安全研究 Safety research
漏洞背景  近日,捷普安全實驗室,監測到國外某安全團隊披露了SaltStack存在認證繞過(CVE-2020-11651)和目錄遍歷(CVE-2020-11652)兩個漏洞。具體分析如下。  影響版本  SaltStack SaltStack   漏洞分析  ?   CVE-2020-11651(認證繞過漏洞):此漏洞由于ClearFuncs類沒有正確地驗證方法調用而導致。研究人員公布了_send_pub()、_prep_auth_info()利用方法,遠程攻擊者利用此漏洞無需認證即可調用_send_pub()及_prep_auth_info()方法。使用這些方法可以在Salt Master端服務器上檢索到用戶令牌,在Salt Minions端服務器上實現任意命令執行。?   CVE-2020-11652(目錄遍歷漏洞):此漏洞由于沒有對訪問路徑進行正確過濾而導致,經過身份認證的攻擊者利用此漏洞可以訪問任意目錄。  防御方案  使用捷普入侵防御系統(IPS)對漏洞進行檢測;    使用捷普網絡脆弱性智能評估系統(NVAS)對漏洞進行檢測。  緩解措施 SaltStack 官方已發布新版本修復上述漏洞,請手動升級至SaltStack2019.2.4及3000.2版本;https://repo.saltstack.com配置安全策略,禁止 Salt Master的監聽端口(默認4505 和 4506)對公網開放或只允許可信IP訪問監聽端口;參考:https://labs.f-secure.com/advisories/saltstack-authorization-bypass
發布時間: 2020 - 05 - 06
漏洞背景  通達OA官方在4月17日發布了最新的通達OA11.5.200417版本該版本修復了若干安全問題。在對更新的補丁,對比分析發現此次更新主要重點是修復了用戶可以通過構造UID=1等惡意請求,繞過認證進行任意用戶登錄,甚至可通過構造惡意攻擊代碼,成功登錄系統管理員賬戶,對后臺系統進行任意操作。根據網絡空間搜索引擎進行數據統計,國內使用通達OA系統的用戶統計如下表:  影響版本  通達OA系統Ver.  漏洞分析  在分析官方的的補丁時發現此次更新主要針對用戶登錄邏輯相關處理部分,在對源文件使用Zend5.4解密后發現。在對代碼跟蹤后發現,用戶在進行進行認證時,首先進行CODEUID的邏輯判斷,如存在繼續進行UID的判斷,此處UID可直接使用POST方法進行構造,默認1為Admin用戶,以上兩處均進行庫操作。跟進代碼,此處的CODEUID在訪問某文件后可進行直接打印。此處可利用POST將UID進行傳入。  防御方案 使用捷普網絡脆弱性智能評估系統(NVAS)對漏洞進行檢測。升級補丁,參考通達OA系統官網發布的補丁進行升級https://www.tongda2000.com/download/sp2019.php參考:https://www.tongda2000.com/download/sp2019.php
發布時間: 2020 - 04 - 24
漏洞背景  近日,有消息稱某黑客組織利用國內深信服SSL VPN設備漏洞,利用客戶端升級漏洞下發惡意文件到用戶客戶端,威脅用戶安全。對此,捷普安全實驗室第一時間進行響應,并對相關攻擊事件進行跟蹤。2020年4月5日晚,深信服官方針對已確認遭受攻擊的SSL VPN設備版本(M6.3R1版本、 M6.1版本)緊急發布修復補丁,并安排技術服務人員對受影響用戶主動上門排查與修復。內容詳見:https://mp.weixin.qq.com/s/lKp_3kPNEycXqfCnVPxoDw  漏洞分析   針對此次事件的相關設備——深信服SSL VPN,在對事件跟蹤分析中發現,該漏洞存在于VPN客戶端啟動連接服務器時默認觸發的一個升級行為,當用戶使用啟動VPN客戶端連接VPN服務器時,客戶端會從所連接的VPN服務器上固定位置的配置文件獲取升級信息,并下載一個名為SangforUD.exe的程序執行。由于開發人員缺乏安全意識,整個升級過程存在安全漏洞,客戶端僅對更新程序做了簡單的版本對比,沒有做任何的安全檢查。攻擊者利用深信服VPN設備的已知遠程漏洞或弱口令獲取對設備的控制。在修改VPN的升級配置文件,篡改升級包下載相關的配置信息,指向攻擊者控制的惡意文件和對應文件MD5。利用此漏洞針對VPN用戶定向散播后門程序。樣本分析在對樣本分析過程中,利用公開威脅情報獲取到多個相關病毒樣本SangforUD.exe,分析發現投遞的惡意樣本具備木馬下載器功能,將內置加密的配置信息寫入任務計劃達到持久化攻擊的效果,通過HTTP請求方式回傳加密后的主機信息。其中HTTP提交的具備一定的特征,如固定的“----974767299852498929531610575”字符串,HTTP請求代碼如下:惡意文件最終循環從C2服務器獲取數據,并且保存文件到” \Ap...
