每周云安全资讯-2023年第44周

Okta业务系统被黑导致客户遭入侵，公司股价暴跌11%

国际身份软件巨头Okta的客户支持系统被黑，导致客户上传的Cookie和会话令牌等敏感数据泄露。目前已知ByondTrust、Cloudflare两家公司受影响。

Kubernetes控制器ingress-nginx存在代码注入漏洞（CVE-2023-5044）

Ingress-nginx 中发现了一个安全问题，可用于注入任意命令，并可获取入口 nginx 控制器的凭据。在默认配置中，该凭据有权访问群集中的所有凭据。

研究人员发布VMware (CVE-2023-34051) POC 漏洞利用代码

CVE-2023-34051是 VMware Aria Operations for Logs 中的一个身份验证绕过漏洞。未经身份验证的恶意行为者可以将文件注入受影响设备的操作系统中，从而导致远程代码执行。

K8s集群安全攻防(上)

本篇文章将从K8s的基本概念、主要组件、架构和安全评估测试方法等维度对K8s的安全进行系统性介绍。

利用CVE-2023-2640 和 CVE-2023-32629进行容器内提取

CrowdStrike云威胁研究团队分析了CVE-2023-2640 和 CVE-2023-32629 ，发现在某些情况下可以使用这些漏洞在非root容器内提取至root，然后再利用其他手段进行容器逃逸。

关键信息基础设施上云安全指南（上）

本文分享了云安全基础设施建设的几个重点，以及涉及到的安全能力框架。

Docker 镜像的自动容器安全扫描

在这篇博文中，将了解如何使用工作流程来监控 DockerHub 最受欢迎的公共镜像的安全性。

六种最常见的软件供应链攻击

软件供应链攻击已成为当前网络安全领域的热点话题，其攻击方式的多样性和复杂性使得防御变得极为困难。以下我们整理了六种常见软件供应链攻击方法及其典型案例。

Raven：新的开源扫描器，增强 CI/CD 管道安全性

RAVEN（CI/CD 风险分析和漏洞枚举）是一个强大的安全工具，旨在对 GitHub Actions CI 工作流执行大规模扫描。

MITRE ATT&CK 红队工具集

本文汇总了一系列实用Red Team工具，并按照MITRE ATT&CK框架将这些工具进行分类。

DockerCon 2023 的亮点：新的 Docker 本地、云和 AI/ML 创新

DockerCon 2023 于 10 月 4 日至 5 日在加利福尼亚州洛杉矶举行，本篇文章总结了 DockerCon 2023 中的亮点。

CVSS 大比拼：测试 CVSS v4 与 v3 的性能对比

CVSS v4版本发布在即，本文介绍了其功能更新，并与CVSS v3版本做了效果对比，最后强调了CVSS分数不应该成为漏洞管理的唯一指标。

点击阅读原文或访问

查看历史云安全资讯

长亭百川云 - 文章详情