北京时间1月14号，GitLab官方发布了一则重要版本更新的安全通告，修复了一个可能导致私有项目信息泄露的漏洞（CVE-2020-6832）。 GitLab是一个用于仓库管理系统的开源项目，使用Git作为代码管理工具，并在此基础上搭建起来的web服务。 在使用GitLab的项目导入功能时，利用该漏洞可从私有项目中获取到敏感信息，请相关用户进行防护。

本月，微软发布了多个漏洞的补丁程序，共涉及49个漏洞，包含以下几个高危漏洞：微软Windows远程桌面网关(RD Gateway)远程代码执行漏洞（CVE-2020-0609、CVE-2020-0610），微软Windows CryptoAPI欺骗漏洞（CVE-2020-0601），微软ASP.NET Core拒绝服务漏洞（CVE-2020-0602），微软.NET框架远程代码执行漏洞（CVE-2020-0646）。鉴于这些漏洞危害较大，建议客户尽快安装更新补丁。

2020年1月15日，微软例行公布了1月的补丁更新列表，在其中存在一个由NSA发现的、影响 Microsoft Windows 加密功能的严重漏洞（CVE-2020-0601）。该漏洞影响CryptoAPI椭圆曲线密码(ECC)证书检测机制，致使攻击者可以破坏Windows验证加密信任的过程，并可以导致远程代码执行。该漏洞影响Windows 10和Windows Server 2016/2019以及依赖Windows获得信任功能的应用程序。目前软件厂商微软已经发布了漏洞相应的补丁，建议受影响用户尽快安装，以有效缓解所有Windows 10和Windows Server 2016/2019系统上的漏洞。如果短时间对企业范围进行自动化的修补难以实现，建议系统所有者优先考虑对关键服务进行修补。

Oracle官方发布了2020年1月的关键补丁程序更新CPU（Critical Patch Update），其中修复了多个存在于WebLogic中的漏洞包括CVE-2020-2551、CVE-2020-6950、CVE-2020-2546、CVE-2020-2549、CVE-2020-2550、CVE-2020-2547、CVE-2020-2548、CVE-2020-2552、CVE-2020-2544、CVE-2020-2519、CVE-2019-17359。

OpenCV (Open Source Computer Vision Library，开源计算机视觉库)是一个基于BSD许可发行的跨平台计算机视觉库，可以运行在Linux、Windows、Android和Mac OS操作系统上。OpenCV是由Intel在1999年开发的，目前由非盈利组织OpenCV.org负责维护。OpenCV主要关注实时计算机视觉应用，主要应用于面部识别、机器人、动作追踪和其他的机器学习应用，包括谷歌、微软、Intel、IBM、雅虎、索尼、宏达、Toyota等在内的大公司都在使用该计算机视觉库。 Cisco Talos研究人员在OpenCV库中发现2个严重的缓冲区溢出漏洞，攻击者利用这两个漏洞可以引发堆破坏并导致任意代码执行。这2个漏洞分别是CVE-2019-5063和 CVE-2019-5064，CVSS评分8.8分。

Nagios是一款流行的网络监控工具，常用于监控Windows、Linux和Unix的主机状态、交换机路由器、打印机等设备。在系统或服务状态异常时发出邮件或短信报警第一时间通知网站运维人员，在状态恢复后发出正常的邮件或短信通知。Nagios XI是一个扩展接口，用来配置管理器和使用Nagios Core作为后端的工具包。Nagios XI提供了广泛的用户界面，配置编辑器，高级报告，监控向导，可扩展的前端和后端以及Nagios Core上的其他许多附加功能。 在Nagios XI 5.6.9版本中，在Web服务器用户帐户的上下文中，经过身份验证的攻击者可通过向某页面发送带有命令行Payload的恶意参数即可执行任意系统命令。

Tencent WeChat（微信）是中国腾讯（Tencent）公司的一款跨平台的通讯工具。近期，有关研究人员发现微信出现了用户名远程代码执行漏洞，该漏洞可严重影响用户的终端安全。 特定缺陷存在于用户名解析中。该问题是由于在执行系统调用之前未对使用用户提供的字符串进行正确验证造成的。攻击者可以利用此漏洞在当前进程的上下文中执行代码。

当地时间12月19号，Apache官方发布了一则Apache Log4j 存在反序列化可导致远程代码执行(CVE-2019-17571)漏洞的通告。Log4j是美国阿帕奇（Apache）软件基金会的一款基于Java的开源日志记录工具。Log4j 1.2版本中包含一个SocketServer类，在未经验证的情况下，该SocketServe类很容易接受序列化的日志事件并对其进行反序列化，在结合反序列化工具使用时,可以利用该类远程执行任意代码。