⑴ 谷歌 Chrome 浏览器高危漏洞可执行任意代码，升级通知及受影响版本
谷歌 Chrome 浏览器发现高危执行任意代码漏洞，紧急呼吁升级</谷歌近日披露了Chrome浏览器的重大安全漏洞，五个严重漏洞可能导致远程攻击者利用精心构造的HTML页面或恶意扩展程序，执行超出权限的代码，对用户数据造成潜在威胁。其中CVE-2020-15960、CVE-2020-15961、CVE-2020-15963和CVE-2020-15965四个漏洞都涉及执行任意代码，而CVE-2020-15962则是针对内存访问的越界漏洞。
攻击者可以通过这些漏洞在用户浏览器的上下文中运行恶意代码，特别是在沙箱逃逸情况下，恶意扩展程序可能突破安全限制，对系统造成破坏。谷歌强调，尽管目前没有公开报道的漏洞利用案例，但用户应尽快采取行动，避免访问不可信网站或点击未知来源链接。
受影响的Chrome版本包括85.0.4183.121及之前版本。解决方案是立即升级至Chrome 85.0.4183.121或更高版本，以修复这些漏洞。获取更多详细信息和更新，请访问官方公告：
http://chromereleases.googleblog.com/2020/09/stable-channel-update-for-desktop_21.html
安全升级刻不容缓，确保您的设备免受潜在威胁是首要任务。务必保持浏览器至最新版本，以保护个人数据和系统安全。
⑵ Apache ActiveMQ Jolokia远程代码执行漏洞(CVE-2022-41678)分析
近日，Apache官方通告了一项重大安全漏洞 CVE-2022-41678，涉及其开源消息中间件ActiveMQ的远程代码执行问题。漏洞允许经过身份验证的用户利用Jolokia接口，执行任意代码，威胁到系统的安全性。
Apache ActiveMQ作为JMS规范的实现，主要用于应用程序间的分布式通信。默认情况下，通过8161端口访问，攻击者可通过恶意HTTP请求，篡改配置文件并植入恶意文件，进而完全控制受影响的系统。因此，所有使用该软件的用户应立即进行自查并采取相应防护措施。
要验证漏洞，首先确保项目已正确配置，使用JDK11及以上版本，部署并启动服务，确认8161端口正常访问。或者使用Docker-compose快速部署。漏洞涉及FlightRecorder MBean的setConfiguration方法，通过修改配置文件并包含恶意代码，最终通过To功能将代码导入Web目录。
塞讯安全度量验证平台已加入针对此漏洞的攻击模拟，用户可搜索关键词"ActiveMQ"或"CVE-2022-41678"获取验证任务。平台以安全方式帮助用户测试防御措施，确保系统的防护效果。
为了修复漏洞，需要修改assembly/src/release/conf/jolokia-access.xml中的配置，增加安全限制。具体操作请参考Apache官方公告或联系安全团队进行操作。