Hackernews 编译，转载请注明出处： 澳大利亚、英国和美国的网络安全部门发布了一份联合警告，称2021年针对全球关键基础设施组织的复杂、高影响力的勒索软件攻击将有所增加。 这些事件针对的行业范围很广，包括国防、应急服务、农业、政府设施、 IT、医疗保健、金融服务、教育、能源、慈善机构、法律机构和公共服务。 “勒索软件的策略和技术在2021年继续发展，这表明勒索软件威胁组织的技术日益复杂，对全球组织的勒索软件威胁也在增加,”这些安全部门在联合公报中说。 鱼叉式网络钓鱼(Spear-phishing)、窃取或暴力强制远程桌面协议(RDP)凭证以及利用软件漏洞成为最值得注意的三大感染媒介，这些媒介被用来在受到攻击的网络上部署勒索软件，就连这种犯罪商业模式已经演变成一个由不同类型的黑客主导的“专业”市场，以获得初始访问权、谈判赎金和解决钱款纠纷。 但随着去年对 Colonial Pipeline、 JBS 和 Kaseya 的高调攻击，勒索软件黑客在2021年下半年转移了对美国“大猎物”的追捕，将重点放在中等规模的受害者身上，以躲避执法部门的监视。 “在对受害者网络进行加密之后，勒索软件黑客越来越多地使用‘三重勒索’，威胁要(1)公开被盗的敏感信息，(2)中断受害者的互联网接入，和/或(3)向受害者的合作伙伴、股东或供应商通报此事。” 根据 Syhunt 本周发布的一份新报告，从2019年1月到2022年1月，勒索软件组织从受害者组织中窃取了超过150tb 的数据，仅 REvil 就占了该组织从282名受害者那里窃取的所有被盗信息中的44.1 TB。 勒索软件集团采取的扩大影响的其他策略包括: 利用已知的漏洞攻击云基础设施; 通过一个初始入侵攻击托管服务提供商(MSPs)访问多个受害者; 部署用于破坏工业流程的代码; 毒害软件供应链; 以及在节假日和周末进行攻击。 为了减少和减轻勒索软件攻击的可能性和影响，各组织积极采取行动ーー 保持所有操作系统和软件的更新, 通过内部网络限制对资源的访问，特别是限制 RDP 和使用虚拟桌面基础设施, 提高用户对网络钓鱼的风险的认识, 使用强大、独特的密码和双重身份验证，以保护账户免受接管攻击, 加密cloud中的数据, 实现网络分割, 禁用不必要的命令行实用程序，并限制脚本编写活动和权限, 对特权帐户访问实施时间限制，以及 保持数据的脱机(即物理断开)备份 “犯罪活动的动机是金钱利益，所以支付赎金可能会鼓励对手攻击更多的组织，或鼓励网络犯罪分子参与分发勒索软件,”该机构警告说。”支付赎金也不能保证受害者的档案会被找回。此外，减少勒索软件威胁行为者的经济收益将有助于打破勒索软件犯罪商业模式。” 消息来源：TheHackerNews，译者：Zoeppo； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc ” 并附上原文

昨晚，据称是恶意软件开发者在国外 BleepingComputer 论坛上发帖，公开了 Maze、Egregor 和 Sekhmet 勒索软件操作的主解密密钥。经安全公司 Emsisoft 确认这些解密密钥是合法的，该公司勒索软件专家和威胁分析师 Brett Callow 表示解密密钥的发布是高压政策下让网络犯罪分子已经感到担忧。 Maze 勒索软件于 2019 年 5 月开始运作，并迅速成名，因为他们负责使用现在许多勒索软件运作所使用的数据盗窃和双重勒索战术。在 Maze 于 2020 年 10 月宣布关闭后，他们在 9 月重新命名为 Egregor，后来在成员在乌克兰被捕后，他们消失了。Sekhmet行动在某种程度上是一个例外，因为它在2020年3月启动，而Maze仍在活动。 在 14 个月之后，上述三款勒索软件的解密密钥由一名网名为“Topleak”的用户泄露，他自称是所有三款勒索软件的开发者。 发帖人说，这是一次有计划的泄漏，与最近的执法行动没有关系，这些行动导致服务器被查封，赎金软件的附属公司被逮捕。 “Topleak”表示：“公开解密密钥是因为引起太多的线索，而且大部分都是假的，所以有必要强调这是一次有计划的泄漏，与最近的逮捕和取缔行动没有任何联系”。他们进一步表示，他们的团队成员都不会再回到勒索软件领域，而且他们销毁了勒索软件的所有源代码。   （消息及封面来源：cnBeta）

