分类: 漏洞事件

ICS-CERT 发布安全警报:Cisco IOS / IOS XE 系统存在多处高危漏洞

据外媒 8 月 26 日报道,美国工控系统网络应急响应团队 ICS-CERT 近期发布安全警报,宣称 Cisco IOS / IOS XE 系统的简单网络管理协议(SNMP)存在多处高危漏洞,允许通过身份验证的远程攻击者在受影响系统上执行任意代码或触发 DDoS 攻击,从而导致该设备出现重新加载系统的现象。目前,全球包括制造业、能源、水资源系统在内的各行关键基础设施普遍遭受影响。 调查显示,研究人员发现知名企业罗克韦尔的工业以太网交换机 Allen-Bradley Stratix 与 ArmorStratix 存在上述漏洞,其受影响版本包括: ○ Allen-Bradley Stratix 5400、5410、5700 与 8000 运行的 15.2(5)EA.fc4 及早期版本; ○ Stratix 5900 运行的 15.6(3)M1 及早期版本; ○ Stratix 8300 运行的 15.2(4)EA 与早期版本; ○ ArmorStratix 5700 运行的 15.2(5)EA.fc4 及更早版本; 然而,由于关键基础架构依赖于 Cisco IOS 系统软件与企业网络的安全集成,因此这意味着该漏洞将会影响罗克韦尔自动化产品。罗克韦尔在发现设备存在漏洞后当即向客户通报,并表示其中九处漏洞影响 SNMP 子系统的 1、2c 与 3 版本。此外,研究人员还发现攻击者可以利用上述漏洞通过 IPv4 或 IPv6 协议向受害系统发送 “ 精美 ” 的 SNMP 数据包,从而到达完全控制受害系统的目的。 据悉,思科(Cisco)于 6 月 29 日公开披露上述漏洞,后续发布了 Stratix 8300 设备运行的 15.2(4a)EA5 版本的修复补丁。目前,罗克韦尔在等待其他设备更新的同时,敦促客户禁用特定管理信息数据库、使用强大的 SNMP 凭证,通过防火墙或其他安全设备阻止未经授权的 SNMP 请求。 原作者:Pierluigi Paganini,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

新型攻击漏洞 ROPEMAKER 可远程截取并任意更改已送达邮件

据外媒报道,英特尔安全公司 Mimecast 研究人员 Francisco Ribeiro 于 8 月 22 日发布安全警告,宣称攻击者在无需访问用户收件箱时即可利用新型攻击漏洞 ROPEMAKER 绕过安全检测,远程截取并任意更改已送达邮件。 研究人员表示,该攻击手段利用了电子邮件设计功能,允许攻击者基于 HTML 电子邮件远程更改 CSS(层叠样式表)。一旦受害者电子邮件客户端自动连接到远程 CSS(通常用于检索电子邮件类型)时,允许攻击者利用 ROPEMAKER 漏洞将合法链接替换成恶意网址,或通过更改电子邮件内容嵌入有害信息。 研究显示,虽然该漏洞并不影响 Gmail、Outlook Web Access 或 iCloud 等浏览器电子邮件客户端,但 Microsoft Outlook 、Apple Mail 以及 Mozilla Thunderbird 都能成为 ROPEMAKER 漏洞牺牲品。目前,攻击者可采取以下两种方式通过远程 CSS 利用 ROPEMAKER 漏洞展开攻击活动: 第一种方式:允许攻击者调用交换机后发送远程 CSS 代码,以便将合法 URL 转换为恶意 URL。虽然这两个 URL 均以原始电子邮件发送,但攻击者可以通过远程编辑 CSS,从而在邮件中隐藏/显示特定恶意链接。 第二种方式:称为 “ 矩阵漏洞利用 ”,允许攻击者按字符发送 ASCII 文本矩阵后使用远程 CSS 控制收件人最终显示的电子邮件内容。这种攻击方法难以预防,因为电子邮件过滤服务器无法检测仅存在字符的目标网站。此外,攻击者还可通过伪装 ASCII 文本中的恶意链接,规避安全软件检测并更好的诱导受害者点击恶意网站。 目前,虽然研究人员尚未发现 ROPEMAKER 漏洞已被攻击者大规模利用,但这并不意味着攻击者没有在其他领域使用,也不意味着攻击者没有借用 ROPEMAKER 组件进行其他攻击活动。 原作者:Tom Spring,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

