrome基于更强大的JavaScript V8引擎，提升浏览器的处理速度。支持多标签浏览，每个标签页面都在独立的“沙箱”内运行。 该漏洞源于V8 引擎中的越界读写问题，攻击者通过恶意网页触发漏洞，可绕过沙箱防护实现远程代码执行，完全控制用户设备。目前该漏洞已发现在野利用。
2026-06-10
Microsoft Defender 是微软为 Windows 操作系统内置的原生反恶意软件防护组件，也是 Windows 平台主流的终端安全防护工具。该软件集成病毒查杀、恶意程序拦截、系统行为监控、文件防护等多项核心能力，广泛部署于个人电脑、企业办公终端以及各类 Windows 服务器中。它会以系统最高权限 SYSTEM 后台运行，实时监测系统文件、进程与网络行为，抵御病毒、木马、勒索软件等各类网络威胁。作为 Windows 默认安全组件，其运行权限覆盖系统核心目录与关键文件，是 Windows 生态安全体系的重要组成部分，全球装机量规模庞大。 该漏洞源于 Defender 内部处理逻辑中的竞争条件缺陷，Defender 的文件修复引擎在执行特权文件操作时未能充分锁定文件路径验证。攻击者可通过构造 NTFS 目录连接点（junction point）重定向 Defender 的 SYSTEM 级文件写入操作至受控目录，从而劫持特权进程执行流。标准权限的本地用户可利用该漏洞，通过挂载 ISO 镜像并触发竞争条件，使 Defender 以 SYSTEM 权限执行攻击者控制的代码，最终获取...