近日，明朝萬達(dá)安元實(shí)驗(yàn)室發(fā)布了2021年第七期《安全通告》。
該份報(bào)告收錄了今年7月最新的網(wǎng)絡(luò)安全前沿新聞和最新漏洞追蹤，其中重點(diǎn)內(nèi)容包括：
網(wǎng)絡(luò)安全前沿新聞
◆ GitGuardian發(fā)布2021年GitHub上數(shù)據(jù)泄露的分析報(bào)告
自2017年以來，GitGuardian一直在掃描在GitHub上公開提交的每一個(gè)Secret，并衡量了公共存儲(chǔ)庫中數(shù)據(jù)泄露的情況。至今有超過5000萬開發(fā)人員使用GitHub，一年內(nèi)有6000萬個(gè)新建的存儲(chǔ)庫，提交次數(shù)超過20億次。報(bào)告指出，公共GitHub中數(shù)據(jù)泄露的數(shù)量同比增長(zhǎng)了20%，其中15%的泄露來自于組織的公共存儲(chǔ)庫中，而85%的泄露來自于開發(fā)人員的個(gè)人存儲(chǔ)庫中。
◆ 黑客在RaidForums出售7億多條LinkedIn用戶的記錄
Privacy Sharks研究人員發(fā)現(xiàn)名為“GOD User TomLiner”的黑客正在RaidForums上出售LinkedIn用戶的數(shù)據(jù)。
該廣告于6月22日發(fā)布，聲稱包含7億條記錄，并公開了100萬條樣本作為證據(jù)。此次泄露的信息包括發(fā)現(xiàn)記錄包括全名、性別、電子郵件地址、電話號(hào)碼和行業(yè)信息。目前尚不清楚數(shù)據(jù)的來源是什么，但研究人員推測(cè)此次數(shù)據(jù)泄露與4月份出售的5億條LinkedIn記錄可能是同一來源。
◆ 美國(guó)FINRA警告?zhèn)窝b成FINRA Support的釣魚攻擊活動(dòng)
FINRA是政府授權(quán)的非營(yíng)利組織，負(fù)責(zé)監(jiān)管在美國(guó)公開活動(dòng)的所有交易所市場(chǎng)和證券公司，每天分析數(shù)十億個(gè)市場(chǎng)交易。這些郵件聲稱來自“FINRA SUPPORT”，地址為“support@westour.org”。該郵件要求收件人注意下面所附的報(bào)告并立即回復(fù)，還指出附件包含更新的公共政策信息，但這些電子郵件可能根本沒有附件。早在今年3月和6月初，F(xiàn)INRA還警告了偽造成“FINRA合規(guī)審計(jì)”和以懲罰為誘餌的兩次釣魚活動(dòng)。
◆ 微軟稱其遭到SolarWinds攻擊背后團(tuán)伙Nobelium的入侵
Nobelium是俄羅斯國(guó)家資助的黑客組織，與SolarWinds供應(yīng)鏈攻擊有關(guān)，微軟表示該黑客組織一直在進(jìn)行密碼噴灑攻擊和暴力攻擊，以獲取對(duì)公司網(wǎng)絡(luò)的訪問權(quán)限。通過調(diào)查，微軟在其客戶支持代理的計(jì)算機(jī)上檢測(cè)到一個(gè)信息竊取木馬，竊取了部分客戶的個(gè)人信息，而Nobelium將使用這些信息對(duì)微軟的客戶進(jìn)行有針對(duì)性的網(wǎng)絡(luò)釣魚攻擊。
◆ 微軟發(fā)布安全更新，修復(fù)Edge瀏覽器中的多個(gè)漏洞
微軟發(fā)布安全更新，修復(fù)了Edge瀏覽器中的2個(gè)漏洞。其中較為嚴(yán)重的是安全繞過漏洞（CVE-2021-34506），使用Edge瀏覽器內(nèi)置的Microsoft Translator功能自動(dòng)翻譯網(wǎng)頁時(shí)觸發(fā)的跨站點(diǎn)腳本(UXSS)漏洞導(dǎo)致的，可以用來在網(wǎng)站上遠(yuǎn)程執(zhí)行任意代碼。研究人員稱該漏洞的復(fù)雜性很低，攻擊者可以在不需要任何權(quán)限的情況下實(shí)現(xiàn)。此次修復(fù)的另一個(gè)漏洞為特權(quán)提升漏洞（CVE-2021-34475）。
◆ 美國(guó)保險(xiǎn)公司AJG稱其遭到勒索軟件攻擊，客戶信息泄露
美國(guó)Arthur J. Gallagher (AJG) 稱其遭到勒索軟件攻擊，客戶信息泄露。
AJG是美國(guó)的全球保險(xiǎn)經(jīng)紀(jì)和風(fēng)險(xiǎn)管理公司，作為全球最大的保險(xiǎn)經(jīng)紀(jì)商之一，業(yè)務(wù)遍及49個(gè)國(guó)家/地區(qū)。攻擊發(fā)生在2020年6月3日至2020年9月26日期間，其在2020年9月28日披露該事件并稱沒有數(shù)據(jù)泄露。但在隨后的調(diào)查發(fā)現(xiàn)，7376人的敏感信息泄露，包括社會(huì)安全號(hào)碼或稅號(hào)、駕照、護(hù)照、出生日期、用戶名和密碼、員工識(shí)別號(hào)、財(cái)務(wù)賬戶或信用卡信息、電子簽名、醫(yī)療信息、保險(xiǎn)信息以及生物識(shí)別信息等。
