信息安全周報-2018年第50周
發布時間 2018-12-17
2018年12月10日16日共收錄安全漏洞82個，值得關注的是ThinkPHP 5.x遠程命令執行漏洞；Adobe Acrobat/Reader多個整數溢出漏洞；Microsoft Outlook CVE-2018-8587遠程代碼執行漏洞；Microsoft Windows DNS堆溢出漏洞；Apache Commons FileUpload DiskFileItem遠程代碼執行漏洞。
本周值得關注的網絡安全事件是愛立信軟件證書過期，導致11個國家通信網絡癱瘓；新API漏洞導致5250萬用戶隱私暴露，Google+將被提前關閉；美國眾議院發布網絡安全戰略報告，提出六項指導原則；神槍手行動，利用Rising Sun瞄準全球國防及關鍵基礎設施；意大利石油和天然氣公司Saipem遭到黑客網絡攻擊。
根據以上綜述，本周安全威脅為中。
1. ThinkPHP 5.x遠程命令執行漏洞
ThinkPHP對控制器名存在輸入驗證漏洞，允許遠程攻擊者利用漏洞提交特殊的請求，以WEB權限執行任意命令。
https://blog.thinkphp.cn/8690752. Adobe Acrobat/Reader多個整數溢出漏洞
Adobe Acrobat/Reader存在整數溢出漏洞，允許遠程攻擊者可以利用漏洞提交特殊的文件，誘使用戶解析，可使應用程序崩潰或執行任意代碼。
https://helpx.adobe.com/security/products/acrobat/apsb18-41.html3. Microsoft Outlook CVE-2018-8587遠程代碼執行漏洞
Microsoft Outlook不正確處理內存對象漏洞，允許遠程攻擊者可以利用漏洞提交特殊的文件，誘使用戶解析，可執行任意代碼。
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2018-85874. Microsoft Windows DNS堆溢出漏洞
Microsoft DNS Server存在基于堆的溢出漏洞，允許遠程攻擊者可以利用漏洞提交特殊的請求，以應用程序上下文執行任意代碼。
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-86265. Apache Commons FileUpload DiskFileItem遠程代碼執行漏洞
Apache Commons FileUpload實現存在Java Object反序列化漏洞，允許遠程攻擊者可以利用漏洞提交特殊的請求，可以應用程序上下文執行任意代碼。
http://www.zerodayinitiative.com/advisories/ZDI-16-570/
1、愛立信軟件證書過期，導致11個國家通信網絡癱瘓
12月6日瑞典通信巨頭愛立信的設備出現軟件故障，導致數以百萬計的手機用戶網絡通信癱瘓，多個使用愛立信設備的國家受到影響，包括英國移動運營商O2的用戶、日本軟銀的用戶等。愛立信在新聞稿中稱設備故障是由特定版本的SGSN–MME軟件導致的，具體來說，其根本原因是安裝在客戶設備上的軟件證書過期。
原文鏈接：
https://www.ericsson.com/en/press-releases/2018/12/update-on-software-issue-impacting-certain-customers
2、新API漏洞導致5250萬用戶隱私暴露，Google+將被提前關閉
Google確認Google+再遭安全事件，另一個API漏洞導致第三方應用和開發者可在未經許可的情況下訪問5250萬用戶的個人信息。這些信息包括姓名、電子郵件地址、職業和年齡等。根據Google的說法，該漏洞是在11月通過軟件更新引入的，并在一周內被發現和解決，沒有證據表明該漏洞被第三方利用。Google將在2019年4月關閉Google+服務，比原定的2019年8月提前了4個月。
原文鏈接：
https://thehackernews.com/2018/12/google-plus-hacking.html
3、美國眾議院發布網絡安全戰略報告，提出六項指導原則
美國眾議院能源和商業委員會發布網絡安全戰略報告，旨在確立預防和緩解網絡安全事件的戰略。該報告認為當前美國的網絡安全舉措并未跟上互聯網的發展，傳統的信息技術策略在應對不斷增長的網絡安全事件中收效甚微。報告梳理出六點網絡安全概念與六項網絡安全優先項，包括建立普遍接受的協同披露程序、引入軟件物料清單（software bill of materials，簡稱SBOM）、支持開源軟件、完善CVE程序、實施技術生命周期支持戰略以及強化公私合作模式。
原文鏈接：
https://energycommerce.house.gov/wp-content/uploads/2018/12/12.07.18-Cybersecurity-Strategy-Report.pdf
4、神槍手行動，利用Rising Sun瞄準全球國防及關鍵基礎設施
McAfee研究人員發現新惡意活動“神槍手行動”，該活動針對全球的國防和關鍵基礎設施，包括核能、國防、能源和金融企業。自2018年10月25日以來，在短短兩個月內神槍手行動已影響了全球87個企業。攻擊者偽裝成招聘活動，通過Dropbox分發包含惡意宏的Word文檔，并最終交付Rising Sun后門。該后門與APT組織Lazarus在2015年使用的惡意軟件Duuzer具有相同的代碼。盡管許多線索都指向了Lazarus，但研究人員認為這些過于明顯的證據可能只是攻擊者故意設置的false flag。
原文鏈接：
https://securingtomorrow.mcafee.com/other-blogs/mcafee-labs/operation-sharpshooter-targets-global-defense-critical-infrastructure/
5、意大利石油和天然氣公司Saipem遭到黑客網絡攻擊
本周一意大利石油和天然氣公司Saipem遭到網絡攻擊。Saipem公司的客戶遍布在60多個國家內，此次攻擊來源于印度，主要影響了該公司在中東地區的服務器，包括沙特阿拉伯、阿聯酋和科威特，其在意大利、法國和英國的主要運營中心沒有受到影響。Saipem對路透社表示攻擊來源于印度金奈，但攻擊者的身份不明，由于系統都有備份，因此沒有數據受到損失。
原文鏈接：
https://securityaffairs.co/wordpress/78859/hacking/saipem-cyber-attack.html
聲明：本資訊由啟明星辰維他命安全小組翻譯和整理
京公網安備11010802024551號