一场“蓄意的恶意网络攻击”，导致服务葡萄牙企业和数百万人的服务瘫痪，其中还包括救护车和其他紧急服务。Vodafone Portugal 是英国沃达丰集团下属子公司，拥有 430 万手机用户和 340 万光纤用户。在最新发布的一份声明中，公司表示本次公司始于本周一晚上。攻击迅速摧毁了该子公司的 4G 和 5G 网络，并停止了固定语音、电视、短信以及语音和数字应答服务。 据葡萄牙新闻网站 Lusa 报道，Vodafone Portugal 公司首席执行官 Mário Vaz 在一次新闻发布会上说：“[这是]一次针对网络的攻击，其目的肯定是蓄意的，故意让我们的客户没有任何服务”。这次攻击的目的显然是使我们的网络无法使用，而且其严重程度使服务水平尽可能的困难。 据 Lusa 和其他当地新闻机构报道，数以百万计的客户无法拨打语音电话，发送短信，使用互联网，或访问有线电视。该国 Multibanco 自动取款机网络的运营商说，这次攻击对其服务造成了“一些偶尔的不稳定”。其他企业和公共服务也受到影响，包括救护车运营商、消防部门和医院。 虽然在本周一晚些时候，Vodafone Portugal 已经恢复了该国大部分地区的 3G 语音和数据服务，但是截至本周三，依然有很多受到影响的服务尚未完全修复。恢复服务的工作正在优先考虑紧急服务。 公司官员在周二的声明中写道：“不幸的是，我们所遭受的犯罪行为的规模和严重性，意味着所有其他服务都需要谨慎和长时间的工作。他们补充说，恢复过程 涉及多个国家和国际团队以及外部合作伙伴”。   （消息及封面来源：cnBeta）

Hackernews 编译，转载请注明出处： 一个名为 PHP Everywhere 的 WordPress 插件中披露了一个关键的安全漏洞，这个插件在全世界有超过30,000个网站使用，攻击者可能会利用这个漏洞在受影响的系统上执行任意代码。 PHP Everywhere 用于在 WordPress 安装过程中打开 PHP 代码的开关，使用户能够在内容管理系统的 Pages、 Posts 和 Sidebar 中插入和执行基于 PHP 的代码。 以下这三个问题，在 CVSS 评级系统中评级9.9（满分为10），影响版本2.0.3及之后的版本，如下： CVE-2022-24663-订阅者 + 用户通过短代码远程执行代码 CVE-2022-24664-Contributor + 用户通过 metabox 远程执行代码，以及 CVE-2022-24665-Contributor + 用户通过gutenberg块远程执行代码 成功利用这三个漏洞可能导致恶意 PHP 代码的执行，这些代码可以被用来实现完全的站点接管。 安全公司 WordPress 表示，他们在1月4日向插件作者 Alexander Fuchs 披露了这个漏洞，随后在2022年1月12日发布了3.0版本的更新，完全删除了漏洞代码。 “这个插件的3.0.0版本的更新是一个突破性的变化，它删除了[php_everywhere]的短代码和小部件,”插件的更新描述页面写道。“从插件设置页面运行升级向导，将旧代码迁移到Gutenberg块。” 值得注意的是，3.0.0版本只通过Block editor编辑器支持 PHP 代码片段，因此仍然依赖 Classic Editor的用户必须卸载该插件，并下载一个替代解决方案来托管自定义 PHP 代码。 消息来源：TheHackerNews，译者：Zoeppo； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc ” 并附上原文

