一周安全要聞：產(chǎn)品&軟件漏洞頻現(xiàn) 上半年IE漏洞最多
原創(chuàng)本周安全要聞，我們主要總結(jié)一下近日曝出的一些產(chǎn)品&軟件的漏洞。首先問(wèn)大家一個(gè)問(wèn)題，你認(rèn)為今年漏洞最多的軟件是哪個(gè)？Flash？Java？IE？Chrome ？
根據(jù)Bromium 公布的 2014 年上半年漏洞報(bào)告，IE不僅是上半年漏洞最多的軟件，而且還是唯一一個(gè)半年漏洞就超過(guò)去年一年漏洞總量的軟件。IE上半年的漏洞量遙遙領(lǐng)先，若照這一趨勢(shì)下去，2014 年漏洞之王非IE莫屬了。
在總結(jié)新漏洞之前，我們不得不提一下一個(gè)舊漏洞，那就是心臟流血漏洞。Venafi實(shí)驗(yàn)室針對(duì)全球各大頂尖企業(yè)的公共Web服務(wù)器作出評(píng)估，并指出目前只有3%的設(shè)備已經(jīng)徹底擺脫OpenSSL漏洞、也就是Heartbleed的威脅。Venafi安全策略和威脅情報(bào)事務(wù)副總裁Bochek對(duì)企業(yè)發(fā)出警告，通過(guò)打補(bǔ)丁不能避免Heartbleed漏洞威脅，企業(yè)需更換私有密鑰和證書(shū)，撤銷(xiāo)舊的安全憑證。
僅3%的企業(yè)在發(fā)現(xiàn)Heartbleed后全面修復(fù)服務(wù)器
據(jù)v3.co.uk網(wǎng)站7月24日?qǐng)?bào)道，此前有安全研究員發(fā)現(xiàn)IBM、戴爾等品牌部分產(chǎn)品存在漏洞，該漏洞理論上可能會(huì)被黑客利用以獲取對(duì)受害用戶(hù)設(shè)備系統(tǒng)的控制權(quán)限。IBM已經(jīng)針對(duì)該漏洞發(fā)布了相關(guān)補(bǔ)丁，但是目前戴爾仍然拒絕公開(kāi)承認(rèn)其多款產(chǎn)品存在該漏洞。安全研究員Alegandro Alvarez Bravo稱(chēng)，IBM的1754 GCM系列產(chǎn)品在單個(gè)設(shè)備中提供基于IP的KVM和串行控制臺(tái)管理技術(shù)。該系列產(chǎn)品v1.20.0.22575和之前的版本都存在該漏洞。不過(guò)該漏洞也存在于戴爾和其他廠(chǎng)商的KVM交換機(jī)中。該漏洞可能允許通過(guò)身份驗(yàn)證的遠(yuǎn)程入侵者在GCM系列產(chǎn)品的KVM交換機(jī)上遠(yuǎn)程執(zhí)行代碼。
7月30日下午，國(guó)內(nèi)知名互聯(lián)網(wǎng)漏洞平臺(tái)烏云表示，招商銀行網(wǎng)銀存在定向XSS漏洞，通殺網(wǎng)頁(yè)、PC端及手機(jī)APP，該漏洞可定向竊取信息釣魚(yú)種馬?；ヂ?lián)網(wǎng)業(yè)內(nèi)人士對(duì)此解釋稱(chēng)，此漏洞即招行網(wǎng)銀某處存儲(chǔ)型XSS漏洞，黑客可以通過(guò)此漏洞，對(duì)招行客戶(hù)進(jìn)行“釣魚(yú)”、偷密碼，并且可以看到賬號(hào)余額。不過(guò)，招行回應(yīng)稱(chēng)，客戶(hù)如果正常使用招行網(wǎng)銀，不會(huì)導(dǎo)致信息泄露和資金損失。
無(wú)獨(dú)有偶，在線(xiàn)支付平臺(tái)PayPal于近日也被曝出存在漏洞。白帽子Jan Kechel發(fā)現(xiàn)了PayPal存在謊稱(chēng)支付額度的漏洞，并證明這可能會(huì)并被利用來(lái)進(jìn)行詐騙。作者在頁(yè)面上給出了詳細(xì)的步驟和解釋?zhuān)紫赛c(diǎn)擊“start step 1 ”會(huì)轉(zhuǎn)向一個(gè)1歐元的PayPal“快捷支付”頁(yè)面。當(dāng)確認(rèn)支付后，回重定向到付款頁(yè)面(DoExpressCheckoutPayment)。然后，作者在demo中把付款金額調(diào)整為了2歐元，點(diǎn)“start step 2”后便會(huì)支付2歐。當(dāng)然若想完成交易是必須“確認(rèn)支付”的(也就是setp 2)，這無(wú)疑造成了支付缺陷給不法分子帶來(lái)了機(jī)會(huì)。同樣，作者使用了200美元同樣上試驗(yàn)成功。
最后，小編為大家推薦一篇科普文，讓大家對(duì)緩沖區(qū)溢出攻擊有個(gè)比較深入的了解。
緩沖區(qū)溢出出現(xiàn)在用戶(hù)輸入的相關(guān)緩沖區(qū)內(nèi)，在一般情況下，這是現(xiàn)在的計(jì)算機(jī)和網(wǎng)絡(luò)上的最大的安全隱患之一。這是因?yàn)樵诰幊痰膶哟紊虾苋菀壮霈F(xiàn)這中問(wèn)題，這對(duì)于不明白或是無(wú)法獲得源代碼的使用者來(lái)說(shuō)是不可見(jiàn)的，很多的這中問(wèn)題就會(huì)被利用。緩沖區(qū)溢出的攻擊原理是不應(yīng)該是重寫(xiě)隨機(jī)輸入和在進(jìn)程中執(zhí)行代碼的內(nèi)存的重寫(xiě)。