Check Point 安全报告:LinkedIn Messenger 存在多处高危漏洞,允许肆意传播恶意文件

流行的商业社交网络 LinkedIn 已在全球 200 多个国家拥有超过 5 亿会员。无论您是一名经理想要扩大团队力量还是一名毕业实习生寻找求职机会,LinkedIn 都是扩展职业关系的首选之地。其中该网站最常被使用的平台 Messenger 允许用户轻松发送简历、传递学术研究并在线分享职位描述。 据外媒 8 月 18 日报道,Check Point 研究人员发现 LinkedIn Messenger 平台存在多处高危漏洞,能够允许攻击者肆意传播恶意软件。目前,为保护用户信息安全,LinkedIn 只允许用户通过 Messenger 平台发送的文件类型有: 文件:csv、xls、xlsx、doc、docx、ppt、pptx、pdf、txt; 图片:gif、jpeg、jpg、png; Check Point 研究人员在一次试验中发现,攻击者可以绕过 LinkedIn 安全防御限制,并将恶意软件附加至 Messenger 服务模块,以感染收件人的系统网络。最终 Check Point 确定四处安全漏洞并于今年 6 月 14 日通知 LinkedIn,LinkedIn 安全团队经检测研究后在 6 月 24 日提供了修复补丁。 ○ 漏洞 1:编写恶意 PowerShell 脚本 攻击者编写了一份恶意 Power Shell 脚本,并将其保存为 .pdf 格式后上传至 LinkedIn 的 CDN 服务器: 然后攻击者继续发送 .pdf 文件。与此同时,攻击者在此阶段控制文件名称(Name 参数)、文件格式(MediaType 参数)与文件扩展名。当受害者下载并打开文件时,将会当即执行 Payload 、感染受害者设备。 ○ 漏洞 2:更改注册表文件数据 REG 是可以在 Windows 注册表数据库中进行更改的文件类型。简而言之,注册表包含重要数据,如程序参数、动态窗口模块、安装/卸载程序列表等。REG 文件类型主要为高级用户设计,以便他们更容易地执行所有更改而不是手动应用。然而,攻击者就是通过制作一个包含恶意 PowerShell 脚本的 REG 文件,并将其伪装成 .pdf 格式后通过 LinkedIn 平台发送给目标受害者。当受害者打开文件并触发恶意软件后,攻击者即可控制用户设备。 ○ 漏洞 3:注入宏病毒代码 攻击者编写了一份嵌入宏病毒的恶意 XLSM 文件,允许绕过杀毒软件检查后成功上传至 LinkedIn 的 CDN 服务器并发送给受害者。当受害者打开恶意 XLSM文 件时,受害者设备将当即遭受感染。 ○ 漏洞 4:编写包含 OLE 的恶意文件(CVE 2017-0199) 攻击者通过编写包含外部对象的恶意文件 DOCX 后,上传至 LinkedIn 的 CDN 服务器并绕过杀毒软件发送给受害者。当受害者打开恶意 DOCX 文件时,WINWORD 会通过目标对象链接自动下载并运行 HTA 文件。一旦成功执行 HTA 文件,受害者设备将当即遭受恶意软件感染。(观看演示效果可点击此处) 原作者:Check Point,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

微软 Word 漏洞:黑客可利用链接自动更新安装恶意软件

根据外媒消息,SANS 互联网中心的一名自由安全顾问和 Handler 在微软 Word 中发现了一个非常有趣的漏洞,允许攻击者滥用 Word 程序自动更新链接的功能。这是一项默认启动的功能,当用户添加外部来源链接时,Word 就会自动更新这些链接而无任何提示。 安全顾问 Xavier Martens 在自己的博客文章中解释了这个漏洞:“感染载体文件可(’N_Order#xxxxx.docx with 5 random numbers)作为附件被接收,它具有把链接嵌入到另外一个文件的能力,这是一个试图利用漏洞( CVE 2017-0199) 的恶意 RTF 文件。” CVE 2017-0199 是一个高危漏洞,允许黑客在用户打开包含嵌入式的文档时下载并执行包含 PowerShell 命令的 Visual Basic 脚本。此外 FireEye 也观察到了 Office 文档利用 CVE 2017-0199 下载来自各个不同知名恶意软件家族的可执行恶意软件。 利用 CVE 2017-0199,Word 文件可访问恶意 RTF 文件,如果成功,它会自动下载一个 JavaScript 有效载荷,而链接的更新会在没有用户交互的情况下触发,它不会对用户发出操作提示警告。这似乎引起了恶意软件代理商的关注,除了 FireEye 发现 CVE 2017-0199 已经被利用之外,Trend Micro 也发现了这个问题。不过,用户如果在 4 月份的时候更新了 CVE 2017-0199 的补丁,可以免受这个攻击威胁。 稿源:威锋网,封面源自网络;

