Aggregator

Apache Dubbo是一种基于Java的高性能RPC框架。该项目于2011年开源，并于2018年2月进入Apache孵化器，目前已经成为了广大开发者最常使用的微服务框架之一。它提供了三大核心能力：面向接口的远程方法调用，智能容错和负载均衡，以及服务自动注册和发现。

腾讯安全玄武实验室研究员发现，Dubbo 2.7.6或更低版本采用的默认反序列化方式存在代码执行漏洞，当Dubbo服务端暴露时(默认端口：20880)，攻击者可以发送未经验证的服务名或方法名的RPC请求，同时配合附加恶意的参数负载。当恶意参数被反序列化时，它将执行恶意代码。
经验证该反序列化漏洞需要服务端存在可以被利用的第三方库，而研究发现极大多数开发者都会使用的某些第三方库存在能够利用的攻击链，攻击者可以利用它们直接对Dubbo服务端进行恶意代码执行，影响广泛。

Ruilin

高风险

远程代码执行等

• Apache Dubbo 2.7.0 ~ 2.7.6
• Apache Dubbo 2.6.0 ~ 2.6.7
• Apache Dubbo 2.5.x 所有版本 (官方不再提供支持)

Apache Shiro是一个强大且易用的Java安全框架，它可以用来执行身份验证、授权、密码和会话管理。目前常见集成于各种应用中进行身份验证，授权等。

腾讯安全玄武实验室研究员发现在Apache Shiro 1.5.3之前的版本，将Apache Shiro与Spring控制器一起使用时，特制请求可能会导致身份验证绕过。

该漏洞由腾讯安全玄武实验室的Ruilin发现并报告，此外来自边界无限的淚笑也独立向官方报告了此漏洞点。

高风险

身份验证绕过等

Apache Shiro 1.5.3之前的版本

腾讯安全玄武实验室在部分快速充电（以下简称快充）产品中发现了一种新型安全问题，并将其命名为“BadPower”。

利用BadPower，攻击者可入侵支持快充技术的充电器等设备，使被入侵的设备在对外供电时输出过高电压，从而导致受电设备的元器件击穿、烧毁, 甚至可能进一步对受电设备所在物理环境产生安全隐患。

作者：腾讯安全玄武实验室 dlive, salt

CDN(Content Delivery Network) 是云服务厂商提供的一种Web内容加速分发服务。

对于攻击者来说，CDN提供了大量分布于全球各地的边缘节点IP，并且可以将源服务器隐藏在CDN节点之后，所以CDN非常适合被用于保护C2的通信。

本文介绍了我们在某些CDN实现中发现的一些特性，以及如何利用这些特性隐藏C2通信流量，我们将这种新型的基于CDN的隐蔽通信方法称为Domain Borrowing。

Author: Xiangqian Zhang, Huiming Liu of Tencent Security Xuanwu Lab

本文我们将详细介绍对Android手机厂商自带的隐私保护应用程序的研究。我们调查了排名前五的Android供应商提供的隐私保护应用程序，发现许多应用程序并不能很好地保护我们的隐私安全。我们针对隐私保护应用提出了3种威胁模型，并展示了4个隐私保护应用的攻击案例。该研究已经发表在Black Hat Asia 2021。

Windows打印机相关服务存在逻辑缺陷，可以被用来进行权限提升甚至可以实现远程任意代码执行，微软已于2021年6月8号发布安全补丁，对该缺陷进行修复，请尽快完成系统更新。

Author : Yu Chen(alohachen) of Tencent Security Xuanwu Lab

随着LLM应用的广泛普及，用户对提示词中的隐私信息泄漏的担忧日益增加。我们首次提出了一种可部署在端侧的提示词隐私保护方案，并对其安全性和可用性进行了评估。与安全多方计算（MPC）和Presidio等方案相比，我们的方案具有轻量化、端到端，支持匿名信息还原等优点。

Author: Guannan Wang, Guancheng Li of Tencent Security Xuanwu Lab

企业为防御网络攻击，常常投资于先进的安全产品，如EDR、NDR、WAF等，这些产品往往依靠特定的规则生成告警，提示企业可能存在的网络威胁。但这些告警规则因为缺乏网络安全领域的先验知识，为企业的安全防御带来了双重挑战：

• 只依赖具体的规则进行检测会产生大量误报，导致企业难以分辨哪些是检测到真正网络威胁的告警；

• 用户对告警的理解和反应受限于他们在安全领域的知识水平，这对用户的能力提出了较高的要求。因此，告警的解读和响应通常需要有丰富安全知识和经验的安全专家与企业的运营团队进行紧密合作才能完成。

然而，不仅安全专家招聘成本高，依赖于人工分析的方法也存在效率低下等问题，难以应对告警数量激增的情况。此外，因为告警数据的敏感性，部分企业也担心上传云端等出网的分析方法带来的隐私泄露风险。因此，企业面临着在保障网络安全和把控成本效率之间寻找平衡的难题。

为有效应对安全告警分析的挑战，我们引入了一款基于安全大模型的告警研判机器人，能够对EDR设备上报的告警进行智能分析。这款机器人融合了丰富的安全领域先验知识，能够对告警进行深入研判，自动执行调查和取证工作。我们的方案支持私有化部署，具备出色的专业分析能力并能保证极高的吞吐量，能够助力企业提升告警分析效率，同时降低相关成本。

玄武实验室拥有专业的“攻防+AI”团队，多次助力腾讯在国家攻防演练中荣获前三名。实验室在ChatGPT发布之前就已经开始研究AI在安全领域的应用，并在ChatGPT推出后，进一步加深了对大模型相关技术的研究。

私有化部署大模型能够有效保护数据隐私、便于开展大模型安全研究和知识蒸馏。目前主流部署方式包括纯 GPU、CPU/GPU 混合以及纯 CPU 三种部署方式。本文介绍了我们针对 DeepSeek 大模型纯 CPU 本地化部署的推理探索与实践方案。我们以约 3.8 万元的整体成本，基于 llama.cpp 框架，经过硬件选型与量化精度的综合考量，实现了 q8 精度下 7.17 tokens/s 的峰值输出速度。通过散热方案改进、BIOS 参数优化及系统内存带宽调优，我们在 q8 精度下取得了不小的性能提升，其中长文本生成速度提升约 25%、峰值输出速度提升约 15%、预填充速度提升约 20%。全文内容共分为《装机选型篇》《软硬件配置篇》《性能测试与量化对比篇》《性能优化分析篇》四个部分，本篇文章涵盖前三个部分，第四部分将在下一篇文章中详细展开。

Large cloud storage operators track their hard drives every day, recording which units keep running and which ones drop off the racks. Backblaze does this at scale, and its Q1 2026 report covers a fleet built for continuous use. The analysis covered 341,263 hard drives, after boot drives and a small group of units that missed the reporting thresholds were set aside. The pool spans capacities from 4TB to past 20TB. The quarterly annualized failure … More →

The post A hard drive reliability check on 341,263 drives, from 4TB to past 20TB appeared first on Help Net Security.

Here’s a look at the most interesting products from the past week, featuring releases from Cloudflare, Lineation.ai, Nudge Security, and Polygraf AI. Polygraf AI Meeting Guard delivers real-time deepfake detection for enterprise meetings Polygraf AI has announced Meeting Guard, a real-time AI fraud detection solution for enterprise meetings built to detect fraud and protect meeting security. It joins virtual meetings as a visible participant and delivers near-real-time security analysis to every attendee. Built for enterprise … More →

The post New infosec products of the week: July 17, 2026 appeared first on Help Net Security.