Hackernews 编译，转载请注明出处： 一个APT攻击黑客组织可能与巴勒斯坦结盟，不怀好意，利用以前没有记录的名为NimbleMamba的植入物，已经开始了一项新的攻击。 企业安全公司 Proofpoint 在一份报告中说，这些入侵利用了一个复杂的攻击链，目标是中东政府、外交政策智囊团和一家国有航空公司。该报告将隐蔽攻击归咎于一个名为 Molerats (又名 TA402)的威胁攻击者。  该APT 组织不断更新他们的恶意软件植入和传播方式，因而臭名昭著。最近它似乎与针对巴勒斯坦和土耳其的人权活动家和记者的间谍攻击有一定联系，在2021年6月曝光的一次攻击中部署了一个叫做  LastConn的后门。 攻击并未停止，背后的攻击者们积极重组武器库，开发了NimbleMamba，这个产品被设计用来取代 LastConn，而LastConn被认为是另一个叫做SharpStage的后门的升级版本，该组织在2020年12月的攻击中使用了这个后门。 “ NimbleMamba 使用护栏来确保所有被感染的受害者都在TA402的目标区域内,”研究人员说，并补充道，这个恶意软件“使用 Dropbox API 来进行命令和控制以及渗透”，表明它被用于“高度针对性的情报收集活动” 另外还使用了一个名为 BrittleBush 的木马，它与远程服务器建立通信，检索 base64编码的命令，以便在受感染的机器上执行。此外，据说这些袭击与上述针对巴勒斯坦和土耳其的恶意活动是同时发生的。 感染序列反映了攻击者用来破坏其目标用了完全相同的技术。鱼叉式网络钓鱼邮件是起点，包含地理链接，指向恶意软件的有效载荷，但只有在收件人在目标区域之一的情况下才可行。如果目标位于攻击半径之外，链接会将用户重定向到一个良性的新闻网站，比如 Emarat Al Youm。 然而，最近在2021年12月和2022年1月的攻击中，攻击者使用了 Dropbox 的网址和攻击者控制的 WordPress 网站来传输包含 NimbleMamba 和 BrittleBush 的恶意 RAR 文件。 这一进展是对手使用云服务(如 Dropbox)发动攻击的最新例证，更不用说那些狡猾的攻击者能够多迅速地对公开披露的入侵方法做出反应，从而创造出一些强有力的、有效的方法，可以突破安全和检测层。 研究人员总结说: “ ta402仍然是一个效率高的攻击者，它通过针对中东的高度有针对性的行动表明了自己的持久性。”“(这两次)攻击表明，Molerats仍然有能力根据情报目标修改攻击链。” 消息来源：TheHackerNews，译者：Zoeppo； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc ” 并附上原文

获悉，目前在渥太华抗议加拿大国家疫苗规定的卡车司机使用的捐赠网站已经修复了一个安全漏洞，该漏洞暴露了捐赠者的护照和驾驶执照。位于马萨诸塞州波士顿的捐赠服务GiveSendGo上周成为Freedom Convoy的主要捐赠服务商，此前GoFundMe冻结了数百万美元的捐赠，理由是警方报告了该市的暴力和骚扰。 抗议活动始于1月，数千名抗议者和卡车司机来到加拿大首都，致使街道交通陷入瘫痪。他们反对强制接种COVID-19疫苗。在GoFundMe上的一个筹款页面达到了约790万美元的捐款，众包巨头出面阻止了该活动，促使筹款工作转移到GiveSendGo–该公司公开宣布支持抗议活动。根据一份新闻稿，GiveSendGo表示，在该公司主办活动的第一天，它已经为Freedom Convoy的抗议者处理了超450万美元的捐款。 在安全领域工作的一位工作人员发现了一个暴露的亚马逊托管的S3储存库，其中包含超过50GB的文件–里边有在捐赠过程中收集的护照和驾驶执照，之后TechCrunch得到了这个数据丢失的消息。 该研究人员称，他们通过查看自由车队在GiveSendGo上的网页的源代码发现了这个暴露的桶的网络地址。 S3储存库用于在亚马逊的云中存储文件、文档甚至整个网站，但默认设置为私有，在储存库的内容被公开供任何人访问之前需要一个多步骤的过程。 自2月4日Freedom Convoy的页面首次在GiveSendGo上建立以来，被曝光的储存库内有超1000张照片和护照及驾驶执照的扫描件。这些文件名表明，这些身份文件是在支付过程中上传的，一些金融机构在处理一个人的付款或捐款之前需要这些文件。 当地时间周二，TechCrunch联系了GiveSendGo的联合创始人Jacob Wells以了解了被曝光的储存库的细节信息，但Wells没有回应。 目前还不知道这个储存库到底被暴露了多久，但一位不愿透露姓名的安全研究员留下的一个文本文件显示日期为2018年9月，并警告称这个储存库“没有正确配置”、可能会产生“危险的安全影响”。   （消息及封面来源：cnBeta）