發布時間: 2020 - 04 - 07
漏洞背景  2020年3月18日,Adobe官方推出針對Adobe ColdFusion的安全更新補丁,編號為:APSB20-16.,補丁中包含了兩個漏洞CVE-2020-3761(任意文件讀取漏洞)和CVE-2020-3794(任意文件包含漏洞)。 2020年3月18日,Adobe官方推出針對Adobe ColdFusion的安全更新補丁,編號為:APSB20-16.,補丁中包含了兩個漏洞CVE-2020-3761(任意文件讀取漏洞)和CVE-2020-3794(任意文件包含漏洞),經捷普攻防實驗室,驗證測試發現漏洞真實存在,該漏洞相關信息可參考CVE-2020-1938 (Tomcat-Ajp協議任意文件讀取漏洞&文件包含漏洞)。  漏洞描述  此次漏洞與CVE-2020-1938漏洞原因一致與Adobe ColdFusion的AJP connectors相關。Adobe ColdFusion在處理AJP協議的數據包時存在實現缺陷,導致相關參數可控。構造特定的數據包,進行測試發送即可。影響版本ColdFusion 2016 ColdFusion 2018 防御建議使用捷普網絡脆弱性智能評估系統(NVAS)對漏洞進行檢測。緩解措施升級補丁,參考Adobe官網發布的補丁進行升級:https://helpx.adobe.com/security/products/coldfusion/apsb20-16.html備注:(在管理控制臺內也可完成對其升級操作)。參考:https://helpx.adobe.com/security/products/coldfusion/apsb20-16.html
發布時間: 2020 - 03 - 23
漏洞背景  通達OA(Office Anywhere網絡智能辦公系統)是由北京通達信科科技有限公司自主研發的協同辦公自動化系統,通達OA官方在03月13日發布了針對勒索病毒事件的緊急更新。根據分析該事件是通達OA中存在的兩個漏洞(文件上傳漏洞,文件包含漏洞)所導致。  漏洞描述  通達OA官方在03月13日發布了針對勒索病毒事件的緊急更新。根據分析該事件是通達OA中存在的兩個漏洞(文件上傳漏洞,文件包含漏洞)所導致。該漏洞在繞過身份驗證的情況下通過文件上傳漏洞上傳惡意php代碼文件,組合文件包含漏洞最終造成遠程代碼執行漏洞,從而導致可以控制服務器system權限。影響版本V11版(存在文件包含)2017版(根據測試,部分2017年官方更新補丁后也存在文件包含漏洞)2016版2015版2013增強版2013版 風 險 分 析在分析官方的的補丁時發現對V11以下的版本只更新了Update.php文件,在進行分析過程中,源文件經過Zend5.4加密,在進行分析時需進行相關解密操作。文件上傳:auth.php為登入驗證這里只要設置了P參數就不需要登入。完成登錄繞過后,即可進行任意文件上傳,構造相關數據包進行發送。文件包含漏洞位于ispirit/interface/gateway.php,具體的利用原理與文件上傳處的認證恰好相反。利 用 過 程構造特定的上傳數據包,進行文件上傳即可,待上傳成功后進行文件包含即可。防御建議使用捷普網絡脆弱性智能評估系統(NVAS)對漏洞進行檢測。緩解措施升級補丁,參考通達OA系統官網發布的補丁進行升級http://www.tongda2000.com/news/673.php具體操作:請根據當前OA版本號,選擇壓縮包中所對應的程序文件,覆蓋到MYOA\webroot目錄下。如不確定,請聯系我們...
