近日，明朝萬達(dá)安元實(shí)驗(yàn)室發(fā)布了2021年第一期《安全通告》，該份報(bào)告收錄了今年1月最新的網(wǎng)絡(luò)安全前沿新聞和漏洞追蹤信息，重點(diǎn)有以下內(nèi)容：
T-Mobile 證實(shí)黑客非法訪問了用戶數(shù)據(jù)
近日，美國第三大手機(jī)運(yùn)營商T-Mobile在其網(wǎng)站上發(fā)布了一份通知。它稱，最近發(fā)現(xiàn)一些客戶的賬號(hào)信息遭到了未經(jīng)授權(quán)的訪問，其中包括T-Mobile為提供手機(jī)服務(wù)而收集的客戶數(shù)據(jù)。
這些數(shù)據(jù)被稱為客戶專有網(wǎng)絡(luò)信息(CPNI)，包括通話記錄，如通話時(shí)長、何時(shí)通話、每次通話的呼叫者的電話號(hào)碼和目的電話號(hào)碼以及可能在客戶賬單上找到的其他信息。
不過該公司表示，黑客沒有訪問姓名、家庭或電子郵件地址、財(cái)務(wù)數(shù)據(jù)和賬戶密碼。目前，T-Mobile正在通知受影響的用戶。
近日，一種新發(fā)現(xiàn)的基于Golang的自我傳播的惡意軟件一直在Windows和Linux服務(wù)器上大規(guī)模地運(yùn)行XMRig挖礦機(jī)。安全研究人員透露，這個(gè)惡意軟件還具有蠕蟲功能，可以通過用弱密碼強(qiáng)行傳播到其他系統(tǒng)。
自發(fā)現(xiàn)該蠕蟲以來，攻擊者持續(xù)更新C2服務(wù)器上的蠕蟲，表明惡意軟件開發(fā)者非?；钴S，而且在未來的更新中可能會(huì)攻擊其他弱配置的服務(wù)。
要防御這種新型蠕蟲發(fā)動(dòng)的蠻力攻擊，網(wǎng)絡(luò)管理員應(yīng)該限制登錄條件，并在所有互聯(lián)網(wǎng)服務(wù)上使用難以猜測的密碼，并且盡可能使用雙因素認(rèn)證。
據(jù)外媒報(bào)道，在對 SolarWinds 事件的深入調(diào)查中，微軟發(fā)現(xiàn)部分內(nèi)部賬號(hào)被黑客獲取，并訪問了公司的部分源代碼。而現(xiàn)在，有一名黑客以 60 萬美元的價(jià)格出售 Windows 10 源代碼，但是無法確定其真實(shí)性。
一位安全研究人員報(bào)道了這一消息，他稱這些黑客似乎來自俄羅斯知名黑客組織 Shadow Brokers。但他們有可能是為了混淆視聽，并非真正擁有這些源代碼訪問權(quán)限。
微軟證實(shí)，黑客只能夠查看，但不能改變產(chǎn)品的源代碼，目前沒有證據(jù)表明這一事件將微軟服務(wù)的安全性或任何客戶數(shù)據(jù)置于風(fēng)險(xiǎn)之中。微軟表示，查看源代碼并不會(huì)增加風(fēng)險(xiǎn)，因?yàn)樵摴静⒉灰蕾囋创a的保密性來保證產(chǎn)品的安全。
日本游戲開發(fā)商Capcom針對其數(shù)據(jù)泄露事件更新了調(diào)查結(jié)果，并指出，目前有390,000人可能會(huì)受到11月勒索病毒攻擊事件的影響。
11月2日，Capcom遭到Ragnar Locker勒索軟件團(tuán)伙的網(wǎng)絡(luò)攻擊，后者表示從Capcom竊取了1TB數(shù)據(jù), 并索要價(jià)值1100萬美元的比特幣作為贖金。在勒索軟件團(tuán)伙泄露了部分失竊數(shù)據(jù)后不久， Capcom公開披露其遭受了數(shù)據(jù)泄露，其中泄露了9種類型的個(gè)人信息。
根據(jù)最新調(diào)查結(jié)果，Capcom已經(jīng)確認(rèn)有16,415人的信息被泄露，受影響的客戶及合作伙伴總?cè)藬?shù)可能達(dá)到390,000。對于用戶更安全的做法是，無論是否有跡象表明密碼泄露，都應(yīng)更改Capcom密碼。若在其他網(wǎng)站使用過相同賬戶和密碼，也需更改密碼。