◆ Mint Mobile稱其發(fā)生數(shù)據(jù)泄露，且部分客戶被轉(zhuǎn)網(wǎng)
Mint Mobile稱近期發(fā)生數(shù)據(jù)泄露事件，且部分客戶被轉(zhuǎn)到另一家運(yùn)營(yíng)商的網(wǎng)絡(luò)下。攻擊發(fā)生在6月8日至10日之間，有未經(jīng)授權(quán)的攻擊者訪問了Mint Mobile用戶的信息，包括通話記錄、姓名、地址、賬單金額、國(guó)際電話詳細(xì)信息信息、電子郵件和密碼等。早在1月份，USCellular也經(jīng)歷了一次類似的攻擊，攻擊者誘使運(yùn)營(yíng)商員工下載可以遠(yuǎn)程訪問公司設(shè)備的軟件，然后通過客戶關(guān)系管理 (CRM) 軟件訪問用戶的個(gè)人信息并轉(zhuǎn)網(wǎng)。
◆ ZeroX團(tuán)伙在暗網(wǎng)出售石油公司沙特阿美1TB的數(shù)據(jù)
本月，一個(gè)名為ZeroX的黑客團(tuán)伙在暗網(wǎng)以500萬美元的價(jià)格出售沙特阿美公司1TB的數(shù)據(jù)。
沙特阿拉伯石油公司簡(jiǎn)稱沙特阿美（Saudi Aramco），是世界上最大的公共石油和天然氣公司之一，擁有超過66000名員工，年收入近2300億美元。ZeroX稱這些數(shù)據(jù)是在2020年通過入侵沙特阿美的網(wǎng)絡(luò)及服務(wù)器獲得的，其中最早的可追溯到1993年。此次泄露的數(shù)據(jù)包括14254名員工的完整信息、各種系統(tǒng)的項(xiàng)目規(guī)范；內(nèi)部分析報(bào)告、協(xié)議、信函、定價(jià)表；Scada點(diǎn)、Wi-Fi、IP攝像機(jī)和IoT設(shè)備的網(wǎng)絡(luò)布局；Aramco客戶名單、發(fā)票和合同等。
網(wǎng)絡(luò)安全最新漏洞追蹤
◆ Windows Print Spooler遠(yuǎn)程代碼執(zhí)行0day漏洞預(yù)警 （CVE-2021-34527）
近日，微軟官方發(fā)布Windows Print Spooler遠(yuǎn)程代碼執(zhí)行0day漏洞（CVE-2021-34527）安全公告，代號(hào)PrintNightmare，該漏洞與6月份官方披露的Windows Print Spooler遠(yuǎn)程代碼執(zhí)行漏洞（CVE-2021-1675）類似但不完全相同。攻擊者利用漏洞可繞過RpcAddPrinterDriverEx的安全驗(yàn)證，并在打印服務(wù)器中安裝惡意的驅(qū)動(dòng)程序，如果攻擊者所控制的用戶在域中，則攻擊者可以連接到DC中的Spooler服務(wù)，并利用該漏洞在DC中安裝惡意的驅(qū)動(dòng)程序，完全的控制整個(gè)域環(huán)境。目前Exp已擴(kuò)散，風(fēng)險(xiǎn)較高。
Windows Print Spooler是Windows的打印機(jī)后臺(tái)處理程序，廣泛運(yùn)用于各種內(nèi)網(wǎng)中。華為云提醒使用Windows Print Spooler的用戶及時(shí)安排自檢并做好安全加固以降低安全風(fēng)險(xiǎn)。
威脅級(jí)別：嚴(yán)重
（說明：威脅級(jí)別共四級(jí)：一般、重要、嚴(yán)重、緊急）
影響版本：
Windows Server, version 20H2 (Server Core Installation)
Windows Server, version 2004 (Server Core installation)
Windows Server, version 1909 (Server Core installation)
Windows Server 2019 (Server Core installation)
Windows Server 2019
Windows Server 2016 (Server Core installation)
Windows Server 2016
Windows Server 2012 R2 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 (Server Core installation)
Windows Server 2012
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows RT 8.1
Windows 8.1 for x64-based systems
Windows 8.1 for 32-bit systems
Windows 7 for x64-based Systems Service Pack 1