發布時間: 2020 - 03 - 20
漏洞背景  反序列化漏洞已經逐漸成為攻擊者/研究人員在面對Java Web應用安全研究側重點。這些漏洞通常能進行遠程代碼執行(RCE),并且修復起來比較困難。在本文中,我們將分析CVE-2020-2555漏洞影響,并提供相應的解決方案。該漏洞存在于Oracle Coherence庫中,從而影響使用該庫的Oracle WebLogic服務器等常見產品(涉及多個Weblogic版本)。  漏洞描述  2020年3月5日,Zero0day公布了關于Weblogic(CVE-2020-2555)詳細分析文章,Oracle Coherence為Oracle融合中間件中的產品,在WebLogic 12c及以上版本中默認集成到WebLogic安裝包中,攻擊者通過t3協議發送構造的序列化數據,能過造成命令執行的效果。  影響版本  影響版本(包含Coherence包):Oracle Coherence 3.7.1.17Oracle Coherence 12.1.3.0.0Oracle Coherence 12.2.1.3.0Oracle Coherence 12.2.1.4.0  影響版本      在分析CVE-2020-2555的補丁引入了一處修改,涉及LimitFilter類的toString()方法:下圖為打補丁前的相關代碼補丁在toString()中會將this.m_oAnchorTop和this.m_oAnchorBottom作為參數傳入ValueExtractor.extract(),補丁移除了extractor.extract()操作,跟進extract()看下,發現extract()只是一個抽象方法,并沒有實現,那說明extract()在Val...
發布時間: 2020 - 03 - 11
漏洞背景  Apache Tomcat是美國Apache軟件基金會的Jakarta項目的一款輕量級免費的開放源代碼的Web應用服務器,主要用于開發和調試JSP程序,在世界范圍內被廣泛使用。近日,CNVD公開了一個Apache Tomcat文件包含漏洞(CVE-2020-1938/CNVD-2020-10487),該漏洞利用AJP服務端口實現攻擊,未開啟AJP服務對外不受影響,攻擊者可以利用該漏洞通過Tomcat AJP Connector讀取或包含Web應用根目錄下的任意文件,甚至造成任意代碼執行。目前網上已出現了利用腳本,而Apache Tomcat在我國用戶眾多,且大部分使用Apache Tomcat的網站都還沒及時修補,因此本次通告的漏洞影響范圍較大,捷普建議用戶及時修補,做好相關防護措施。  漏洞描述  默認情況下,Apache Tomcat配置開啟了HTTP Connector(默認監聽端口為8080)和AJP Connector(默認監聽端口為8009),一個用于處理對外提供的HTTP協議的請求,另一個用于處理AJP協議的請求。當攻擊者可以訪問到受影響網站的AJP Connector時,就可以利用該漏洞讀取或包含Web應用根目錄下的任意文件,如果受影響的網站上存在文件上傳點,攻擊者可以通過上傳一個惡意的JSP腳本文件,然后利用該漏洞造成任意代碼執行。影響版本漏洞影響的產品版本包括:Tomcat 6 全版本Tomcat 7在7.0.100前的全版本Tomcat 8在8.5.51前的全版本Tomcat 9在9.0.31前的全版本漏洞檢測捷普安全實驗室根據已公開的漏洞詳情信息,編寫了Tomcat文件包含漏洞(CVE-2020-1938/CNVD-2020-10487)檢測腳本,可用于驗證漏洞是否能被利用。版本檢測安全技...