Secure Enclave 解密密钥曝光,苹果不予理睬

8 月 20 日消息,黑客 xerub 于近期发布 Secure Enclave Processor 固件 “ 解密密钥 ”。当时专家就已提醒过用户,接下来会有一场关于这个固件的 “ 解密密钥 ” 风波。用户大可放心,这个解密密钥不会影响到 Secure Enclave 安全。苹果方面好像也不会对此采取什么特别措施。 根据外媒的最新消息,某知情人士称苹果方面已经表示,保存在这一密码协处理器中的数据仍得到安全的保护,苹果不打算修复任何问题。该知情人士说:“ Secure Enclave 中有多个安全层,即使有固件解密密钥,那也无法访问数据保护类信息”。也就是说苹果非常自信,认为对 Secure Enclave 固件的分析不会影响到任何加密密钥、支付标记、指纹数据和其他安全保存在这个协处理器加密内存中的信息。 对此,黑客表示:“苹果的工作就是尽可能让 Secure Enclave 安全。这是一个持续不断的过程,不存在你可以说‘它现在是 100% 安全’的情况 ”。Secure Enclave 是独立于主处理器和整个系统的。它有自己的固件,独立更新,断绝与主处理器之间的一切联系。设备对 Secure Enclave 所做的事情是一无所知的。 稿源:cnBeta、威锋网,封面源自网络;

安全研究人员成功修复开源内容管理框架 Drupal 8 多处高危漏洞

据外媒报道, Drupal 研究人员于 8 月 16 日发布安全报告,宣称已修复 Drupal 8 多处漏洞并在线更新安全补丁。研究显示这些漏洞影响 Drupal 8 多个系统组件,包括实体访问系统、REST API 与部分视图组件。 ○ CVE-2017-6925 研究人员发现 Drupal 8.3.7 中存在一处高危漏洞(CVE-2017-6925),影响实体访问系统,允许攻击者查看、创建、删除或更新实体。不过,该漏洞仅影响不具备 UUID 实体,以及对同一实体不同版本有多种访问限制的实体系统。 ○ CVE-2017-6924 在 Drupal 8 中存在另一绕过访问权限的关键漏洞(CVE-2017-6924),即当无访问权限的任何用户驻留在 REST API 时,允许通过 REST 发布评论。目前,此漏洞已被评估为高危漏洞,因为它影响具有 RESTful Web 服务模块与启用注释实体 REST 资源的站点。 ○ CVE-2017-6923 在 Drupal 8 中还存在另一关键漏洞(CVE-2017-6923)影响视图组件。当用户创建视图时,可以选择使用 Ajax 通过过滤器参数更新数据。不过,视图子模块仅对配置为 Ajax 的视图进行访问。如果用户对视图具有访问限制,那么可以减轻系统损失,即使用户正使用另一模块显示。 目前,安全研究人员建议用户尽快全盘检测系统并将 Drupal 升级至最新版本。 原作者:Pierluigi Paganini,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

苹果:iOS 11 系统漏洞已修复,iPhone 7 暴力破解失效

一个价值 500 美元的小型设备利用了苹果 iPhone 7 和 iPhone 7 Plus 独一无二的新漏洞,暴力破解 iPhone 7 锁屏幕密码,并且一次最多破解三个手机的  iOS 锁屏密码。在 YouTuber 用户 EverythingApplePr 的破解演示视频中,指出此类漏洞在旧版设备,如 iPhone 6 或 iPhone SE 上无效。此外,仅适用于 iOS 10.3.3 或最新的 iOS 11 测试版。 不过,根据苹果的回应,在 iOS 11 Beta 4 中,这个安全漏洞已经被修复,iPhone 7 已经无法使这款 500 美元的小型设备进行暴力破解了。 稿源:cnBeta、MacX,封面源自网络;