在周四凌晨发表的一篇博客文章中，加密货币交易所Crypto.com承认，在1月17日发生黑客攻击后，该公司损失了远远超过3000万美元的比特币和以太坊。事件发生后，该公司被批评一直围绕网络安全问题对外模糊沟通，昨天才由首席执行官Kris Marszalek正式确认。 新的博客文章说，未经授权的提款总价值为4836.26ETH和443.93BTC–按照目前的汇率，分别大约相当于1520万美元和1860万美元，同时还有价值66200美元的其他法币，总共有483名Crypto.com用户的账户被泄露。 Crypto.com表示，所有受影响的客户的损失都得到了充分补偿。该公司的最新声明称已有了对安全漏洞的更深入了解，尽管确切入侵方法的细节仍不清楚。 新的博客文章说，未经授权的提款总价值为4836.26ETH和443.93BTC–按照目前的汇率，分别大约相当于1520万美元和1860万美元，同时还有价值66200美元的其他法币，总共有483名Crypto.com用户的账户被泄露。 Crypto.com表示，所有受影响的客户的损失都得到了充分补偿。该公司的最新声明称已有了对安全漏洞的更深入了解，尽管确切入侵方法的细节仍不清楚。   （消息及封面来源：cnBeta）

据CNN报道，红十字国际委员会(ICRC)周三表示，该组织使用的一个承包商遭到的网络攻击已经泄露了超过51.5万名“高危人群”的个人数据，包括因冲突和灾难而与家人分离的人。 该人道主义组织说，黑客攻击迫使红十字会关闭了支持因冲突、移民或灾难而分离的家庭团聚的IT系统。 目前还不清楚谁是这次网络事件的责任人，但红十字会表示，它 “最担心的问题”是这些数据可能会被泄露。红十字会称，目前还没有迹象表明这种情况已经发生。 红十字国际委员会总干事罗伯特·马尔迪尼在一份声明中说：“我们都感到震惊和困惑，这些人道主义信息会成为目标并被泄露。” 该人道主义组织表示，黑客攻击了一家位于瑞士的公司，红十字会付钱给这家公司存储其数据。被泄露的数据来自至少60个“国家协会”，即红十字会在世界各地的志愿者和工作人员网络，红十字会将其作为灾难的第一反应者。 红十字会发言人Elizabeth Shaw在一封电子邮件中告诉CNN：“作为第一步，我们将与最相关的红十字会代表团以及当地的红十字会和红新月会合作，寻找方法通知那些数据可能已被泄露的个人和家庭，正在采取哪些措施来保护他们的数据以及他们可能面临的风险。” Shaw说，这一事件与勒索软件无关，红十字会正在与“高度专业化”的网络安全公司合作，以应对黑客攻击。 日内瓦红十字会总部的前网络战顾问Lukasz Olejnik告诉CNN，这次事件“似乎是红十字会历史上最大和最敏感的漏洞，而且考虑到其敏感性，可能是迄今为止所有人道主义组织的漏洞”。 作为独立网络安全顾问的Olejnik告诉CNN，红十字会应该考虑向作为《日内瓦公约》缔约国的政府寻求帮助，以从网络攻击中恢复过来。   （消息及封面来源：cnBeta）

Hackernews 编译，转载请注明出处： 在苹果 Safari 15的 IndexedDB API 实现中放入的一个软件漏洞可能被恶意网站利用，以追踪用户在网络浏览器中的在线活动，更糟糕的是，它还可能泄露用户的身份。 2021年11月28日，防欺诈保护软件公司 FingerprintJS 向 iPhone 制造商报告了这一漏洞。 IndexedDB 是 web 浏览器提供的一个低级 JavaScript 应用程序编程接口(API) ，用于管理结构化数据对象(如文件和 blob)的 NoSQL 数据库。 “像大多数 web 存储解决方案一样，IndexedDB 遵循同源策略,”Mozilla 在其 API 文档中指出。”因此，尽管您可以访问域内存储的数据，但不能访问跨不同域的数据。” 同源是一种基本的安全机制，它确保从不同的来源(即方案(协议)、主机(域)和 URL 的端口号等)检索到的资源彼此隔离。