網(wǎng)絡(luò)安全最新漏洞追蹤
· 漏洞描述
Dnsmasq提供DNS緩存和DHCP服務(wù)功能。作為域名解析服務(wù)器(DNS)。Dnsmasq可以通過緩存DNS請求來提高對訪問過的網(wǎng)址的連接速度。國外研究團(tuán)隊(duì)JSOF發(fā)布了DNSpooq風(fēng)險(xiǎn)通告，披露了存在于dnsmasq軟件中的多個(gè)漏洞，其中包括CVE-2020-25681遠(yuǎn)程代碼執(zhí)行漏洞和CVE-2020-25682遠(yuǎn)程代碼執(zhí)行漏洞。攻擊者利用該批漏洞，可造成域名劫持、流量劫持、拒絕服務(wù)等，在啟用DNSSEC的情況下甚至導(dǎo)致遠(yuǎn)程代碼執(zhí)行。阿里云應(yīng)急響應(yīng)中心提醒 Dnsmasq用戶盡快采取安全措施阻止漏洞攻擊。
· 漏洞評級CVE-2020-25682 遠(yuǎn)程代碼執(zhí)行 高危
CVE-2020-25681 遠(yuǎn)程代碼執(zhí)行 高危
CVE-2020-25683 拒絕服務(wù) 中危
CVE-2020-25687 拒絕服務(wù) 中危
CVE-2020-25684 拒絕服務(wù) 中危
CVE-2020-25685 DNS投毒 低危
CVE-2020-25686 DNS投毒 低危
· 影響版本dnsmsaq < 2.83
· 安全版本
dnsmsaq >= 2.83
· 安全建議1.根據(jù)發(fā)行版包管理器及時(shí)安裝升級并重啟dnsmasq。
2.禁止從外部網(wǎng)絡(luò)訪問dsnmasq
3.設(shè)置--dns-forward-max=參數(shù)為小于 150 的值
4.在無需DNSSEC功能的情況下可臨時(shí)禁用 DNSSEC 功能。
5. 可以通過啟用一些DNS安全傳輸?shù)牟呗?DNS Over TLS, DoH, DoT)
Oracle 1月關(guān)鍵補(bǔ)丁嚴(yán)重漏洞
CVE-2021-2109 Weblogic Server遠(yuǎn)程代碼執(zhí)行漏洞，等級：高危
以及螞蟻安全非攻實(shí)驗(yàn)室發(fā)現(xiàn)的兩個(gè)嚴(yán)重漏洞：
CVE-2020-14756 jep290繞過導(dǎo)致遠(yuǎn)程代碼執(zhí)行漏洞，等級：嚴(yán)重
CVE-2021-2075 Derby privileges權(quán)限代碼執(zhí)行漏洞，等級：嚴(yán)重
· 漏洞描述2021年1月20日，Oracle官方發(fā)布了漏洞補(bǔ)丁，修了包括CVE-2021-2109 Weblogic Server遠(yuǎn)程代碼執(zhí)行漏洞在內(nèi)的多個(gè)高危嚴(yán)重漏洞。CVE-2021-2109中，攻擊者可構(gòu)造惡意請求，造成JNDI注入，執(zhí)行任意代碼，從而控制服務(wù)器。阿里云應(yīng)急響應(yīng)中心提醒 Weblogic用戶盡快采取安全措施阻止漏洞攻擊。
· 漏洞評級CVE-2020-14756：嚴(yán)重
CVE-2021-2075：嚴(yán)重
CVE-2021-1994：嚴(yán)重
CVE-2021-2047：嚴(yán)重
CVE-2021-2064：嚴(yán)重
CVE-2021-2108：嚴(yán)重
CVE-2021-2109：高危
CVE-2021-1995：高危
CVE-2021-2109：高危
· 漏洞證明
CVE-2021-2109
· 影響版本
WebLogic 10.3.6.0.0WebLogic 12.1.3.0.0
WebLogic 12.2.1.3.0
WebLogic 12.2.1.4.0
WebLogic 14.1.1.0.0
· 安全建議一、禁用T3協(xié)議如果您不依賴T3協(xié)議進(jìn)行JVM通信，可通過暫時(shí)阻斷T3協(xié)議緩解此漏洞帶來的影響
