再保险:CVE华硕

库尔特-

这个问题实际上有一个ID, cve - 2016 - 3966。

其他公共引用:

https://duo.com/assets/pdf/out-of-box-exploitation_oem-updaters.pdf

https://duo.com/blog/out-of-box-exploitation-a-security-analysis-of-oem-updaters

我们希望CVE - 2016 - 3966将被添加到CVE语料库在不久的将来。

问候,

CVE团队

来自:owner-cve-editorial-board-list@lists.mitre.org [mailto: owner-cve-editorial-board-list@lists.mitre.org]代表Kurt Seifried
发送:星期一,2016年6月6日下午2点
:cve-editorial-board-list < cve-editorial-board-list@lists.mitre.org >
主题:CVE的华硕

及时、华硕船包,默认下载HTTP内容高度信任的方式,然后执行它(BIOS / UEFI等等)。

http://teletext.zaibatsutel.net/post/145370716258/deadupdate-or-how-i-learned-to-stop-worrying-and

我担心的业务案例“随机的东西在线下载并执行它”是越来越常见(npm硬件供应商,rubygems.orgpypi,容器等),我们会看到很多这样的更多的东西。

- - -
Kurt Seifried——红帽产品安全——云
PGP A90B F995 7350 148 f 66高炉7554 160 d 4553 5 e26 7993
红帽产品安全联系:secalert@redhat.com