这实际上意味着“ http [ : ]/example [ . ]Com/”和“ https [ : ]//example [ . ]Com/”并不是同一个来源，因为它们使用不同的方案。 通过限制从一个来源加载的脚本与另一个来源的资源进行交互的方式，用于隔离潜在的恶意脚本，通过预防流氓网站运行任意的 JavaScript 代码来读取来自另一个域的数据（比如电子邮件服务），来减少潜在的攻击载体。 但是 Safari 在 iOS、 iPadOS 和 macOS 中处理 IndexedDB API 的情况并非如此。 “在 macOS 上的 Safari 15，以及 iOS 和 iPadOS 15上的所有浏览器中，IndexedDB API 都违反了同源政策,”Martin Bajanik 在一份报告中写道。每当网站与数据库交互时，在同一浏览器会话中的所有其他活动框架、标签和窗口中都会创建一个具有相同名称的新(空)数据库 这种侵犯隐私的后果是，它允许网站知晓了用户在不同的选项卡或窗口中访问的其他网站，更不用说准确识别像 YouTube 和 Google Calendar 这样的谷歌服务上的用户，因为这些网站创建了 IndexedDB 数据库，其中包括经过验证的谷歌用户 id，这是一个识别单个谷歌账户的内部标识符。 “这不仅意味着不受信任或恶意的网站可以知道用户的身份，而且还可以知道同一用户使用的多个独立账户,”Bajanik 说。 更糟糕的是，如果用户在浏览器窗口的同一个标签内访问多个不同的网站，这种泄漏还会影响 Safari 15的隐私浏览模式。我们已经联系了苹果公司，希望得到进一步的评论，如果得到回复，我们将更新相关报道。 “这是一个巨大的漏洞,”谷歌 Chrome 开发者杰克 · 阿奇博尔德在推特上写道。”在 OSX 上，Safari 用户可以(暂时)切换到另一个浏览器，以避免其数据跨源泄漏。iOS 用户没有这样的选择，因为苹果(Apple)禁止其它浏览器引擎。” 消息来源：TheHackerNews，译者：Zoeppo； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc ” 并附上原文

上星期，我们以“创宇资讯”角度发布了2021年最受关注的十大网络安全事件。 以下为创宇资讯整理并总结出的2021年十大安全漏洞，希望以此为网络安全建设提供参考。 （转载本文请注明出处：https://hackernews.cc/archives/37322）   一．Apache Log4j2 远程代码执行漏洞   Apache Log4j2是一个基于Java的日志记录工具，该日志框架被大量用于业务系统开发，用来记录日志信息。 Log4j2组件在处理程序日志记录时存在JNDI注入缺陷，攻击者仅仅需要向目标服务器发送精心构造的恶意数据触发Log4j2组件解析缺陷，就可以实现目标服务器任意命令执行，获取目标服务器权限。 由于日志记录存在的普遍性，所以该漏洞具有危害程度高、利用难度低、影响范围大、后续影响广的特点。可以预见，未来数月甚至数年该漏洞才能得到比较全面的修补。 漏洞涉及CVE编号： CVE-2021-44228 漏洞影响版本： Apache log4j2 2.0 至 2.14.1 版本   二．QNAP NAS Roon Server套件认证绕过、命令注入漏洞   威联通科技股份有限公司(QNAP Systems, Inc.)，是极少数以商用服务器获得世界认同的中国台湾省跨国企业，致力于研发并提供高质量网络储存设备及专业网络监控录像设备 给家庭、SOHO 族、以及中小企业用戶。 2021年6月11日，CNCERT物联网安全研究团队与启明星辰金睛安全研究团队共同发布《关于威联通设备2项0Day漏洞组合利用攻击的报告——RoonServer权限认证漏洞与命令注入漏洞》。报告中详细介绍了权限饶过漏洞（CVE-2021-28810）和命令注入漏洞（CVE-2021-28811）相关的细节，并指出早在2021年5月8日就已经捕获在野利用攻击。在后续和厂商的沟通中，QNAP官方于2021年6月4日重新发布修复后的应用。 在对在野攻击行为分析后确定攻击者尝试植入的载荷为eCh0raix勒索软件。