1.進(jìn)入Weblogic控制臺(tái)，在base_domain配置頁面中，進(jìn)入“安全”選項(xiàng)卡頁面，點(diǎn)擊“篩選器”，配置篩選器。
2. 在連接篩選器中輸入：weblogic.security.net.ConnectionFilterImpl，在連接篩選器規(guī)則框中輸入：* * 7001 deny t3 t3s。
二、禁止啟用IIOP
登陸Weblogic控制臺(tái)，找到啟用IIOP選項(xiàng)，取消勾選，重啟生效
三、臨時(shí)關(guān)閉后臺(tái)/console/console.portal對外訪問
四、升級官方安全補(bǔ)丁
Microsoft Defender遠(yuǎn)程代碼執(zhí)行漏洞（CVE-2021-1647）
· 漏洞描述
微軟官方于2021年1月13日發(fā)布安全更新，其中修復(fù)了一個(gè)Microsoft Defender遠(yuǎn)程代碼執(zhí)行漏洞（CVE-2021-1647），攻擊者需要通過構(gòu)造惡意的PE文件，通過釣魚郵件鏈接等方式使受害者獲取到該惡意文件，從而觸發(fā)Microsoft Defender自動(dòng)對該文件進(jìn)行解析，最終造成遠(yuǎn)程代碼執(zhí)行。阿里云應(yīng)急響應(yīng)中心提醒 Windows用戶盡快安裝補(bǔ)丁阻止漏洞攻擊。
· 漏洞評級CVE-2021-1647 高危
· 影響版本
Windows Server, version 20H2 (Server Core Installation)
Windows Server, version 2004 (Server Core installation)
Windows Server, version 1909 (Server Core installation)
Windows Server 2019 (Server Core installation)
Windows Server 2019
Windows Server 2016 (Server Core installation)
Windows Server 2016
Windows Server 2012 R2 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 (Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
· 安全建議
前往微軟官方下載相應(yīng)補(bǔ)丁進(jìn)行更新：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1647
致遠(yuǎn)OA ajaxAction 文件上傳漏洞
· 漏洞描述
致遠(yuǎn)OA是一套辦公協(xié)同軟件。近日，阿里云應(yīng)急響應(yīng)中心監(jiān)控到致遠(yuǎn)OA ajaxAction 文件上傳漏洞利用代碼披露。由于致遠(yuǎn)OA舊版本某些ajax接口存在未授權(quán)訪問，攻擊者通過構(gòu)造惡意請求，可在無需登錄的情況下上傳惡意腳本文件，從而控制服務(wù)器。致遠(yuǎn)OA官方已針對該漏洞提供補(bǔ)丁，該漏洞利用代碼已在互聯(lián)網(wǎng)上公開流傳。阿里云應(yīng)急響應(yīng)中心提醒致遠(yuǎn)OA用戶盡快采取安全措施阻止漏洞攻擊。
· 漏洞證明
利用致遠(yuǎn)OA ajaxAction 文件上傳漏洞：
訪問上傳的惡意腳本：
致遠(yuǎn)OA V8.0、V8.0SP1
致遠(yuǎn)OA V7.1、V7.1SP1
· 安全版本
致遠(yuǎn)OA 各系列最新版本
· 安全建議
致遠(yuǎn)OA為商業(yè)軟件，建議聯(lián)系官方以獲取最新相關(guān)補(bǔ)丁，以及升級至最新版本。