發布時間: 2020 - 02 - 22
漏洞描述  北京時間2020年1月15日,Oracle發布2020年1月關鍵補丁更新(Critical Patch Update,簡稱CPU),此次更新修復了333個危害程度不同的安全漏洞。其中196個漏洞可被遠程未經身份認證的攻擊者利用。此次更新涉及Oracle Database Server、Oracle Weblogic Server、Oracle Java SE、Oracle MySQL等多個產品。Oracle強烈建議客戶盡快應用關鍵補丁更新修復程序,對漏洞進行修復。此次發布的補丁,修復了Weblogic的兩個高危漏洞(CVE-2020-2546、CVE-2020-2551)。   漏洞編號   CVE-2020-2551CVE-2020-2546   漏洞等級   高 危   受影響版本  CVE-2020-255110.3.6.0.012.1.3.0.012.2.1.3.012.2.1.4.0CVE-2020-254610.3.6.0.012.1.3.0.0   修復建議   CVE-2020-2546用戶可通過禁用T3協議,對此漏洞進行臨時緩解,具體操作可參考下文臨時禁用T3協議:(1)進入WebLogic控制臺,在base_domain配置頁面中,進入安全選項卡頁面,點擊篩選器,配置篩選器;(2)在鏈接篩選器中輸入:weblogic.security.net.ConnectionFilterImpl,在連接篩選器規則框中輸入:127.0.0.1 * * allow t3 t3s,0.0.0.0/0 * * deny t3 t3s(t3和t3s協議只允許...
發布時間: 2020 - 01 - 17
2020 年1月15日,微軟例行公布了1月的安全更新,其中包含Windows核心加密庫 CryptoAPI.dll橢圓曲線密碼(ECC)證書檢測繞過的漏洞,編號為CVE-2020-0601,同時緊隨其后的是美國NSA發布的相關漏洞預警通告。其中通告顯示,該漏洞由NSA獨立發現,并匯報給微軟。漏洞位于Windows的加密組件CryptoAPI。CryptoAPI是微軟提供給開發人員的Windows安全服務應用程序接口,可用于加密的應用程序,實現數據加密、解密、簽名及驗證等功能。攻擊者可以通過構造惡意的簽名證書,并以此簽名惡意文件來進行攻擊。此外由于ECC證書還廣泛的應用于通信加密中,攻擊者成功利用該漏洞可以實現對應的中間人攻擊。   受影響版本  受影響的版本:Windows 10Windows Server 2016/2019以及依賴于Windows CryptoAPI的應用程序注:于今年1月14日停止安全維護的Win7、Windows Server 2008由于不支持帶參數的ECC密鑰,因此不受相關影響。   修復建議   目前軟件廠商微軟已經發布了漏洞相應的補丁,建議及時下載進行相關升級。相關鏈接:https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0601 如果無法在企業范圍內修補漏洞,NSA建議“優先修補執行傳輸層安全驗證的系統,或主機關鍵基礎設施,如域控制器、域名系統服務器、虛擬專用網絡服務器等。”此外,捷普安全專家建議修補直接暴露于互聯網或特權用戶經常使用的系統的端點。  檢測方法  捷普入侵防御系統、入侵檢測系統的V3.0.16版本可通過高級威脅防御模塊...
發布時間: 2020 - 01 - 17
2019年5月14日微軟官方發布安全補丁,修復了Windows遠程桌面服務的遠程代碼執行漏洞,該漏洞影響了某些舊版本的Windows系統。此漏洞是預身份驗證且無需用戶交互,這就意味著這個漏洞可以通過網絡蠕蟲的方式被利用。利用此漏洞的任何惡意軟件都可能從被感染的計算機傳播到其他易受攻擊的計算機,其方式與2017年WannaCry惡意軟件的傳播方式類似。危險等級:高危CVE編號:CVE-2019-0708【參考鏈接】https://support.microsoft.com/en-ca/help/4500705/customer-guidance-for-cve-2019-0708 https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-070 影響版本 Windows 7 for 32-bit SP1Windows 7 for x64-based SP1Windows Server 2008 for 32-bit SP2Windows Server 2008 for 32-bit SP2 (Server Core installation)Windows Server 2008 for Itanium-Based SP2Windows Server 2008 for x64-based SP2Windows Server 2008 for x64-based SP2 (Server Core installation)Windows Server 2008 R2 for Itanium-BasedSystems SP1Windows Server 2008 R2 for x64-based SP1Windows Server 2008 R2 for x64-ba...