Rapid7 发布警告:远程桌面协议( RDP )在线暴露数百万 Windows 终端

据外媒 8 月 14 日报道,网络安全公司 Rapid7 专家近期通过分析远程桌面协议( RDP )端点的数据时发现 RDP 在线暴露逾了 410 万台 Windows 终端。 Rapid7 曾于今年 5 月发表一份研究报告,揭示数百万设备因 SMB、Telnet、RDP 与其他类型的配置错误遭受网络攻击。相关数据显示, 今年第一季度的 RDP 开放终端与 2016 年初( 1080 万台 )相比 “ 减少 ” 360 万台。 安全专家指出,即使用户在 Windows 上默认禁用 RDP 协议,它通常也会允许管理人员在内部网络中运行与维护。据悉,微软自 2002 年以来就已处理过数十处 RDP 漏洞,其中包括影子经纪人曾在线曝光的安全漏洞 EsteemAudit(CVE-2017-0176),旨在攻击远程桌面协议服务( 端口 3389 )。远程桌面协议攻击是恶意软件分发的特权攻击载体。目前,多数恶意软件已使用远程桌面协议(CrySiS、 Dharma 与 SamSam)作为攻击来源系统。 Rapid7 研究报告显示,多数暴露的远程桌面协议端点(28.8%,或超过 110万)位于美国,其次是中国(17.7%,约 73 万)、德国(4.3%,约 177,000)、巴西(3.3%,约 137,000)与韩国(3.0%,约 123,000)。然而,专家注意到,与暴露的 RDP 端点相关联的 IP 地址组织,多数属于亚马逊(7.73%),其次是阿里巴巴(6.8%)、微软(4.96%)、中国电信(4.32%)等。 Rapid7 报告显示,目前超过 83% 的远程桌面协议终端愿意继续使用 CredSSP 作为安全协议验证与保护 RDP 会话,而逾 15% 的终端因极易遭受中间人攻击不再继续支持 SSL / TLS 协议。 原作者:Pierluigi Paganini,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

Netsarang 旗下 Xmanager 、Xshell 等多款产品源码被植入恶意后门

HackerNews.cc 8 月 14 日消息,上个月卡巴斯基实验室发现 Netsarang 开发的远程终端模拟软件 Xmanager、Xshell、Xftp、Xlpd 等产品 nssock2.dll 模块源码被植入恶意后门。目前,研究人员已在 Xshell 5.0.1322 与 Xshell 5.0.1325 两个版本中确认后门存在。 Xshell 是一款强大的安全终端模拟软件,支持 SSH1、SSH2, 以及 Microsoft Windows 平台的 TELNET 协议。Xshell 通过互联网到远程主机的安全连接以及它创新性的设计与特色帮助用户在复杂的网络环境中享受他们的工作。此外,Xshell 还可以在 Windows 界面下访问不同系统下的服务器,从而较好的达到远程控制终端的目的。(百度百科) 受影响的产品版本: ○ Xmanager Enterprise 5.0 Build 1232 ○ Xmanager 5.0 Build 1045 ○ Xshell 5.0 Build 1322 ○ Xftp 5.0 Build 1218 ○ Xlpd 5.0 Build 1220 由于国内使用该软件的技术人员众多,存在极大安全风险。如果用户当前使用了上述受影响的 Build 版本,可以通过客户端进行检查更新,或通过官方网站手动下载最新版本以解决问题。此外,Netsarang 厂商已通知防病毒公司隔离/删除受影响的 dll 文件。 目前,官方已于 8 月 5 日发布的最新版本 Xmanager Enterprise Build 1236、Xmanager Build 1049、Xshell Build 1326、Xftp Build 1222 与 Xlpd Build 1224 中修补漏洞。我们强烈建议用户尽快全盘查杀病毒并将工具升级至最新版本。 稿源:Netsarang ,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

美国瞻博 (Juniper) 路由器与交换机的开源 GD 图形库存在高危漏洞

据外媒报道,美国知名网络通讯设备厂商瞻博网络( Juniper Networks )于 8 月 10 日发布安全警报,宣称 Juniper 路由器与交换机的开源 GD 图形库( libgd )2.1.1 版本存在 CVSS 分值 8.1 的高危漏洞( CVE-2016-3074 ),允许黑客远程操控部分版本的 Junos OS 系统。 调查显示,受影响的 Junos OS 系统版本为 12.1 X46、12.3 X48、15.1 X49、14.15、15.1、15.1 X53、16.1 与 16.2,其中运行上述软件的硬件产品包括 Juniper 路由器 T 系列与 MX 系列,以及四款 Juniper 交换机。Juniper 安全顾问表示,该漏洞允许黑客在用户处理 gd2 压缩数据出现堆溢出时,执行任意代码或实施拒绝服务攻击。 据悉,使用以上漏洞产品的企业在过去一年内普遍遭受影响,其中不乏知名企业 HP Enterprise、Red Hat、Fedora 与 Debian 等。目前,各家企业已发布安全公告,建议用户更新软件、限制关键基础设施联网设备可利用攻击面,并使用访问列表或防火墙过滤器限制访问可信网络设备。 原作者:Tom Spring,译者:青楚,译审:游弋 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接。