该勒索软件会加密NAS上存储的文件并要求受害者通过TOR支付比特币赎金。 勒索软件通过NAS 0day传播不仅极具针对性且拥有极高的成功率。该漏洞不是第一个也不会是最后一个。 漏洞涉及CVE编号：CVE-2021-28810、CVE-2021-28811   三．Microsoft Exchange高危攻击链   2021年3月3日微软紧急发布了Exchange更新补丁，披露Exchange存在多个高危漏洞并且已被黑客作为攻击链的一部分进行利用，其中CVE-2021-26855通过服务器请求伪造绕过了Exchange Server身份验证，可以结合CVE-2021-26858/CVE-2021-27065形成高危攻击链。相关漏洞详情如下： CVE-2021-26855 服务端请求伪造漏洞，可以绕过Exchange Server的身份验证。 CVE-2021-26858/CVE-2021-27065 任意文件写入漏洞，需要身份验证。可配合CVE-2021-26855形成无需交互的高危攻击链。 漏洞涉及CVE编号：CVE-2021-26855、CVE-2021-26858、CVE-2021-27065   四．VMware vCenter Server 未授权远程命令执行漏洞   Vmware vCenter Server是ESXi的控制中心，可以从单一控制点统一管理数据中心的所有xSphere主机和虚拟机。 2021年5 月 25 日，VMware 官方发布安全公告，修复了 VMware vCenter Server 和 VMware Cloud Foundation 远程代码执行漏洞（CVE-2021-21985）和身份验证漏洞（CVE-2021-21986）。其中 CVE-2021-21985 漏洞攻击复杂度低，且不需要用户交互，攻击者可利用该漏洞在目标系统上执行任意命令，从而获得目标系统的管理权限。 漏洞涉及CVE编号：CVE-2021-21985 漏洞影响版本： Vmware vCenter Server 7.0 系列 < 7.0.U2b Vmware vCenter Server 6.7系列 < 6.7.U3n Vmware vCenter Server 6.5 系列 < 6.5.U3p Vmware Cloud Foundation 4.x 系列 < 4.2.1 Vmware Cloud Foundation 3.x 系列 < 3.10.2.1   五．Zyxel NAS FTP 服务未授权远程命令执行漏洞   Zyxel(合勤科技)是国际知名品牌的网络宽带系统及解决方案的供应商。 2020 年，Zyxel 多个型号 NAS 以及防火墙设备被曝出存在未授权 RCE 漏洞（CVE-2020-9054 ），该漏洞被用于地下黑市售卖，其价值高达 20000 美元，漏洞成因是 Zyxel NAS 和防火墙产品中使 用的 PAM 认证模块存在漏洞，未经身份认证的攻击者可以通过 Web 服务入口 weblogin.cgi 程序的 username 字段注入任意命令达到远程命令执行的目的。Zyxel 官方后续已经对在支持期内的设备释放了固件 补丁。 经过验证，Zyxel官方只修复了漏洞的入口点，对于存在漏洞的库/lib/security/pam_uam.so没有进行任何修复，这也导致该漏洞可以通过FTP服务所在端口再次触发。攻击者仅需要创建FTP连接使用恶意用户名登陆即可触发该漏洞。 漏洞涉及CVE编号：CVE-2020-9054 补丁绕过   六．Windows Print Spooler 远程代码执行漏洞   Windows Print Spooler 是 Windows 的打印机后台处理程序，广泛的应用于各种内网 中。 2021年6 月 29 日，有安全研究人员公开了了一个 Windows Print Spooler 相关的 exp，也被称为PrintNightmare。后经过验证，微软为该漏洞分配了一个新的CVE编号：CVE-2021-34527。利用该exp，攻击者 能够以 SYSTEM 权限控制域控主机，微软在7月7日紧急修复了该漏洞。 