發布時間: 2019 - 05 - 15
WinRAR是Windows平臺上最為知名的解壓縮軟件,它能解壓縮RAR、ZIP、7z、ACE等多種壓縮格式的軟件。目前該軟件官網稱其在全球有超過5億用戶。2019年2月21日,互聯網爆出了一個關于WinRAR存在19年的漏洞,利用該漏洞可以獲得受害者計算機的控制。攻擊者只需利用此漏洞構造惡意的壓縮文件,當受害者使用WinRAR解壓該惡意文件時便會觸發漏洞。 【漏 洞 綜 述】   該漏洞源于對文件的“filename”字段未進行充分的過濾,攻擊者可利用該漏洞制作惡意ACE格式文件,當該文件被WinRAR解壓縮的時候,能利用UNACEV2.dll文件中的路徑遍歷漏洞欺騙WinRAR將文件解壓縮到攻擊者指定的路徑。甚至可以將惡意文件寫入至開機啟動項,導致代碼執行。目前,部分漏洞的驗證工具已經公開,推測此后漏洞很有可能會被勒索軟件或者惡意挖礦軟件利用。此外WinRAR官方已經發布更新修復了該漏洞,為防止用戶受到攻擊,建議受該漏洞影響的WinRAR用戶盡快采取修補措施。危險等級:高危CVE編號:CVE-2018-20250CNNVD編號:CNNVD-201902-077受影響版本: WinRAR 【解 決 建 議】檢測與修復:搜索安裝的解壓軟件安裝目錄下的UNACEV2.dll,如果存在則存在漏洞Windows下用戶立即下載最新版:https://www.rarlab.com/download.htm;    32位:http://win-rar.com/fileadmin/winrar-versions/wrar57b1.exe    64位:http://win-rar.com/fileadmin/winrar-versions/winrar-x64-57b1.exe若用戶無法立即升級版本,臨時緩...
發布時間: 2019 - 03 - 15
2019年3月9日至10日,捷普安全實驗室發現Globelmposter 3.0變種再次活躍,西北地區已經有用戶中招,病毒將加密后的文件重命名為xxx.*4444擴展名,其中之一為*.snake4444,并要求用戶通過郵件溝通贖金跟解密密鑰等。目前此次變種有呈現爆發的趨勢,其中以醫院居多,交大捷普緊急預警,提醒廣大用戶做好安全防護,警惕Globelmposter 勒索。各企業用戶如需相關技術支持可聯系交大捷普區域技術人員獲取服務支撐。   【 病 毒 描述 】 Globelmposter家族首次發現于2017年5月份。Globelmposter1.0版本的勒索軟件由于其加密方式存在代碼缺陷,導致被勒索的文件是可以被解密。2017年至2018年直至2019年初,Globelmposter開始從1.0版本更新到2.0版本到3.0版本,最終,開始采用RSA+AES加密方式對受害者的文件進行加密,這導致在沒有解密密鑰的情況下很難還原被加密的文件。傳播行為從早期主要以釣魚郵件為主要傳播手法,而后逐漸演變為利用RDP爆破服務器進行人工投毒的傳播。與此同時,其變種也開始逐漸增多。本次爆發的病毒為其變種之一,初步分析為RDP爆破服務器,進入主機之后,進行人工投毒,而后進行內感染攻擊。由于Globelmposter 3.0變種采用RSA+AES算法加密,目前該勒索樣本加密的文件暫無解密工具,被加密的計算機會生成一個“HOW_TO_BACK_FILES”的文件,描述了相關信息。【解 決 方 案  】對于易感染的主機迅速下線中毒主機,可直接切斷網絡連接,例如拔掉網線。 對于尚未感染的主機I、推薦使用捷普網絡脆弱性智能評估系統(NVAS),進行漏洞掃描,基線檢查,排查安全問題,打補丁,加固。II、Globelmposter的變種利用RDP...
發布時間: 2019 - 03 - 09
友情連接:
免費服務熱線 ree service hotline 400-613-1868 手機端
法律聲明 Copyright  西安交大捷普網絡科技有限公司  陜ICP備18022218號-1

陜公網安備 61019002000857號

犀牛云提供云計算服務
楚天风采30选5走势图
三分彩是国家发行的吗 微乐哈尔滨麻将 今日股市行情k线图 温州熟客麻将赢牌技巧 安徽快三二同号遗漏 七位数开奖结果今晚 加拿大快乐8开奖官方网站 自制刮刮乐 江苏十一选五开奖公 北京快乐8开奖走势图 22选5选号方法大全 麻将机万能遥控器 北京赛车pk彩票论坛 信恩策略股票配资平台 彩金捕鱼ol微信红包 免费麻将游戏单机版