Windows 7 for 32-bit Systems Service Pack 1
Windows 10 Version 21H1 for x64-based Systems
Windows 10 Version 21H1 for ARM64-based Systems
Windows 10 Version 21H1 for 32-bit Systems
Windows 10 Version 20H2 for x64-based Systems
Windows 10 Version 20H2 for ARM64-based Systems
Windows 10 Version 20H2 for 32-bit Systems
Windows 10 Version 2004 for x64-based Systems
Windows 10 Version 2004 for ARM64-based Systems
Windows 10 Version 2004 for 32-bit Systems
Windows 10 Version 1909 for x64-based Systems
Windows 10 Version 1909 for ARM64-based Systems
Windows 10 Version 1909 for 32-bit Systems
Windows 10 Version 1809 for x64-based Systems
Windows 10 Version 1809 for ARM64-based Systems
Windows 10 Version 1809 for 32-bit Systems
Windows 10 Version 1607 for x64-based Systems
Windows 10 Version 1607 for 32-bit Systems
Windows 10 for x64-based Systems
Windows 10 for 32-bit Systems
安全建議：
1、微軟官方已發(fā)布修復(fù)補(bǔ)丁，受影響用戶可通過官方發(fā)布的補(bǔ)丁進(jìn)行修復(fù)，補(bǔ)丁下載地址：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527
2、若無法及時(shí)安裝補(bǔ)丁，可通過以下官方提供的方法進(jìn)行排查和緩解：
檢查Print Spooler 服務(wù)是否運(yùn)行（以域管理員身份運(yùn)行）
Get-Service -Name Spooler
如果Print Spooler服務(wù)正在運(yùn)行或者未被禁用，可選擇以下方法進(jìn)行操作（二選一）：
方法1、禁用Print Spooler 服務(wù)，在powershell中運(yùn)行如下命令
Stop-Service -Name Spooler -Force
Set-Service -Name Spooler -StartupType Disabled
方法2、通過配置組策略禁用入站遠(yuǎn)程打印。
在組策略編輯器（gpedit.msc）中依次找到管理模板--->打印機(jī)，將“允許打印后臺(tái)處理程序接受客戶端連接”設(shè)置為禁用。
為確保數(shù)據(jù)安全，建議重要業(yè)務(wù)數(shù)據(jù)進(jìn)行異地備份。
注：修復(fù)漏洞前請(qǐng)將資料備份，并進(jìn)行充分測(cè)試。
◆ Kaseya VSA 遠(yuǎn)程代碼執(zhí)行漏洞預(yù)警 （CVE-2021-30116）
近日，華為云關(guān)注到Kaseya官方發(fā)布安全公告，披露Kaseya VSA 遠(yuǎn)程代碼執(zhí)行漏洞（CVE-2021-30116）。遠(yuǎn)程攻擊者利用該漏洞可實(shí)現(xiàn)SQL注入、VSA身份驗(yàn)證繞過、惡意文件上傳，最終達(dá)到無需身份驗(yàn)證即可控制VSA管理端。根據(jù)Kaseya官方的披露，目前已經(jīng)有REvil等惡意軟件正在利用VSA漏洞進(jìn)行勒索攻擊。
Kaseya VSA是一款企業(yè)用于集中IT管理的軟件。華為云提醒使用Kaseya VSA的用戶及時(shí)安排自檢并做好安全加固以降低安全風(fēng)險(xiǎn)。
參考鏈接：
https://helpdesk.kaseya.com/hc/en-gb/articles/4403440684689
https://csirt.divd.nl/2021/07/04/Kaseya-Case-Update-2/
https://us-cert.cisa.gov/ncas/current-activity/2021/07/04/cisa-fbi-guidance-msps-and-their-customers-affected-kaseya-vsa
威脅級(jí)別：嚴(yán)重
影響版本：