攻击者可以通过该漏洞绕过 SplAddPrinterDriver 的安全验证，并在打印服务器中安装 恶意的驱动程序。若攻击者所控制的用户在域中，则攻击者可以连接到 DC 中的 Spooler 服务，并利用该漏洞在 DC 中安装恶意的驱动程序，完整的控制整个域环境。 漏洞涉及CVE编号：CVE-2021-34527   七．Apache HTTPd 路径穿越和远程命令执行漏洞   2021年9 月 29 日，国外安全研究员向 Apache 官方提交了 Apache HTTPd 2.4.49 的一个路径穿越漏洞(CVE-2021-41773)，官方于 10 月 1 日修复了该漏洞并且于 10 月 4 日发布新版本 Apache HTTPd 2.4.50。 2021年10 月 5 日，Github 上开始出现漏洞 CVE-2021-41773 的 POC，经过验证该漏洞可以在文件目录被授权访问的情况下进行文件读取，甚至可以在 cgi 模式下执行命令。与此同时有安全研究员发现该漏洞可以被绕过，于是 10 月 7 日，Apache 官方再次发布新版本 Apache HTTPd 2.4.51 修复了 CVE-2021-41773 的绕过问题并且注册了新的 CVE 编号 CVE-2021-42013。 漏洞涉及CVE编号：CVE-2021-41773，CVE-2021-42013   八．Confluence Webwork OGNL表达式注入漏洞   Confluence是一个专业的企业知识管理与协同软件，也可以用于构建企业wiki。它强大的编辑和站点管理特征能够帮助团队成员之间共享信息、文档协作、集体讨论、信息推送等。 2021年8月25日，Confluence发布漏洞公告，Confluence Webwork OGNL 存在表达式注入漏洞，编号为：CVE-2021-26084。 经过分析，2021年9月1日，国外安全研究人员公开了该漏洞细节，未授权的攻击者可以通过该漏洞实现远程代码执行。经过验证，无需授权访问的接口 /pages/createpage-entervariables.action 存在OGNL表达式注入的问题，这也使得该漏洞的影响面和危害进一步扩大。 漏洞涉及CVE编号：CVE-2021-26084 漏洞影响版本： Confluence Server & Confluence Data Center < 6.13.23 Confluence Server & Confluence Data Center < 7.11.6 Confluence Server & Confluence Data Center < 7.12.5 Confluence Server & Confluence Data Center < 7.4.11   九．锐捷网关未授权远程命令执行漏洞   锐捷⽹络成⽴于2000年1⽉，是中国数据通信解决⽅案领导品牌。2021年1⽉12⽇，⽹上出现了锐捷⽹关Web管理系统的未授权远程命令执行漏洞的 PoC。由于 /guest_auth/guestIsUp.php接口未过滤用户输入，直接拼接到命令执行，未经授权的远程攻击者可以利用该漏洞以root权限在目标设备执行任意命令。 该漏洞影响范围比较广，通过ZoomEye网络空间搜索引擎能够搜索到103459条锐捷⽹关Web管理系统相关的记录（数据查询日期：2021年1月19日），主要分布在中国。   十．GitLab未授权远程命令执行漏洞   GitLab是由GitLab Inc.开发，一款基于Git的完全集成的软件开发平台。 2021年4⽉14⽇，GitLab 官⽅发布安全通告，GitLab CE/EE 中存在认证 RCE 漏洞，并分配漏洞编号CVE-2021-22205，随后也有相关的POC公布，但由于需要认证，该漏洞影响范围有限。 2021年10月25日，HN Security 发文称，有在野攻击者通过访问特定端点未认证利用了该 RCE 漏洞，并公开了攻击者使用的 payload。随后国内外安全厂商陆续检测到该漏洞的在野利用。漏洞利用难度的降低，带来的是漏洞影响范围的扩大，影响有限的漏洞也能发挥出惊人的破坏力。 漏洞涉及CVE编号：CVE-2021-22205