第四章 安全漏洞播報

時間：2022-03-21 13:06:01 | 來源：網(wǎng)絡推廣

時間：2022-03-21 13:06:01 來源：網(wǎng)絡推廣

1、知道創(chuàng)宇漏洞社區(qū)能力

知道創(chuàng)宇漏洞社區(qū)由追求干貨有趣的黑客大會KCon、極具生命力的權威漏洞平臺Seebug、網(wǎng)絡空間搜索引擎ZoomEye三者組成，簡稱KSZ。知道創(chuàng)宇基于漏洞社區(qū)可提供鮮活及時的漏洞情報速遞服務。

知道創(chuàng)宇404技術團隊時刻跟進國際最新漏洞，并且擁有自主的漏洞挖掘能力，同時基于Seebug漏洞社區(qū)的運營，無數(shù)白帽子也在積極的參與漏洞提交，利用這樣大范圍覆蓋的漏洞獲取，以及基于網(wǎng)絡空間搜索引擎ZoomEye的全網(wǎng)感知準確定位漏洞影響面積的能力，可為企業(yè)、團體提供國際領先的優(yōu)質(zhì)安全漏洞情報服務。

漏洞情報服務，包含了速遞服務和靶標服務，為用戶提供漏洞態(tài)勢感知能力，包括漏洞狀況和受漏洞影響的網(wǎng)站或服務器分布狀況。速遞服務講究的是迅速與準確，第一時間窗口內(nèi)掌握漏洞的態(tài)勢;漏洞靶標服務更側重于漏洞的深度發(fā)掘，與安全人員的能力培養(yǎng)。

2、Seebug第一季度五大安全漏洞

(1)、FortiGate OS(飛塔系統(tǒng)) 4.0-5.0.7 SSH 后門

漏洞地址：

在線檢測：

漏洞簡介：

北京時間 2016 年 1 月 12 日凌晨四點鐘,國外安全研究員在 twitter 上爆料 FortiGate 防火墻存在一個后門，攻擊者可以通過這個后門直接獲取防火墻控制權限。

這一后門被爆廣泛存在于FortiGate 防火墻FortiOS 4.0-5.0.7系統(tǒng)之中，F(xiàn)ortiGate于2005年推出FortiOS 3.0，2009年推出FortiOS 4.0，這也幾乎代表著所有FortiGate 防火墻都存有這一后門。

ZoomEye 探測結果：

漏洞一經(jīng)爆出，知道創(chuàng)宇漏洞情報團隊第一時間利用ZoomEye 網(wǎng)絡空間搜索引擎測繪了全球FortiGate 防火墻分布情況，發(fā)現(xiàn)全球有約 6.5 萬個 FortiGate 防火墻，其中使用該品牌防火墻最多的國家分別為美國(13633)、印度(7833)、中國(3957)、日本(2937)、韓國(2790)。

(2)、Rails Dynamic Render 遠程命令執(zhí)行漏洞(CVE-2016-0752)

漏洞地址：

漏洞簡介：

Ruby On Rails 渲染組件在動態(tài)尋找模板時未限制搜索路徑，導致特定應用情景下用戶能夠直接控制渲染的模板文件路徑，進一步導致系統(tǒng)信息泄露，更加可怕的是配合特定模版內(nèi)容可直接執(zhí)行系統(tǒng)命令。

ZoomEye 探測結果：

ZoomEye 網(wǎng)絡空間搜索引擎顯示，全球大約有12萬個使用了Rails的站點可能受到該漏洞的影響。

(3)、MVPower CCTV Cameras 漏洞

漏洞地址：

漏洞簡介：

國外網(wǎng)站 PenTestPartners 于2016年2月10日在其博客上公開了一篇關于如何攻陷攝像頭設備的文章，里面以MVPower的一款設備作為例子，公開了其設備中存在的默認的Web管理接口登錄賬號，Web管理接口登錄繞過，內(nèi)置未授權訪問Shell和一個潛在的惡意隱私數(shù)據(jù)收集問題。

ZoomEye 探測結果：

從ZoomEye 網(wǎng)絡空間搜索引擎上搜索設備指紋JAWS/1.0，從搜索的結果來看，約存在7000個潛在受影響目標。

(4)、Apache Jetspeed CVE-2016-0710 CVE-2016-0709 漏洞

漏洞地址：



漏洞簡介：

Apache Jetspeed 連爆兩個漏洞，目錄穿越漏洞、用戶管理 REST API 未授權訪問漏洞，分別為CVE-2016-0709、CVE-2016-0710。

CVE-2016-0710 涉及用戶管理 REST API 未授權訪問，攻擊者可以通過調(diào)用 REST API 來管理系統(tǒng)用戶，包括創(chuàng)建、編輯、刪除、提升權限等操作。

CVE-2016-0709 涉及 Jetspeed 后臺 Portal Site Manger 在處理 imp ort ZIP 文件時目錄穿越的漏洞，攻擊者在擁有管理員權限賬號的情況下，通過該漏洞可以上傳任意文件導致 Getshell，最終導致遠程命令執(zhí)行。

(5)、Jenkins 低權限用戶 API 服務調(diào)用 可致遠程命令執(zhí)行

漏洞地址：

漏洞簡介：

國外網(wǎng)站 Contrast Security 于2016年2月24日在公開了Jenkins修復的一個可通過低權限用戶調(diào)用 API 服務致使的命令執(zhí)行漏洞詳情。通過低權限用戶構造一個惡意的 XML 文檔發(fā)送至服務端接口，使服務端解析時調(diào)用 API 執(zhí)行外部命令。

ZoomEye 探測結果：

從ZoomEye 網(wǎng)絡空間搜索引擎上搜索設備指紋Jenkins，從搜索的結果來看，約存在20000個潛在受到影響的目標。

注.以上報告數(shù)據(jù)來自于知道創(chuàng)宇監(jiān)控預警中心、知道創(chuàng)宇云安全在線交易SaaS防御平臺、安全聯(lián)盟、知道創(chuàng)宇漏洞社區(qū)。