Kaseya VSA 全版本
安全建議
目前官方暫未發(fā)布補(bǔ)丁修改該漏洞，受影響的用戶可參考以下步驟進(jìn)行緩解：
1、斷開本地VSA服務(wù)器的網(wǎng)絡(luò)連接，并保持設(shè)備的離線。
2、使用官方提供的Kaseya VSA 檢測(cè)工具，對(duì)VSA受控的下屬設(shè)備進(jìn)行檢測(cè)，下載鏈接：https://kaseya.app.box.com/s/0ysvgss7w48nxh8k1xt7fqhbcjxhas40
注：修復(fù)漏洞前請(qǐng)將資料備份，并進(jìn)行充分測(cè)試。
◆ YAPI遠(yuǎn)程代碼執(zhí)行漏洞預(yù)警
近日，華為云安全運(yùn)營(yíng)中心監(jiān)測(cè)到多起外部攻擊者利用YAPI遠(yuǎn)程代碼執(zhí)行漏洞進(jìn)行攻擊入侵的事件，并且有上升趨勢(shì)。漏洞由于YAPI使用的mock腳本自定義服務(wù)未對(duì)JS腳本進(jìn)行過濾，導(dǎo)致攻擊者可以在腳本中注入惡意命令，實(shí)現(xiàn)遠(yuǎn)程代碼執(zhí)行。目前業(yè)界已存在在野攻擊利用，風(fēng)險(xiǎn)較高。
YAPI 是高效、易用、功能強(qiáng)大的api 管理平臺(tái)。華為云提醒使用YAPI的用戶盡快安排自檢并做好安全加固以降低安全風(fēng)險(xiǎn)。
參考鏈接：https://github.com/YMFE/yapi/issues/2233
威脅級(jí)別：嚴(yán)重
影響版本：
YAPI所有版本
安全建議
目前官方暫未發(fā)布補(bǔ)丁修改該漏洞，受影響的用戶可參考以下措施進(jìn)行緩解：
1.華為云WAF可以防御該漏洞攻擊。華為云WAF用戶將“Web基礎(chǔ)防護(hù)”狀態(tài)設(shè)置為“攔截”模式，具體方法請(qǐng)參見配置Web基礎(chǔ)防護(hù)規(guī)則。
2.關(guān)閉 YAPI 用戶注冊(cè)功能，參考：如何禁止注冊(cè)；
3.檢查、刪除已注冊(cè)的惡意用戶；
4.檢查、刪除惡意mock腳本；
5.服務(wù)器回滾快照；
6.如無必要，禁止將 YAPI服務(wù)器對(duì)外網(wǎng)開放訪問或僅對(duì)可信IP開放。
注：修復(fù)漏洞前請(qǐng)將資料備份，并進(jìn)行充分測(cè)試。
◆ 微軟7月份月度安全漏洞預(yù)警
近日，微軟發(fā)布2021年7月份安全補(bǔ)丁更新，共披露了117個(gè)安全漏洞，其中13個(gè)漏洞標(biāo)記為嚴(yán)重漏洞。攻擊者利用漏洞可實(shí)現(xiàn)遠(yuǎn)程代碼執(zhí)行、權(quán)限提升、敏感信息泄露等。受影響的應(yīng)用包括：Microsoft Windows、Windows Server 、Defender、Exchange等組件。華為云提醒用戶及時(shí)安排自檢并做好安全加固以降低安全風(fēng)險(xiǎn)。
微軟官方說明：
https://msrc.microsoft.com/update-guide/releaseNote/2021-Jul
本月用戶需關(guān)注已出現(xiàn)在野攻擊利用的4個(gè)0day漏洞，及時(shí)升級(jí)補(bǔ)丁避免遭受攻擊：
CVE-2021-34527 - Windows Print Spooler 遠(yuǎn)程代碼執(zhí)行漏洞
CVE-2021-33771- Windows 內(nèi)核提權(quán)漏洞
CVE-2021-34448-腳本引擎內(nèi)存損壞漏洞
CVE-2021-31979- Windows 內(nèi)核提權(quán)漏洞
漏洞級(jí)別：嚴(yán)重
影響范圍：
Microsoft Windows、Windows Server 、Defender、Exchange等產(chǎn)品。
· 重要漏洞說明詳情
安全建議
1、可通過Windows Update自動(dòng)更新微軟補(bǔ)丁修復(fù)漏洞，也可以手動(dòng)下載補(bǔ)丁，補(bǔ)丁下載地址：
https://msrc.microsoft.com/update-guide
2、為確保數(shù)據(jù)安全，建議重要業(yè)務(wù)數(shù)據(jù)進(jìn)行異地備份。
注意：修復(fù)漏洞前請(qǐng)將資料備份，并進(jìn)行充分測(cè)試。
◆ Oracle WebLogic遠(yuǎn)程代碼執(zhí)行漏洞預(yù)警
近日，華為云關(guān)注到Oracle官方發(fā)布了2021年第三季度安全補(bǔ)丁更新公告，披露了多款旗下產(chǎn)品的安全漏洞，其中包括7個(gè)Weblogic相關(guān)漏洞（CVE-2021-2394,CVE-2021-2397,CVE-2021-2382,CVE-2021-2378,CVE-2021-2376,CVE-2015-0254,CVE-2021-2403），其中CVE-2021-2394,CVE-2021-2397,CVE-2021-2382高危漏洞和IIOP、T3協(xié)議有關(guān)，攻擊者通過發(fā)送構(gòu)造惡意的請(qǐng)求可實(shí)現(xiàn)遠(yuǎn)程代碼執(zhí)行。
華為云提醒使用Weblogic及Oracle相關(guān)產(chǎn)品的用戶及時(shí)安排自檢并做好安全加固。
參考鏈接：Oracle Critical Patch Update Advisory - July 2021
本次Oracle季度安全更新共涉及342個(gè)安全漏洞，除Oracle Weblogic外，還包括Oracle WebCenter Portal、Oracle BI Publisher 、Oracle Data Integrator等產(chǎn)品，具體漏洞信息請(qǐng)參考官方鏈接。
漏洞級(jí)別：嚴(yán)重
· Weblogic漏洞說明詳情
漏洞影響范圍
Oracle Weblogic、Oracle WebCenter Portal、Oracle BI Publisher 、 Oracle Data Integrator等產(chǎn)品。
安全建議
官方已發(fā)布安全補(bǔ)丁更新，需用戶持有正版軟件的許可賬號(hào)，登陸https://support.oracle.com后，下載最新補(bǔ)丁。
若無法及時(shí)更新的用戶，可根據(jù)Oracle官方提供的修復(fù)建議通過取消攻擊所需的網(wǎng)絡(luò)協(xié)議或權(quán)限進(jìn)行緩解。
Weblogic高危漏洞（CVE-2021-2394、CVE-2021-2397、CVE-2021-2382）可通過禁用T3、IIOP協(xié)議來對(duì)漏洞進(jìn)行緩解。
注意：修復(fù)漏洞前請(qǐng)將資料備份，并進(jìn)行充分測(cè)試。
◆ Jira Data Center等多個(gè)產(chǎn)品遠(yuǎn)程代碼執(zhí)行漏洞預(yù)警（CVE-2020-36239）
近日，華為云關(guān)注到Atlassian官方發(fā)布安全公告，披露旗下Jira Data Center、Jira Service Management Data Center等多個(gè)產(chǎn)品存在遠(yuǎn)程代碼執(zhí)行漏洞（CVE-2020-36239）。這些產(chǎn)品在40001等默認(rèn)端口開放了Ehcache RMI 網(wǎng)絡(luò)服務(wù)，由于缺少身份驗(yàn)證，攻擊者可以通過反序列化在Jira中實(shí)現(xiàn)任意代碼執(zhí)行。
Jira是一個(gè)缺陷跟蹤管理系統(tǒng)，為針對(duì)缺陷管理、任務(wù)追蹤和項(xiàng)目管理的商業(yè)性應(yīng)用軟件。華為云提醒使用Jira的用戶及時(shí)安排自檢并做好安全加固。
參考鏈接：Jira Data Center And Jira Service Management Data Center Security Advisory 2021-07-21
威脅級(jí)別：嚴(yán)重
影響版本：
Jira Data Center, Jira Core Data Center, Jira Software Data Center- ranges
6.3.0 <= version < 8.5.16
8.6.0 <= version < 8.13.8
8.14.0 <= version < 8.17.0
Jira Service Management Data Center – ranges
2.0.2 <= version < 4.5.16
4.6.0 <= version < 4.13.8
4.14.0 <= version < 4.17.0
安全版本：
Jira Data Center, Jira Core Data Center, Jira Software Data Center
Version 8.5.16 for 8.5.x LTS
Version 8.13.8 for 8.13.x LTS
Version 8.17.0
Jira Service Management Data Center
Version 4.5.16 for 4.5.x LTS
Version 4.13.8 for 4.13.x LTS
Version 4.17.0
安全建議
1、目前官方已在高版本中修復(fù)了該漏洞，請(qǐng)受影響的用戶升級(jí)至安全版本。
2、無法及時(shí)升級(jí)的用戶可根據(jù)Atlassian官方提供的建議，通過防火墻或類似的技術(shù)限制對(duì)Ehcache RMI服務(wù)端口的訪問。
注：修復(fù)漏洞前請(qǐng)將資料備份，并進(jìn)行充分測(cè)試
